Aiemmin tässä kuussa arizonalaisen teknologiayrityksen Gen Digitalin omistama NortonLifeLock online-identiteetin suojauspalvelu lähetti turvavaroituksen monille asiakkailleen.
Varoituskirje on luettavissa verkossa, esimerkiksi viraston verkkosivuilla Vermontin oikeusministerin toimisto, jossa se näkyy otsikon alla NortonLifeLock – Gen Digitaalisten tietojen rikkomusilmoitus kuluttajille.
Kirje alkaa pelottavalta kuulostavalla tervehdyksellä, jossa sanotaan:
Kirjoitamme ilmoittaaksemme sinulle henkilötietoihisi liittyvästä tapahtumasta.
Se jatkuu seuraavasti:
[Työpäiden havaitsemisjärjestelmämme] ilmoitti meille, että luvaton osapuoli todennäköisesti tietää sähköpostiosoitteen ja salasanan, jota olet käyttänyt Norton-tililläsi […] ja Norton Password Managerillasi. Suosittelemme, että vaihdat salasanasi välittömästi meillä ja muualla.
Alkukappaleissa tämä on melko suoraviivainen ja sisältää mutkattomia, joskin mahdollisesti aikaa vieviä neuvoja: joku muu kuin sinä todennäköisesti tietää Norton-tilisi salasanan; he ovat saattaneet kurkistaa myös salasananhallintaasi; vaihda kaikki salasanat mahdollisimman pian.
Mitä täällä tapahtui?
Mutta mitä tässä oikein tapahtui, ja oliko tämä rikkomus tavanomaisessa mielessä?
Loppujen lopuksi LastPass, toinen tunnettu nimi salasanojen hallintapelissä, ilmoitti äskettäin paitsi kärsineensä verkkotunkeutumisesta, myös siitä, että asiakastiedot, mukaan lukien salatut salasanat, oli varastettu.
LastPassin tapauksessa varastetuista salasanoista ei onneksi ollut suoraa ja välitöntä hyötyä hyökkääjille, koska jokaisen käyttäjän salasanavarasto oli suojattu pääsalasanalla, jota LastPass ei tallentanut, joten sitä ei varastettu samalla kertaa. .
Huijareiden täytyy silti murtaa pääsalasanat ensin, mikä saattaa kestää viikkoja, vuosia, vuosikymmeniä tai jopa pidempään jokaisella käyttäjällä riippuen siitä, kuinka viisaasti nuo salasanat on valittu.
Huonoja valintoja mm 123456
ja iloveyou
luultavasti jyrisi muutaman ensimmäisen tunnin aikana halkeilusta, mutta vähemmän ennustettavia yhdistelmiä, kuten DaDafD$&RaDogS
or tVqFHAAPTjTUmOax
kestää lähes varmasti paljon kauemmin kuin varastosi salasanojen vaihtaminen kestäisi.
Mutta jos LifeLock vain joutui rikkoutumaan ja yritys varoittaa, että joku muu tiesi jo joidenkin käyttäjien tilien salasanat ja ehkä myös kaikkien muiden salasanojen pääsalasanan…
…eikö se ole paljon pahempaa?
Onko nuo salasanat jo murrettu jotenkin?
Erilainen rikkomus
Hyvä uutinen on, että tämä tapaus näyttää olevan aivan toisenlainen "loukkaus", joka johtuu luultavasti riskialtis käytännöstä käyttää samaa salasanaa useissa eri verkkopalveluissa nopeuttaakseen kirjautumista yleisesti käyttämillesi sivustoille. ja helpompaa.
Heti LifeLockin varhaisen neuvon jälkeen mennä vaihtamaan salasanasi, yritys ehdottaa, että:
[B]Noin 2022-12-01 alkaen luvaton kolmas osapuoli oli käyttänyt luetteloa käyttäjätunnuksista ja salasanoista, jotka oli hankittu toisesta lähteestä, kuten pimeästä webistä, yrittääkseen kirjautua Norton-asiakastileille. Omia järjestelmiämme ei vaarannettu. Uskomme kuitenkin vahvasti, että luvaton kolmas osapuoli tietää ja on käyttänyt käyttäjätunnustasi ja salasanaasi tilissäsi.
Ongelma saman salasanan käyttämisessä useilla eri tileillä on ilmeinen – jos jokin tilistäsi vaarantuu, kaikki tilisi ovat yhtä hyvät kuin vaarantuneet, koska yksi varastettu salasana toimii kuin luurankoavain muille asiaan liittyville palveluille. .
Valtuustietojen täyttäminen selitetty
Itse asiassa prosessi, jossa testataan, toimiiko yksi varastettu salasana useilla tileillä, on niin suosittu verkkorikollisten keskuudessa (ja se on niin helposti automatisoitu), että sillä on jopa erityinen nimi: valtakirjan täyttö.
Jos verkkorikollinen arvaa, ostaa pimeässä verkossa, varastaa tai kalastelut salasanan mille tahansa käyttämällesi tilille, jopa niin alhaiselle tasolle kuin paikallinen uutissivustosi tai urheiluseurasi, hän yrittää melkein välittömästi samaa salasanaa muut mahdolliset tilit sinun nimissäsi.
Yksinkertaisesti sanottuna hyökkääjät ottavat käyttäjätunnuksesi, yhdistävät sen jo tuntemaansa salasanaan ja jutut ne Valtakirjojen niin monien suosittujen palvelujen kirjautumissivuille kuin he voivat ajatella.
Nykyään monet palvelut haluavat käyttää sähköpostiosoitettasi käyttäjätunnuksena, mikä tekee tästä prosessista entistä ennakoitavamman Bad Guysille.
Muuten, yhden, vaikeasti arvattavan salasanan ”rungon” käyttäminen ja eri tilien muutosten lisääminen ei myöskään auta paljoa.
Siellä yrität luoda väärennettyä "monimutkaisuutta" aloittamalla yhteisellä komponentilla, joka is monimutkainen, esim Xo3LCZ6DD4+aY
, ja lisäämällä sitten mutkittomia muokkauksia, kuten -fb
Facebookille, -tw
Twitterille ja -tt
Tik Tokille.
Salasanat, jotka vaihtelevat jopa yhden merkin mukaan, päätyvät täysin erilaiseen salattuihin salasanojen tiivisteisiin, joten varastetut salasanahajautustietokannat eivät kerro sinulle mitään siitä, kuinka samanlaisia salasanavalinnat ovat...
…mutta tunnistetietojen täyttämishyökkäyksiä käytetään, kun hyökkääjät tietävät jo salasanasi selkeän tekstin, joten on tärkeää välttää muuttamasta jokaista passoria käteväksi vihjeeksi kaikille muille.
Yleisiä tapoja, joilla salaamattomat salasanat joutuvat rikollisten käsiin, ovat:
- Tietojenkalasteluhyökkäykset, jossa kirjoitat vahingossa oikean salasanan väärälle sivustolle, joten se lähetetään suoraan rikollisille sen palvelun sijaan, johon aioit kirjautua.
- Keylogger-vakoiluohjelmat, haittaohjelma, joka tallentaa tietoisesti selaimeen tai muihin kannettavan tietokoneen tai puhelimen sovelluksiin kirjoittamasi raakanäppäimen painallukset.
- Huono palvelinpuolen kirjaushygienia, jossa verkkopalveluun murtautuvat rikolliset huomaavat, että yritys on vahingossa kirjannut selkokielisiä salasanoja levylle sen sijaan, että olisi pitänyt niitä vain väliaikaisesti muistissa.
- RAM-muistia kaapiva haittaohjelma, joka toimii vaarantuneilla palvelimilla varoakseen todennäköisiä tietomalleja, jotka näkyvät väliaikaisesti muistissa, kuten luottokorttitiedot, tunnusnumerot ja salasanat.
Etkö syytä uhreja?
Vaikka näyttää siltä, että LifeLockia itseään ei rikottu, perinteisessä mielessä kyberrikolliset murtautuivat yrityksen omiin verkkoihin ja nuuskivat tietoja sisältä ikään kuin…
…olemme nähneet kritiikkiä siitä, miten tämä tapaus on käsitelty.
Ollakseni rehellinen, kyberturvallisuustoimittajat eivät aina voi estää asiakkaitaan "tekemästä väärin" (esimerkiksi Sophos-tuotteissa teemme parhaamme varoittaaksemme sinua näytöllä kirkkaasti ja rohkeasti, jos valitset kokoonpanoasetukset, jotka ovat riskialttiimpi kuin suosittelemme, mutta emme voi pakottaa sinua hyväksymään neuvomme).
On huomattava, että verkkopalvelu ei voi helposti estää sinua asettamasta täsmälleen samaa salasanaa muille sivustoille – ei vähiten siksi, että sen olisi tehtävä yhteistyötä kyseisten muiden sivustojen kanssa tehdäkseen niin tai suorittaa omat tunnistetietojen täyttötestit, mikä rikkoo salasanasi pyhyys.
Jotkut kriitikot ovat kuitenkin ehdottaneet, että LifeLock olisi voinut havaita nämä joukkosalasanojen täyttämiseen liittyvät hyökkäykset nopeammin kuin se havaitsi, ehkä havaitsemalla epätavalliset kirjautumisyritykset, joiden joukossa oletettavasti monet epäonnistuivat, koska ainakin jotkut vaarantuneet käyttäjät eivät käyttäneet niitä uudelleen. salasanoja tai koska varastettujen salasanojen tietokanta oli epätarkka tai vanhentunut.
Nämä kriitikot huomauttavat, että virheellisten kirjautumisyritysten alkamisen ja poikkeaman havaitsemisen välillä kului 12 päivää (2022-12-01 - 2022-12-12), ja vielä 10 päivää ensimmäisen ongelman havaitsemisen ja ongelman havaitsemisen välillä. lähes varmasti rikottuihin tietoihin, jotka on hankittu jostain muusta lähteestä kuin yrityksen omista verkoista.
Toiset ovat ihmetelleet, miksi yritys odotti vuoden 2023 uuteen vuoteen (2022-12-12 - 2023-01-09) lähettääkseen "loukkausilmoituksensa" käyttäjille, joita asia koskee, jos se oli tietoinen joukkosalasanojen täyttämisyrityksistä ennen joulua 2022.
Emme aio yrittää arvata, olisiko yritys voinut reagoida nopeammin, mutta kannattaa muistaa – jos näin joskus tapahtuu sinulle – että kaikkien keskeisten tosiasioiden määrittäminen sen jälkeen, kun olet vastaanottanut väitteitä "loukkauksesta" voi olla mammuttia. yritys.
Ärsyttävästi ja ehkä ironisestikin saada selville, että sinua on loukattu suoraan ns aktiivisia vastustajia on usein masentavan helppoa.
Jokainen, joka on nähnyt satojen tietokoneiden näyttävän samanaikaisesti kiristysviestiä, joka on suoraan edessäsi kiristysohjelma, joka vaatii tuhansia tai miljoonia dollareita kryptokoineina, todistaa sen valitettavasti.
Mutta selvittää, mitä verkkohuijareita ei ehdottomasti tehnyt verkostoosi, mikä osoittautuu olennaisesti negatiiviseksi, on usein aikaa vievä harjoitus, ainakin jos haluat tehdä sen tieteellisesti ja riittävällä tarkkuudella vakuuttaaksesi itsesi, asiakkaasi ja sääntelyviranomaiset.
Mitä tehdä?
Mitä tulee uhrien syyttämiseen, on kuitenkin tärkeää huomata, että tietääksemme LifeLock tai mikään muu palvelu, jossa salasanoja on käytetty uudelleen, ei voi nyt tehdä yksinään korjatakseen syyn taustalla. Tämä ongelma.
Toisin sanoen, jos huijarit pääsevät tileillesi kohtuullisen turvallisissa palveluissa P, Q ja R yksinkertaisesti siksi, että he huomasivat, että käytit samaa salasanaa ei-niin turvallisella sivustolla S, nuo turvallisemmat sivustot eivät voi estää sinua ottamaan samanlainen riski tulevaisuudessa.
Joten välittömät vinkkimme ovat:
- Jos sinulla on tapana käyttää salasanoja uudelleen, älä tee sitä enää! Tämä tapaus on vain yksi historian monista, jotka kiinnittävät huomion siihen liittyviin vaaroihin. Muista, että tämä varoitus eri salasanan käytöstä jokaiselle tilille koskee kaikkia, ei vain LifeLock-asiakkaita.
- Älä käytä vastaavia salasanoja eri sivustoilla. Monimutkainen salasanarunko yhdistettynä helposti muistettavaan jokaiselle sivustolle ainutlaatuiseen päätteeseen antaa sinulle kirjaimellisesti eri salasanan jokaisessa sivustossa. Mutta tämä käyttäytyminen jättää kuitenkin ilmeisen kuvion, jonka roistot todennäköisesti ymmärtävät jopa yhdestä vaarantuneesta salasananäytteestä. Tämä "temppu" antaa sinulle vain väärän turvallisuuden tunteen.
- Jos sait ilmoituksen LifeLockilta, noudata kirjeen ohjeita. On mahdollista, että jotkut käyttäjät voivat saada ilmoituksia epätavallisista kirjautumisista, jotka olivat kuitenkin laillisia (esim. ollessaan lomalla), mutta lukekaa se silti huolellisesti läpi.
- Harkitse 2FA:n käyttöönottoa kaikilla mahdollisilla tileillä. LifeLock itse suosittelee 2FA:ta (kaksivaiheinen todennus) Norton-tileille ja kaikille tileille, joilla tuetaan kaksivaiheista kirjautumista. Olemme samaa mieltä, koska varastetut salasanat itsessään ovat paljon vähemmän hyödyllisiä hyökkääjille, jos sinulla on myös 2FA tiellä. Tee tämä riippumatta siitä, oletko LifeLock-asiakas vai et.
Saatamme vielä päätyä digitaaliseen maailmaan, jossa ei ole salasanoja – monet verkkopalvelut yrittävät jo siirtyä tähän suuntaan ja siirtyvät yksinomaan muihin tapoihin tarkistaa online-identiteettisi, kuten käyttämällä erityisiä laitteistotunnisteita tai suorittamaan biometrisiä mittauksia. sen sijaan.
Mutta salasanat ovat olleet käytössämme jo yli puoli vuosisataa, joten epäilemme, että ne ovat meillä vielä monta vuotta, joillakin tai useilla, elleivät enää kaikilla, verkkotileillämme.
Vaikka olemme edelleen jumissa salasanojen kanssa, yritetään määrätietoisesti käyttää niitä tavalla, joka antaa mahdollisimman vähän apua verkkorikollisille.
- SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
- Platoblockchain. Web3 Metaverse Intelligence. Tietoa laajennettu. Pääsy tästä.
- Lähde: https://nakedsecurity.sophos.com/2023/01/17/serious-security-unravelling-the-nortonlifelock-hacked-passwords-story/
- 1
- 10
- 2022
- 2023
- 2FA
- a
- pystyy
- Meistä
- absoluuttinen
- Hyväksyä
- Tili
- Tilit
- tarkkuus
- hankittu
- poikki
- säädökset
- todella
- osoite
- neuvot
- Jälkeen
- Kaikki
- jo
- aina
- ja
- ilmoitti
- Toinen
- näyttää
- sovellukset
- Archive
- noin
- Hyökkäykset
- yritettiin
- yrityksiä
- huomio
- asianajaja
- Authentication
- kirjoittaja
- auto
- Automatisoitu
- background-image
- Huono
- koska
- ennen
- Uskoa
- PARAS
- välillä
- biometriset
- Bitti
- Kiristää
- syyttäen
- reunus
- pohja
- rikkominen
- Tauko
- Breaking
- selain
- Ostaa
- kortti
- huolellisesti
- tapaus
- Aiheuttaa
- aiheutti
- keskus
- Century
- varmasti
- muuttaa
- merkki
- tarkkailun
- valintoja
- Valita
- valittu
- Joulu
- vaatimukset
- maila
- väri
- yhdistelmät
- yhdistää
- yhdistetty
- Yhteinen
- yritys
- Yrityksen
- monimutkainen
- monimutkainen
- komponentti
- Vaarantunut
- tietokoneet
- Suorittaa
- Konfigurointi
- sisältää
- jatkuu
- tavanomainen
- vakuuttaa
- voisi
- kattaa
- crack
- luoda
- TOIMINTAKERTOMUS
- pisteitä
- luottokortti
- Rikollinen
- rikolliset
- kritiikki
- kriitikot
- asiakas
- asiakastiedot
- Asiakkaat
- verkkorikollisille
- tietoverkkojen
- vaaroista
- tumma
- tumma Web
- tiedot
- tietoturvaloukkauksesta
- tietokanta
- tietokannat
- päivää
- vuosikymmeninä
- vaativa
- Riippuen
- yksityiskohdat
- Detection
- määritetty
- määritetään
- DID
- eri
- digitaalinen
- digitaalinen maailma
- ohjata
- suunta
- suoraan
- löytää
- löysi
- näyttö
- ei
- dollaria
- Dont
- alas
- kukin
- Varhainen
- helpompaa
- helposti
- vaivaa
- myöskään
- muualla
- salattu
- olennaisesti
- Jopa
- EVER
- jokainen
- täsmälleen
- esimerkki
- yksinomaan
- Käyttää
- Epäonnistui
- oikeudenmukainen
- väärennös
- Pudota
- harvat
- Kuva
- löytäminen
- Etunimi
- Korjata
- seurata
- seuraa
- voima
- Onneksi
- alkaen
- edelleen
- tulevaisuutta
- peli
- Gen
- saada
- Antaa
- antaa
- Go
- menee
- hyvä
- Puoli
- käsissä
- kätevä
- tapahtui
- tapahtuu
- Palvelimet
- hasis
- korkeus
- auttaa
- tätä
- historia
- pitää
- TUNTIA
- liihottaa
- Miten
- Kuitenkin
- HTTPS
- Sadat
- Identiteetti
- Välitön
- heti
- in
- tapaus
- sisältää
- Mukaan lukien
- tiedot
- sen sijaan
- osallistuva
- ironisesti
- kysymys
- IT
- itse
- vain yksi
- pito
- avain
- Tietää
- tuntemus
- kannettava tietokone
- LastPass
- kirjain
- Taso
- Todennäköisesti
- Lista
- vähän
- paikallinen
- kauemmin
- näköinen
- ulkonäkö
- tehdä
- TEE
- haittaohjelmat
- johto
- johtaja
- monet
- Marginaali
- mestari
- max-width
- mitat
- Muisti
- ehkä
- miljoonia
- Muutokset
- Kuukausi
- lisää
- liikkua
- moninkertainen
- nimi
- Tarve
- negatiivinen
- verkko
- verkot
- silti
- Uusi
- uusi vuosi
- uutiset
- normaali
- ilmoituksen
- ilmoitukset
- numerot
- saatu
- Ilmeinen
- ONE
- verkossa
- avaaminen
- tilata
- Muut
- Muuta
- oma
- omistuksessa
- puolue
- Salasana
- Salasanan hallinta
- Password Manager
- salasanat
- Kuvio
- kuviot
- Paavali
- ehkä
- henkilöstö
- puhelin
- Platon
- Platonin tietotieto
- PlatonData
- Ole hyvä
- Suosittu
- sijainti
- mahdollinen
- Viestejä
- mahdollisesti
- harjoitusta.
- Ennustettavissa
- aika
- estää
- todennäköisesti
- Ongelma
- prosessi
- Tuotteemme
- suojattu
- suojaus
- laittaa
- nopeammin
- nopeasti
- ransomware
- raaka
- Lue
- vastaanottaa
- sai
- äskettäin
- suositella
- suosittelee
- asiakirjat
- Säätimet
- liittyvä
- muistaa
- muistaminen
- Riski
- riskialtis
- sama
- turvallisuus
- näyttää
- tunne
- vakava
- servers
- palvelu
- Palvelut
- asetus
- settings
- useat
- samankaltainen
- yksinkertaisesti
- samanaikaisesti
- single
- paikka
- Sivustot
- vakoilla
- So
- Tuotteemme
- vankka
- jonkin verran
- Joku
- jotain
- lähde
- puhuminen
- erityinen
- Urheilu
- spyware
- Aloita
- alkaa
- varastaa
- Varsi
- Yhä
- varastettu
- stop
- tallennettu
- Tarina
- suora
- voimakkaasti
- täyte
- niin
- riittävä
- Ehdottaa
- Tuetut
- SVG
- järjestelmät
- ottaa
- ottaen
- Tehtävä
- Elektroniikka
- Testaus
- testit
- -
- heidän
- siksi
- kolmas
- tuhansia
- Kautta
- Tik Tok
- aika
- aikaavievä
- vinkit
- Otsikko
- että
- tokens
- ylin
- TÄYSIN
- siirtyminen
- läpinäkyvä
- Kääntyminen
- viserrys
- varten
- unique
- URL
- us
- käyttää
- käyttäjä
- Käyttäjät
- hyödynnetty
- loma
- Holvi
- myyjät
- Vermont
- uhrit
- rikkoo
- elintärkeä
- varoitus
- Katso
- tavalla
- verkko
- Verkkosivu
- viikkoa
- tunnettu
- Mitä
- onko
- joka
- vaikka
- KUKA
- tulee
- sisällä
- ilman
- sanoja
- toimii
- maailman-
- arvoinen
- olisi
- kirjoittaminen
- Väärä
- vuosi
- vuotta
- Voit
- Sinun
- itse
- zephyrnet