A hónap elején az arizonai székhelyű Gen Digital technológiai vállalat tulajdonában lévő NortonLifeLock online személyazonosság-védelmi szolgáltatás biztonsági figyelmeztetést küldött számos ügyfelének.
A figyelmeztető levél online megtekinthető, például a honlapon A vermonti főügyész hivatala, ahol a cím alatt megjelenik NortonLifeLock – Generális digitális adatsértési figyelmeztetés a fogyasztóknak.
A levél félelmetesen hangzó üdvözlettel kezdődik, amely így szól:
Azért írunk, hogy értesítsük a személyes adataival kapcsolatos incidensről.
A következőképpen folytatódik:
[Behatolásészlelő rendszereink] figyelmeztettek bennünket, hogy egy illetéktelen fél valószínűleg tudomást szerzett arról az e-mail-címről és jelszaváról, amelyet Ön Norton-fiókjával […] és Norton Password Managerével használt. Javasoljuk, hogy azonnal változtassa meg jelszavait nálunk és máshol.
Ami a bevezető bekezdést illeti, ez meglehetősen egyszerű, és egyszerű, bár potenciálisan időigényes tanácsokat tartalmaz: valószínűleg valaki más, mint te, valószínűleg ismeri a Norton-fiókod jelszavát; lehet, hogy bekukkanthattak a jelszókezelőbe is; kérjük, a lehető leghamarabb változtasson meg minden jelszót.
Mi történt itt?
De mi történt itt valójában, és ez a hagyományos értelemben vett jogsértés?
Hiszen a LastPass, a jelszókezelő játék másik jól ismert neve a közelmúltban nemcsak azt jelentette be, hogy hálózati behatolást szenvedett, hanem azt is, hogy az ügyféladatok beleértve a titkosított jelszavakat is, ellopták.
A LastPass esetében szerencsére az ellopott jelszavak nem voltak közvetlen és azonnali hasznuk a támadóknak, mert minden felhasználó jelszótárolóját egy fő jelszó védte, amelyet nem a LastPass tárolt, így nem is lopták el egy időben. .
A szélhámosoknak továbbra is először a fő jelszavakat kell feltörniük, ami hetekig, évekig, évtizedekig vagy akár tovább is tarthat minden felhasználó számára, attól függően, hogy mennyire bölcsen választották ki a jelszavakat.
Rossz választások, mint pl 123456
és a iloveyou
valószínűleg a repedés első néhány órájában dübörögtek, de kevésbé kiszámítható kombinációk, mint pl DaDafD$&RaDogS
or tVqFHAAPTjTUmOax
szinte biztosan sokkal tovább bírja, mint amennyibe a jelszavak megváltoztatása a trezorban kellene.
De ha a LifeLock éppen megsértést szenvedett, és a cég arra figyelmeztet, hogy valaki más már ismerte egyes felhasználók fiókjainak jelszavát, és talán az összes többi jelszavának fő jelszavát is…
… nem sokkal rosszabb?
Ezeket a jelszavakat már feltörték valahogy?
Másfajta jogsértés
A jó hír az, hogy ez az eset egészen másfajta „jogsértésnek” tűnik, valószínűleg az a kockázatos gyakorlat, hogy ugyanazt a jelszót több különböző online szolgáltatáshoz használjuk annak érdekében, hogy egy kicsit gyorsabb legyen a bejelentkezés a gyakran használt webhelyekre. és könnyebb.
Közvetlenül a LifeLock korai tanácsa után, hogy változtassa meg jelszavait, a vállalat azt javasolja, hogy:
[B]2022-12-01 körül egy illetéktelen harmadik fél egy másik forrásból, például a sötét webből származó felhasználónevek és jelszavak listáját használta fel, hogy megpróbáljon bejelentkezni a Norton ügyfélfiókjaiba. A saját rendszereinket nem sértették meg. Meggyőződésünk azonban, hogy egy illetéktelen harmadik fél ismeri és felhasználta az Ön felhasználónevét és jelszavát a fiókjához.
Nyilvánvaló a probléma, ha ugyanazt a jelszót több különböző fiókban használod – ha valamelyik fiókod feltört, akkor az összes fiókod ugyanolyan jó, mint az, mert az ellopott jelszó kulcsfontosságú kulcsként működik a többi érintett szolgáltatáshoz. .
Hitelesítési töltelék elmagyarázva
Valójában az a folyamat, amelynek során tesztelik, hogy egy ellopott jelszó működik-e több fiókban, annyira népszerű a kiberbűnözők körében (és olyan könnyen automatizálható), hogy még külön neve is van: hitelesítő adatok kitöltése.
Ha egy online bûnözõ kitalálja, vásárol a sötét weben, ellop vagy adathalász jelszót bármely Ön által használt fiókhoz, még olyan alacsony szintûekhez is, mint a helyi híroldal vagy a sportklub, szinte azonnal megpróbálja ugyanazt a jelszót más valószínű fiókok az Ön nevében.
Egyszerűen fogalmazva, a támadók elveszik az Ön felhasználónevét, kombinálják a már ismert jelszóval, és dolog azok Megbízólevél annyi népszerű szolgáltatás bejelentkezési oldalára, amennyit csak tudnak.
Manapság sok szolgáltatás szereti az Ön e-mail címét felhasználónévként használni, ami ezt a folyamatot még kiszámíthatóbbá teszi a rosszfiúk számára.
Egyébként nem sokat segít egyetlen, nehezen kitalálható jelszó „szár” használata és a különböző fiókokhoz tartozó módosítások hozzáadása sem.
Itt próbál hamis „bonyolultságot” létrehozni úgy, hogy egy közös összetevővel kezdi is bonyolult, mint pl Xo3LCZ6DD4+aY
, majd hozzáfűzve olyan egyszerű módosítókat, mint pl -fb
a Facebook számára, -tw
a Twitterhez és -tt
a Tik Tok számára.
Azok a jelszavak, amelyek akár egyetlen karakterrel is változnak, teljesen más kódolt jelszókivonattal végződnek, így az ellopott jelszókivonat-adatbázisok nem árulnak el semmit arról, hogy mennyire hasonlóak a különböző jelszóválasztások…
…de a hitelesítő adatok kitöltési támadásait akkor használják, amikor a támadók már ismerik a jelszó egyszerű szövegét, ezért létfontosságú, hogy elkerüljük, hogy minden egyes passort praktikus tanáccsá változtasson a többiek számára.
A titkosítatlan jelszavak bűnözők kezébe kerülésének gyakori módjai a következők:
- Adathalász támadások, ahol véletlenül rossz webhelyre írja be a megfelelő jelszót, így azt közvetlenül a bűnözőknek küldik el, ahelyett, hogy arra a szolgáltatásra, ahová ténylegesen be akartak jelentkezni.
- Keylogger spyware, rosszindulatú szoftver, amely szándékosan rögzíti a nyers billentyűleütéseket, amelyeket a böngészőjébe vagy a laptop vagy a telefon más alkalmazásaiba ír be.
- Rossz szerveroldali naplózási higiénia, ahol az online szolgáltatásba betörő bűnözők rájönnek, hogy a cég véletlenül egyszerű szöveges jelszavakat naplózott a lemezre, ahelyett, hogy csak ideiglenesen tárolta volna a memóriában.
- RAM-kaparó rosszindulatú program, amely feltört szervereken fut, hogy figyeljen a memóriában átmenetileg megjelenő valószínű adatmintákra, például hitelkártyaadatokra, azonosítószámokra és jelszavakra.
Nem az áldozatokat hibáztatja?
Még akkor is, ha úgy tűnik, hogy magát a LifeLockot nem törték fel, a hagyományos értelemben vett kiberbűnözők behatolnak a cég saját hálózataiba, és úgymond belülről leskelődnek az adatokra…
…láttunk néhány kritikát az eset kezelésével kapcsolatban.
Az igazságosság kedvéért a kiberbiztonsági szolgáltatók nem mindig tudják megakadályozni, hogy ügyfeleik „rosszul járjanak el” (például a Sophos-termékeknél mindent megteszünk annak érdekében, hogy a képernyőn világosan és merészen figyelmeztessük, ha olyan konfigurációs beállításokat választ, amelyek kockázatosabb, mint ajánljuk, de nem kényszeríthetjük arra, hogy fogadja el tanácsunkat).
Nevezetesen, egy online szolgáltatás nem akadályozhatja meg könnyen abban, hogy pontosan ugyanazt a jelszót állítsa be más webhelyeken – már csak azért sem, mert ehhez össze kell szövetkeznie ezekkel a más webhelyekkel, vagy saját hitelesítő adatok kitöltési tesztjeit kell elvégeznie, így a jogsértést. jelszavad szentsége.
Mindazonáltal egyes kritikusok azt sugallják, hogy a LifeLock gyorsabban észlelhette volna ezeket a tömeges jelszótömörítő támadásokat, talán a bejelentkezési kísérletek szokatlan mintázatának észlelésével, feltehetően sok olyan is előfordult, amely sikertelen volt, mert legalább néhány feltört felhasználó nem használta újra. jelszavak miatt, vagy mert az ellopott jelszavak adatbázisa pontatlan vagy elavult volt.
A kritikusok megjegyzik, hogy 12 nap telt el a hamis bejelentkezési kísérletek megkezdése és az anomália észlelése között (2022-12-01 és 2022-12-12), valamint további 10 nap a probléma első észlelése és a probléma kiderítése között. szinte minden bizonnyal a feltört adatok miatt, amelyeket nem a vállalat saját hálózataiból szereztek be.
Mások azon tűnődtek, hogy a vállalat miért várt a 2023-as újévig (2022-12-12-től 2023-01-09-ig), hogy elküldje a „sértésről” szóló értesítést az érintett felhasználóknak, ha 2022 karácsonya előtt tudott a tömeges jelszóbetöltési kísérletekről.
Nem próbáljuk meg kitalálni, hogy a cég tudott-e gyorsabban reagálni, de érdemes megjegyezni – ha ez valaha megtörténik Önnel –, hogy az összes lényeges tény megállapítása, miután megkapta a „sértésre” vonatkozó állításokat, mamut lehet. vállalkozás.
Bosszantó, és talán ironikus módon, amikor kiderül, hogy Önt közvetlenül megsértették az ún aktív ellenfelek gyakran nyomasztóan könnyű.
Bárki, aki látott már több száz számítógépen egyidejűleg egy zsarolóvírus-zsaroló üzenetet, amely több ezer vagy millió dollárnyi kriptocoint követel, sajnálatos módon tanúsítja ezt.
De kitalálni, mik a kiberbűnözők határozottan nem tette A hálózatodba való áthelyezése, ami lényegében negatívumnak bizonyul, gyakran időigényes gyakorlat, legalábbis ha azt tudományosan és kellő pontossággal akarod megtenni ahhoz, hogy meggyőzd magad, ügyfeleid és a szabályozó hatóságok.
Mit kell tenni?
Ami az áldozathibáztatást illeti, mindazonáltal létfontosságú megjegyezni, hogy amennyire tudjuk, a LifeLock vagy bármely más szolgáltatás, ahol a jelszavakat újrafelhasználták, most önmagában nem tud semmit megtenni, hogy kijavítsa a hiba hátterét. ez a probléma.
Más szóval, ha a csalók bejutnak a fiókjaiba a tisztességesen biztonságos P, Q és R szolgáltatásokon pusztán azért, mert felfedezték, hogy ugyanazt a jelszót használta a nem túl biztonságos S oldalon, akkor ezek a biztonságosabb webhelyek nem akadályozhatják meg, hogy hasonló kockázatot jelent a jövőben.
Tehát azonnali tippjeink a következők:
- Ha megszokta a jelszavak újrahasználatát, ne csinálja többé! Ez az eset csak egy a történelem sok közül, amelyek felhívják a figyelmet az ezzel járó veszélyekre. Ne feledje, hogy ez a figyelmeztetés az egyes fiókokhoz eltérő jelszó használatára mindenkire vonatkozik, nem csak a LifeLock-ügyfelekre.
- Ne használjon kapcsolódó jelszavakat különböző webhelyeken. Az összetett jelszótörzs és az egyes webhelyek egyedi, könnyen megjegyezhető utótagja a szó szoros értelmében más jelszót ad minden webhelyen. Ez a viselkedés azonban nyilvánvaló mintát hagy maga után, amelyet a szélhámosok valószínűleg kitalálnak, akár egyetlen feltört jelszómintából is. Ez a „trükk” csak hamis biztonságérzetet ad.
- Ha értesítést kapott a LifeLocktól, kövesse a levélben található tanácsokat. Lehetséges, hogy egyes felhasználók értesítéseket kaphatnak szokatlan bejelentkezések miatt, amelyek mégis jogosak voltak (pl. nyaralásuk alatt), de mindenképpen olvassa el figyelmesen.
- Fontolja meg a 2FA bekapcsolását minden olyan fiókban, amelyet csak tudja. Maga a LifeLock a 2FA-t (kéttényezős hitelesítés) ajánlja a Norton-fiókokhoz, és minden olyan fiókhoz, ahol a kétfaktoros bejelentkezés támogatott. Egyetértünk, mert a lopott jelszavakat önmagukban sokkal kevésbé használják a támadók, ha 2FA is van az útjukban. Tegye ezt, akár LifeLock-ügyfél, akár nem.
Mégis előfordulhat, hogy a jelszavak nélküli digitális világba kerülünk – sok online szolgáltatás már most is ebbe az irányba próbál elmozdulni, és kizárólag az online személyazonosság ellenőrzésének más módjaira szeretne váltani, például speciális hardveres tokenek használatával vagy biometrikus mérésekkel. helyette.
De a jelszavak már több mint fél évszázada velünk vannak, ezért gyanítjuk, hogy még sok évig velünk lesznek, néhány vagy sok, ha már nem az összes online fiókunknál.
Bár még mindig leragadtunk a jelszavakkal, törekedjünk arra, hogy azokat úgy használjuk, hogy a lehető legkevesebb segítséget nyújtsunk a kiberbűnözőknek.
- SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
- Platoblockchain. Web3 metaverzum intelligencia. Felerősített tudás. Hozzáférés itt.
- Forrás: https://nakedsecurity.sophos.com/2023/01/17/serious-security-unravelling-the-nortonlifelock-hacked-passwords-story/
- 1
- 10
- 2022
- 2023
- 2FA
- a
- Képes
- Rólunk
- Abszolút
- Elfogad!
- Fiók
- Fiókok
- pontosság
- szerzett
- át
- cselekmények
- tulajdonképpen
- cím
- tanács
- Után
- Minden termék
- már
- mindig
- és a
- bejelentés
- Másik
- megjelenik
- alkalmazások
- Archív
- körül
- Támadások
- megkísérelt
- Kísérletek
- figyelem
- ügyvéd
- Hitelesítés
- szerző
- auto
- Automatizált
- background-image
- Rossz
- mert
- előtt
- Hisz
- BEST
- között
- biometrikus
- Bit
- Zsarolás
- hibáztatása
- határ
- Alsó
- megsértése
- szünet
- Törés
- böngésző
- vásárol
- kártya
- gondosan
- eset
- Okoz
- okozott
- Központ
- Század
- biztosan
- változik
- karakter
- ellenőrzése
- választás
- A pop-art design, négy időzóna kijelzése egyszerre és méretének arányai azok az érvek, amelyek a NeXtime Time Zones-t kiváló választássá teszik. Válassza a
- választott
- Karácsony
- követelések
- klub
- szín
- kombinációk
- össze
- kombinált
- Közös
- vállalat
- Társaságé
- bonyolult
- bonyolult
- összetevő
- Veszélyeztetett
- számítógépek
- Magatartás
- Configuration
- tartalmaz
- tovább
- hagyományos
- meggyőz
- tudott
- terjed
- repedés
- teremt
- HITELEZÉS
- hitel
- hitelkártya
- Bűnügyi
- bűnözők
- kritika
- Critics
- vevő
- ügyféladatok
- Ügyfelek
- kiberbűnözők
- Kiberbiztonság
- veszélyeket
- sötét
- Sötét web
- dátum
- adatok megsértése
- adatbázis
- adatbázisok
- Nap
- évtizedek
- igényes
- attól
- részletek
- Érzékelés
- eltökélt
- meghatározó
- DID
- különböző
- digitális
- digitális világ
- közvetlen
- irány
- közvetlenül
- felfedez
- felfedezett
- kijelző
- Nem
- dollár
- ne
- le-
- minden
- Korai
- könnyebb
- könnyen
- erőfeszítés
- bármelyik
- máshol
- titkosított
- lényegében
- Még
- EVER
- mindenki
- pontosan
- példa
- kizárólagosan
- Gyakorol
- Sikertelen
- igazságos
- hamisítvány
- Esik
- kevés
- Ábra
- megtalálása
- vezetéknév
- Rögzít
- következik
- következik
- Kényszer
- szerencsére
- ból ből
- további
- jövő
- játék
- Gen
- kap
- Ad
- ad
- Go
- megy
- jó
- fél
- kezek
- ügyes
- történt
- megtörténik
- hardver
- hash
- magasság
- segít
- itt
- történelem
- tart
- NYITVATARTÁS
- lebeg
- Hogyan
- azonban
- HTTPS
- Több száz
- Identitás
- azonnali
- azonnal
- in
- incidens
- tartalmaz
- Beleértve
- információ
- helyette
- részt
- Ironikusan
- kérdés
- IT
- maga
- csak egy
- tartás
- Kulcs
- Ismer
- tudás
- hordozható számítógép
- LastPass
- levél
- szint
- Valószínű
- Lista
- kis
- helyi
- hosszabb
- keres
- MEGJELENÉS
- csinál
- KÉSZÍT
- malware
- vezetés
- menedzser
- sok
- Margó
- mester
- max-width
- mérések
- Memory design
- esetleg
- Több millió
- Módosítások
- Hónap
- több
- mozog
- többszörös
- név
- Szükség
- negatív
- hálózat
- hálózatok
- Mindazonáltal
- Új
- újév
- hír
- normális
- bejelentés
- értesítések
- számok
- kapott
- Nyilvánvaló
- ONE
- online
- nyitás
- érdekében
- Más
- Egyéb
- saját
- tulajdonú
- párt
- Jelszó
- Jelszókezelés
- Password Manager
- jelszavak
- Mintás
- minták
- Paul
- talán
- személyes
- telefon
- Plató
- Platón adatintelligencia
- PlatoData
- kérem
- Népszerű
- pozíció
- lehetséges
- Hozzászólások
- potenciálisan
- gyakorlat
- Kiszámítható
- szép
- megakadályozása
- valószínűleg
- Probléma
- folyamat
- Termékek
- védett
- védelem
- tesz
- gyorsabb
- gyorsan
- ransomware
- Nyers
- Olvass
- kap
- kapott
- nemrég
- ajánl
- ajánlja
- nyilvántartások
- Szabályozók
- összefüggő
- eszébe jut
- emlékezés
- Kockázat
- Kockázatos
- azonos
- biztonság
- Úgy tűnik,
- értelemben
- súlyos
- Szerverek
- szolgáltatás
- Szolgáltatások
- beállítás
- beállítások
- számos
- hasonló
- egyszerűen
- egyszerre
- egyetlen
- weboldal
- Webhely (ek)
- bepillantás
- So
- szoftver
- szilárd
- néhány
- Valaki
- valami
- forrás
- beszélő
- speciális
- Sport
- spyware
- Kezdve
- kezdődik
- lop
- Származik
- Még mindig
- lopott
- megáll
- memorizált
- Történet
- egyértelmű
- erősen
- töltelék
- ilyen
- elegendő
- javasolja,
- Támogatott
- SVG
- Systems
- Vesz
- bevétel
- Feladat
- Technológia
- Tesztelés
- tesztek
- A
- azok
- ebből adódóan
- Harmadik
- ezer
- Keresztül
- Tik Tok
- idő
- időigényes
- tippek
- Cím
- nak nek
- tokenek
- felső
- TELJESEN
- átmenet
- átlátszó
- Turning
- alatt
- egyedi
- URL
- us
- használ
- használó
- Felhasználók
- hasznosított
- vakáció
- Boltozat
- gyártók
- Vermont
- áldozatok
- megsértése
- fontos
- figyelmeztetés
- Nézz
- módon
- háló
- weboldal
- Hetek
- jól ismert
- Mit
- vajon
- ami
- míg
- WHO
- lesz
- belül
- nélkül
- szavak
- művek
- világ
- érdemes
- lenne
- írás
- Rossz
- év
- év
- te
- A te
- magad
- zephyrnet