Google ka publikuar "Sa efektive është higjiena bazë e llogarisë në parandalimin e vjedhjes së llogarisë" në lidhje me atë që një pronar i llogarisë mund të bëjë për të parandaluar vjedhjen e saj nga kriminelët. Ne paraqesim në vëmendjen tuaj një përkthim të këtij studimi.
Vërtetë, metoda më efektive, e cila përdoret nga vetë Google, nuk u përfshi në raport. Më duhej të shkruaja vetë për këtë metodë në fund.
Çdo ditë ne mbrojmë përdoruesit nga qindra mijëra përpjekje për hakimin e llogarisë. vjen nga robotë të automatizuar me qasje në sistemet e thyerjes së fjalëkalimeve të palëve të treta, por phishing dhe sulmet e synuara janë gjithashtu të pranishme. Më parë kemi thënë se si , si shtimi i një numri telefoni, mund t'ju ndihmojë të qëndroni të sigurt, por tani ne duam ta vërtetojmë atë në praktikë.
Një sulm phishing është një përpjekje për të mashtruar një përdorues që t'i japë vullnetarisht sulmuesit informacione që do të jenë të dobishme në procesin e hakerimit. Për shembull, duke kopjuar ndërfaqen e një aplikacioni ligjor.
Sulmet që përdorin robotë të automatizuar janë përpjekje masive hakerimi që nuk synojnë përdorues të veçantë. Zakonisht kryhet duke përdorur softuer të disponueshëm publikisht dhe mund të përdoret edhe nga "crackers" të patrajnuar. Sulmuesit nuk dinë asgjë për karakteristikat e përdoruesve të veçantë - ata thjesht nisin programin dhe "kapin" të gjitha të dhënat shkencore të mbrojtura dobët përreth.
Sulmet e synuara janë hakimi i llogarive specifike, në të cilat mblidhen informacione shtesë për secilën llogari dhe pronarin e saj, janë të mundshme përpjekjet për të përgjuar dhe analizuar trafikun, si dhe përdorimi i mjeteve më komplekse të hakerimit.
(Shënimi i përkthyesit)
Ne u bashkuam me studiues nga Universiteti i Nju Jorkut dhe Universiteti i Kalifornisë për të zbuluar se sa efektive është higjiena bazë e llogarisë në parandalimin e rrëmbimit të llogarisë.
Studim vjetor rreth и u prezantua të mërkurën në një takim të ekspertëve, politikëbërësve dhe përdoruesve të thirrur .
Hulumtimi ynë tregon se thjesht shtimi i një numri telefoni në llogarinë tuaj të Google mund të bllokojë deri në 100% të sulmeve të automatizuara të robotëve, 99% të sulmeve të phishing me shumicë dhe 66% të sulmeve të synuara në hetimin tonë.
Mbrojtje automatike proaktive e Google kundër rrëmbimit të llogarisë
Ne zbatojmë mbrojtje automatike proaktive për të mbrojtur më mirë të gjithë përdoruesit tanë nga hakerimi i llogarisë. Ja se si funksionon: Nëse zbulojmë një përpjekje të dyshimtë për hyrje (për shembull, nga një vendndodhje ose pajisje e re), do të kërkojmë prova shtesë se jeni vërtet ju. Ky konfirmim mund të jetë verifikimi që keni akses në një numër telefoni të besuar ose përgjigjja e një pyetjeje të cilës vetëm ju e dini përgjigjen e saktë.
Nëse jeni identifikuar në telefonin tuaj ose keni dhënë një numër telefoni në cilësimet e llogarisë tuaj, ne mund të ofrojmë të njëjtin nivel sigurie si verifikimi me dy hapa. Ne zbuluam se një kod SMS i dërguar në një numër telefoni rikuperimi ndihmoi në bllokimin e 100% të robotëve të automatizuar, 96% të sulmeve të phishing me shumicë dhe 76% të sulmeve të synuara. Dhe pajisja kërkon të konfirmojë një transaksion, një zëvendësim më i sigurt për SMS, ndihmoi në parandalimin e 100% të robotëve të automatizuar, 99% të sulmeve masive të phishing dhe 90% të sulmeve të synuara.
Mbrojtja e bazuar në zotërimin e pajisjes dhe njohuritë e fakteve të caktuara ndihmon në kundërshtimin e robotëve të automatizuar, ndërsa mbrojtja e pronësisë së pajisjes ndihmon në parandalimin e phishing dhe madje edhe sulmet e synuara.
Nëse nuk keni një numër telefoni të konfiguruar në llogarinë tuaj, ne mund të përdorim teknika më të dobëta sigurie bazuar në atë që dimë për ju, si p.sh. vendi ku jeni identifikuar për herë të fundit në llogarinë tuaj. Kjo funksionon mirë kundër robotëve, por niveli i mbrojtjes kundër phishing mund të bjerë në 10%, dhe praktikisht nuk ka mbrojtje kundër sulmeve të synuara. Kjo ndodh sepse faqet e phishing dhe sulmuesit e synuar mund t'ju detyrojnë të zbuloni çdo informacion shtesë që Google mund të kërkojë për verifikim.
Duke pasur parasysh përfitimet e një mbrojtjeje të tillë, dikush mund të pyesë pse nuk e kërkojmë atë për çdo hyrje. Përgjigja është se do të krijonte kompleksitet shtesë për përdoruesit (sidomos për të papërgatiturit - përafërsisht. përkthimi.) dhe do të rriste rrezikun e pezullimit të llogarisë. Eksperimenti zbuloi se 38% e përdoruesve nuk kishin akses në telefonin e tyre kur hynin në llogarinë e tyre. Një tjetër 34% e përdoruesve nuk mund të mbanin mend adresën e tyre dytësore të emailit.
Nëse e keni humbur aksesin në telefonin tuaj ose nuk mund të identifikoheni, mund të ktheheni gjithmonë te pajisja e besuar nga e cila jeni identifikuar më parë për të hyrë në llogarinë tuaj.
Kuptimi i sulmeve hack-for-hire
Aty ku shumica e mbrojtjeve të automatizuara bllokojnë shumicën e robotëve dhe sulmeve të phishing, sulmet e synuara bëhen më të dëmshme. Si pjesë e përpjekjeve tona të vazhdueshme për të , ne po identifikojmë vazhdimisht grupe të reja kriminale hakerimi me qira që paguajnë mesatarisht 750 dollarë për të hakuar një llogari. Këta sulmues shpesh mbështeten në emailet e phishing që imitojnë anëtarët e familjes, kolegët, zyrtarët e qeverisë apo edhe Google. Nëse objektivi nuk heq dorë nga përpjekja e parë e phishing, sulmet e mëvonshme vazhdojnë për më shumë se një muaj.
Një shembull i një sulmi phishing nga njeriu në mes që verifikon saktësinë e një fjalëkalimi në kohë reale. Faqja e phishing më pas i kërkon viktimave të fusin kodet e vërtetimit SMS për të hyrë në llogarinë e viktimës.
Ne vlerësojmë se vetëm një në një milion përdorues është në këtë rrezik të lartë. Sulmuesit nuk synojnë njerëz të rastësishëm. Ndërsa kërkimet tregojnë se mbrojtjet tona të automatizuara mund të ndihmojnë në vonimin dhe madje parandalimin e deri në 66% të sulmeve të synuara që kemi studiuar, ne ende rekomandojmë që përdoruesit me rrezik të lartë të regjistrohen me . Siç u vu re gjatë hetimit tonë, përdoruesit që përdorin ekskluzivisht çelësat e sigurisë (domethënë, vërtetimi me dy hapa duke përdorur kodet e dërguara përdoruesve - përafërsisht. përkthimi), janë bërë viktima të spear phishing.
Merrni pak kohë për të mbrojtur llogarinë tuaj
Ju përdorni rripat e sigurimit për të mbrojtur jetën dhe gjymtyrët ndërsa udhëtoni në makina. Dhe me ndihmën tonë ju mund të siguroni sigurinë e llogarisë tuaj.
Hulumtimi ynë tregon se një nga gjërat më të lehta që mund të bëni për të mbrojtur llogarinë tuaj të Google është të konfiguroni një numër telefoni. Për përdoruesit me rrezik të lartë si gazetarët, aktivistët e komunitetit, drejtuesit e biznesit dhe ekipet e fushatës politike, programi ynë do të ndihmojë në sigurimin e nivelit më të lartë të sigurisë. Ju gjithashtu mund të mbroni llogaritë tuaja jo të Google nga hakimet e fjalëkalimeve duke instaluar shtesën .
Është interesante që Google nuk ndjek këshillat që u jep përdoruesve të saj. për vërtetimin me dy faktorë për më shumë se 85 punonjës të saj. Sipas përfaqësuesve të korporatës, që nga fillimi i përdorimit të argumenteve harduerike, nuk është regjistruar asnjë vjedhje e vetme e llogarisë. Krahasoni me shifrat e paraqitura në këtë raport. Kështu është e qartë se përdorimi i harduerit argumentet për vërtetimin me dy faktorë mënyra e vetme e besueshme për t'u mbrojtur si llogaritë ashtu edhe informacionet (dhe në disa raste edhe paratë).
Për të mbrojtur llogaritë e Google, ne përdorim token të krijuar sipas standardit FIDO U2F, për shembull . Dhe për vërtetimin me dy faktorë në sistemet operative Windows, Linux dhe MacOS, .
(Shënimi i përkthyesit)
Burimi: www.habr.com