Што треба да направите за да спречите кражба на вашата сметка на Google

Google објави учат „Колку е ефикасна основната хигиена на сметката во спречувањето кражба на сметката“ за тоа што може да направи сопственикот на сметката за да спречи да биде украдена од криминалци. Ви претставуваме превод на оваа студија.
Точно, најефективниот метод што го користи самиот Google, не беше вклучен во извештајот. Морав сам да пишувам за овој метод на крајот.

Секој ден ги штитиме корисниците од стотици илјади обиди за хакирање на сметки. Повеќето напади доаѓа од автоматизирани ботови со пристап до системи за пробивање лозинки од трети страни, но присутен е и фишинг и насочени напади. Претходно кажавме како само пет едноставни чекори, како што е додавањето телефонски број, може да ви помогне да останете безбедни, но сега сакаме да го докажеме тоа во пракса.

Фишинг напад е обид да се измами корисникот доброволно да му даде на напаѓачот информации кои ќе бидат корисни во процесот на хакирање. На пример, со копирање на интерфејсот на легална апликација.

Нападите со користење на автоматизирани ботови се масивни обиди за хакирање кои не се насочени кон одредени корисници. Обично се изведува со користење на јавно достапен софтвер и може да се користи дури и од необучени „крекери“. Напаѓачите не знаат ништо за карактеристиките на одредени корисници - тие едноставно ја стартуваат програмата и ги „фаќаат“ сите слабо заштитени научни записи наоколу.

Целните напади се хакирање на одредени сметки, во кои се собираат дополнителни информации за секоја сметка и нејзиниот сопственик, можни се обиди за пресретнување и анализа на сообраќајот, како и употреба на посложени алатки за хакирање.

(Забелешка на преведувачот)

Се здруживме со истражувачи од Универзитетот во Њујорк и Универзитетот во Калифорнија за да откриеме колку е ефикасна основната хигиена на сметката во спречувањето на киднапирање на сметката.

Годишна студија за големи и насочени напади беше претставена во средата на состанокот на експерти, креатори на политики и корисници свикан Веб-конференција.
Нашето истражување покажува дека едноставното додавање телефонски број на вашата сметка на Google може да блокира до 100% од автоматските напади на бот, 99% од масовните напади на фишинг и 66% од насочените напади во нашата истрага.

Автоматска проактивна заштита на Google од киднапирање сметка

Ние имплементираме автоматска проактивна заштита за подобро да ги заштитиме сите наши корисници од хакирање на сметките. Еве како функционира: Ако откриеме сомнителен обид за најава (на пример, од нова локација или уред), ќе побараме дополнителен доказ дека навистина сте вие. Оваа потврда може да биде потврдување дека имате пристап до доверлив телефонски број или одговарање на прашање на кое само вие го знаете точниот одговор.

Ако сте најавени на вашиот телефон или сте дале телефонски број во поставките на вашата сметка, можеме да го обезбедиме истото ниво на безбедност како и потврдата во два чекора. Откривме дека СМС-кодот испратен до телефонски број за враќање помогна да се блокираат 100% од автоматизираните ботови, 96% од масовните фишинг напади и 76% од целните напади. А уредот поттикнува да потврди трансакција, посигурна замена за СМС, помогна да се спречат 100% од автоматизираните ботови, 99% од масовните фишинг напади и 90% од целните напади.

Заштитата заснована и на сопственоста на уредот и на знаењето за одредени факти помага да се спротивстават на автоматизираните ботови, додека заштитата на сопственоста на уредот помага да се спречи фишинг, па дури и насочени напади.

Ако немате поставен телефонски број на вашата сметка, може да користиме послаби безбедносни техники засновани на она што го знаеме за вас, како на пример каде последен пат сте се најавиле на вашата сметка. Ова добро функционира против ботови, но нивото на заштита од фишинг може да падне до 10%, а практично нема заштита од насочени напади. Тоа е затоа што страниците за фишинг и целните напаѓачи може да ве принудат да откриете какви било дополнителни информации што Google може да ги побара за потврда.

Со оглед на придобивките од таквата заштита, некој може да се запраша зошто не го бараме за секое најавување. Одговорот е дека тоа би создало дополнителна сложеност за корисниците (особено за неподготвените - прибл. превод.) и би го зголемил ризикот од суспензија на сметката. Експериментот покажа дека 38% од корисниците немаат пристап до својот телефон кога се најавуваат на нивната сметка. Други 34% од корисниците не можеа да се сетат на нивната секундарна адреса за е-пошта.

Ако сте го изгубиле пристапот до телефонот или не можете да се најавите, секогаш можете да се вратите на доверливиот уред од кој претходно сте се најавиле за да пристапите до вашата сметка.

Разбирање на нападите со хакирање за изнајмување

Онаму каде што повеќето автоматизирани заштити ги блокираат повеќето ботови и напади на фишинг, насочените напади стануваат поштетни. Како дел од нашите тековни напори за следење на хакерски закани, ние постојано идентификуваме нови криминални групи за хакирање за изнајмување кои наплаќаат во просек 750 долари за хакирање на една сметка. Овие напаѓачи често се потпираат на фишинг-мејлови кои имитираат членови на семејството, колеги, владини службеници или дури и Google. Ако целта не се откаже од првиот обид за фишинг, последователните напади продолжуваат повеќе од еден месец.

Пример за фишинг напад „човек во средината“ што ја потврдува точноста на лозинката во реално време. Страницата за фишинг потоа ги поттикнува жртвите да внесат кодови за автентикација на СМС за да пристапат до сметката на жртвата.

Проценуваме дека само еден од милион корисници е под овој висок ризик. Напаѓачите не се насочени кон случајни луѓе. Иако истражувањата покажуваат дека нашата автоматизирана заштита може да помогне да се одложат, па дури и да се спречат до 66% од целните напади што ги проучувавме, сепак препорачуваме корисниците со висок ризик да се регистрираат кај нашите програма за дополнителна заштита. Како што беше забележано во текот на нашата истрага, корисниците кои исклучиво користат безбедносни клучеви (односно автентикација во два чекора со помош на кодови испратени до корисниците - прибл. превод), станаа жртви на фишинг со копје.

Одвојте малку време за да ја заштитите вашата сметка

Користите безбедносни појаси за да го заштитите животот и екстремитетите додека патувате во автомобили. И со помош на нашите пет совети можете да ја осигурате безбедноста на вашата сметка.

Нашето истражување покажува дека една од најлесните работи што можете да ги направите за да ја заштитите вашата сметка на Google е да поставите телефонски број. За корисници со висок ризик како што се новинари, активисти на заедницата, бизнис лидери и тимови за политичка кампања, нашата програма Напредна заштита ќе помогне да се обезбеди највисоко ниво на безбедност. Можете исто така да ги заштитите вашите сметки што не се на Google од хакирање на лозинки со инсталирање на екстензијата Проверка на лозинката на Chrome.

Интересно е што Google не ги следи советите што им ги дава на своите корисници. Google користи хардверски токени за двофакторна автентикација за повеќе од 85 нејзини вработени. Според претставниците на корпорацијата, од почетокот на користењето хардверски токени, не е забележана ниту една кражба на сметка. Споредете со бројките претставени во овој извештај. Така е јасно дека употребата на хардвер токени за двофакторна автентикација единствениот сигурен начин за заштита и сметки и информации (а во некои случаи и пари).

За заштита на сметките на Google, се користат токени создадени според стандардот FIDO U2F, на пример како. И за двофакторна автентикација во оперативните системи Windows, Linux и MacOS, криптографски токени.

(Забелешка на преведувачот)

Извор: www.habr.com