Spoločnosť Google zverejnila štúdiu „Aká účinná je základná hygiena účtu na zabránenie jeho krádeži“, ktorá ukazuje, čo môže urobiť majiteľ účtu, aby ho ochránil pred zlodejmi. Predstavujeme vám preklad tejto štúdie.
Pravda, najúčinnejší spôsob, ktorý sa používa priamo v Google, nebol v správe zahrnutý. Musel som sa o tomto spôsobe zmieniť sám na konci.
Každý deň chránime používateľov pred státisícami pokusov o hackovanie účtov. pochádza z automatických botov so prístupom k vonkajším systémom na hackovanie hesiel, ale sú prítomné aj phishingové a cielené útoky. Už skôr sme hovorili, ako , ako je pridanie telefónneho čísla, vám môže pomôcť zabezpečiť sa, ale teraz chceme dokázať tento fakt v praxi.
Phishingový útok je pokus o oklamanie používateľa tak, aby dobrovoľne poskytol zlodejovi informácie, ktoré budú užitočné pri hackovaní. Napríklad kopírovaním rozhrania legitímnej aplikácie.
Útoky pomocou automatických botov sú masové pokusy o hackovanie, ktoré nie sú zamerané na konkrétnych používateľov. Zvyčajne sa realizujú pomocou verejne dostupného softvéru a sú prístupné aj pre nepripravených "hackrov". Zlodeji nevedia nič o osobitnostiach konkrétnych používateľov - jednoducho spustia program a "chytajú" všetky slabšie chránené účty okolo.
Cielené útoky sú hackovania konkrétnych účtov, pri ktorých sa zhromažďujú dodatočné informácie o každom účte a jeho majiteľovi, pričom sú možné pokusy o odchytávanie a analýzu prevádzky, ako aj používanie zložitejších hackovacích nástrojov.
(Poznámka prekladateľa)
Spojili sme sa s výskumníkmi z New York University a University of California, aby sme zistili, do akej miery základná hygiena účtov pomáha predchádzať ich "ukradnutiu".
Ročné výskumné štúdie o a boli predstavené v stredu na zhromaždení odborníkov, politikov a používateľov nazvanom .
Naše výskumy ukazujú, že jednoduché pridanie telefónneho čísla do vášho účtu Google môže zablokovať až 100 % útokov od automatických botov, 99 % masívnych phishingových útokov a 66 % cieľových útokov, ktoré sa vyskytli počas nášho vyšetrovania.
Automatická proaktívna ochrana Google pred „úmyselným“ prevzatím účtu
Zavádzame automatickú proaktívnu ochranu, aby sme lepšie ochránili všetkých našich používateľov pred hacknutím účtu. Takto to funguje: ak zistíme podozrivý pokus o prihlásenie (napríklad z nového miesta alebo zariadenia), požiadame o ďalšie dôkazy, že ste to skutočne vy. Týmto potvrdením môže byť kontrola, že máte prístup k dôveryhodnému telefónu, alebo odpoveď na otázku, na ktorú poznáte správnu odpoveď iba vy.
Ak ste sa prihlásili na svoj telefón alebo ste uviedli telefónne číslo v nastaveniach účtu, môžeme zabezpečiť rovnakú úroveň ochrany, ako s dvojstupňovým overením. Zistili sme, že kód SMS zaslaný na telefónne číslo na obnovenie pomohol zablokovať 100 % automatických botov, 96 % masívnych phishingových útokov a 76 % cieľových útokov. A požiadavky na zariadení, ktoré si vyžadujú potvrdenie operácie, sú bezpečnejšou alternatívou k SMS a pomohli zabrániť 100 % automatických botov, 99 % masívnych phishingových útokov a 90 % cieľových útokov.
Ochrana, ktorá je založená na vlastníctve určitých zariadení aj na poznaní určitých faktov, pomáha odolávať automatickým botom, zatiaľ čo ochrana, ktorá je založená len na vlastníctve určitých zariadení, pomáha zabrániť phishingu a dokonca cieľovým útokom.
Ak v účte nemáte nastavené telefónne číslo, môžeme sa uchýliť k slabším metódam ochrany, ktoré sú založené na znalostiach o vás, ako je miesto vášho posledného prihlásenia do účtu. To dobre funguje proti botom, ale úroveň ochrany proti phishingu môže klesnúť až na 10 %, a ochrana pred cieľovými útokmi je prakticky neexistujúca. Dôvodom je, že phishingové stránky a útočníci pri cieľových útokoch vás môžu prinútiť odhaliť akékoľvek dodatočné informácie, ktoré môže Google požadovať na overenie.
Vzhľadom na výhody takejto ochrany by sa dalo opýtať, prečo ju od každého prihlásenia do systému nevyžadujeme. Odpoveď spočíva v tom, že by to spôsobilo dodatočné ťažkosti pre používateľov (najmä pre nepripravených — pozn. prekl.). Počas experimentu sa zistilo, že 38 % používateľov nemalo prístup k svojmu telefónu pri prihlásení do účtu. Ďalších 34 % používateľov si nedokázalo spomenúť na svoju alternatívnu e-mailovú adresu.
Ak ste stratili prístup k svojmu telefónu alebo sa nemôžete prihlásiť, vždy sa môžete vrátiť k dôveryhodnému zariadeniu, z ktorého ste sa predtým prihlasovali, aby ste získali prístup k svojmu účtu.
Podrobnosti o útokoch „hackovanie na objednávku“
Kým väčšina automatických ochranných prostriedkov blokuje väčšinu botov a phisherských útokov, cieľové útoky sa stávajú nebezpečnejšími. V rámci našich neustálych snáh o , neustále identifikujeme nové kriminálne skupiny „hackovania na objednávku“, ktoré žiadajú priemerne 750 dolárov za hackovanie jedného účtu. Títo zločinci často spoliehajú na phishingové e-maily, ktoré sa vydávajú za členov rodiny, kolegov, vládnych úradníkov alebo dokonca za Google. Ak sa cieľ nevzdá pri prvom pokuse o phishing, ďalšie útoky pokračujú viac ako mesiac.
Príklad phishingového útoku „človek v strede“, ktorý kontroluje správnosť hesla v reálnom čase. Následne sa na phishingovej stránke žiadajú obete, aby zadali kódy autentifikácie SMS na prístup k účtu obete.
Podľa našich odhadov je len jeden z milióna používateľov vystavený tak vysokému riziku. Zločinci sa nezameriavajú na náhodných ľudí. Hoci štúdie ukazujú, že naša automatická ochrana môže pomôcť zadržať a dokonca zabrániť až 66 % cieľových útokov, ktoré sme skúmali, stále odporúčame používateľom s vysokým rizikom, aby sa zaregistrovali do našej . Ako bolo uvedené počas našich vyšetrovaní, používatelia, ktorí sa spoliehajú výlučne na bezpečnostné kľúče (t.j. — dvojstupňovú autentifikáciu pomocou zasielaných používateľom kódov — pozn. prekl.), sa stali obeťami cielenej phishingovej kampane.
Venujte trochu času na ochranu svojho účtu.
Používate bezpečnostné pásy na ochranu svojho života a zdravia počas jazdy autom. A s našimi dokážete zabezpečiť bezpečnosť vášho účtu.
Ako ukazujú naše výskumy, jednou z najjednoduchších vecí, ktoré môžete urobiť na ochranu svojho účtu Google, je zadať svoje telefónne číslo. Pre používateľov s vysokým rizikom, ako sú novinári, obhajcovia ľudských práv, podnikatelia a politické kampane, náš program pomôže zabezpečiť najvyššiu úroveň bezpečnosti. Môžete tiež chrániť svoje účty tretích strán (nie Google) pred hackovaním hesiel inštalovaním rozšírenia .
Zaujímavé je, že Google sa neriadi radami, ktoré sám poskytuje svojim používateľom. na dvojfaktorovú autentifikáciu viac ako 85 000 svojich zamestnancov. Podľa zástupcov spoločnosti od začiatku používania hardvérových tokenov nebola zaznamenaná žiadna krádež účtu. Porovnajte s číslami uvedenými v tejto správe. Takto je vidieť, že používanie hardvérových tokenov na dvojfaktorovú autentifikáciu je jediný spoľahlivý spôsob ochrany ako účtov, tak aj informácií (a v niektorých prípadoch aj peňazí).
Na ochranu účtov Google sa používajú tokeny vytvorené podľa štandardu FIDO U2F, napríklad . A na dvojfaktorovú autentifikáciu v operačných systémoch Windows, Linux a MacOS sa používajú .
(Poznámka prekladateľa)
Zdroj: habr.com
