Mật khẩu an toàn, tên người dùng bị lộ: vẫn công thức cho thảm họa

Trong mỗi cuộc tấn công gần đây vào Evernote, Facebook, Twitter và các công ty khác, các công ty liên quan đã nhanh chóng chỉ ra rằng mật khẩu vẫn được bảo mật. Nhưng thông tin người dùng có một cuộc sống riêng và tác động của một cuộc tấn công vào một cá nhân có thể được cảm nhận rất lâu sau khi cuộc tấn công kết thúc.

Các cuộc tấn công chúng tôi đã thấy

Thông thường những gì bạn nghe thấy khi một công ty lớn bị xâm phạm là điều gì đó dọc theo cách thông tin thanh toán vẫn được bảo mật, mật khẩu được mã hóa, nhưng thông tin khác có thể truy cập được. Thông thường, điều này bao gồm tên người dùng và email.

Đối với hầu hết chúng ta, điều đó có vẻ không nguy hiểm. Rốt cuộc, chúng tôi đưa ra các email của riêng mình mọi lúc mà chúng tôi thậm chí còn đăng chúng trực tuyến. Nhưng có những rủi ro cho những người dùng thậm chí đã tiếp xúc với lượng thông tin nhỏ này.

Derek Halliday, quản lý sản phẩm cao cấp tại bảo mật di động của Lookout đã giải thích với SecurityWatch về cách các bit thông tin này có thể khiến người dùng nhắm mục tiêu. "Thông tin tài khoản có thể được sử dụng để có khả năng kích hoạt spearphishing vì nó cung cấp một số thông tin theo ngữ cảnh độc đáo về con người - một cách để liên hệ với họ", ông nói. "Và thực tế là họ đã có lúc đăng ký một dịch vụ cụ thể."

Đây là lý do tại sao các email cảnh báo hợp pháp thường xuyên nhắc nhở người dùng có thể đã tiết lộ thông tin của họ rằng sẽ không có ai hỏi mật khẩu của họ. Nếu tin tặc biết bạn sử dụng Evernote (ví dụ), thì việc tạo một thông báo dường như là từ Evernote và gửi đến địa chỉ email bạn sử dụng để quản lý tài khoản của bạn là một công việc ngắn. Có lẽ nó sẽ nhắc bạn cung cấp mật khẩu hoặc thông tin thanh toán hoặc có thể lừa bạn nhấp vào liên kết độc hại.

"Chúng tôi đã chứng kiến ​​những tên tội phạm mạng sẵn sàng tham gia vào 'con lừa dài'", Mark Risher, người đồng sáng lập và CEO của Impermium nói. "Một cuộc tấn công gồm nhiều bước vượt ra ngoài việc ăn cắp dữ liệu nhạy cảm trực tiếp."

"Khi bọn tội phạm xâm nhập vào tài khoản mạng xã hội, chúng thường có thể tìm thấy các chi tiết cá nhân bổ sung tính hợp pháp cho một giáo phái", Risher tiếp tục, người đã trích dẫn một hiệp hội cựu sinh viên như một chi tiết cá nhân như vậy. Ông giải thích rằng có thể được sử dụng để mở khóa tính năng "câu hỏi bí mật" mà đôi khi hỏi linh vật trường học của bạn là gì, hoặc tên của con thú cưng đầu tiên của bạn trên một trang web khác.

Trường hợp xấu nhất

Chester Wisniewski, cố vấn bảo mật cao cấp tại Sophos, nói rằng mặc dù Evernote và các trang web bị xâm nhập gần đây đã bảo mật mật khẩu của họ bằng băm mật mã và dữ liệu "muối" ngẫu nhiên, nhưng không phải tất cả người dùng đều được bảo vệ. Ông giải thích rằng nếu người dùng chọn mật khẩu yếu hoặc phổ biến, "thì bọn tội phạm có thể có nó".

Với thông tin hạn chế có sẵn, mật khẩu dễ dàng hơn vẫn có thể được truy xuất. "Những tên tội phạm sẽ băm những người thực sự dễ dàng, và có thể không bận tâm đến những người còn lại, " Wisniewski nói.

Đối với một số kẻ xấu, chỉ cần có được quyền truy cập vào các tài khoản truyền thông xã hội như Facebook hoặc Twitter là đủ. Một số sử dụng nó như một cơ hội để kiếm tiền, bằng cách cố gắng lây nhiễm phần mềm độc hại. Những kẻ tấn công táo bạo hơn có thể cố gắng sử dụng mật khẩu bị đánh cắp để mở khóa tài khoản webmail.

"Họ thường tìm thư từ ngân hàng của người dùng, đôi khi có một tính năng 'Tôi quên mật khẩu của mình' tại ngân hàng đó chỉ dựa vào việc có quyền truy cập vào tài khoản email, " Risher nói.

Tiếp tục trong trường hợp xấu nhất, những kẻ tấn công có thể không được thực hiện một khi chúng đã có quyền truy cập vào thông tin ngân hàng trực tuyến. "Rất nhiều trong số những kẻ này sẽ không trực tiếp tham gia vào hành vi trộm cắp danh tính, họ sẽ bán nó đi", Wisniewski nói.

Anh ta tiếp tục giải thích rằng trong trường hợp trojan ngân hàng, những kẻ tấn công sẽ sử dụng 10 phần trăm tài khoản hàng đầu, đó là những tài khoản có nhiều tiền nhất có sẵn và bán 90% thông tin khác. Điều này có nghĩa là thông tin người dùng, một khi bị xâm phạm, có thể tiếp tục được sử dụng và sử dụng lại cho đến khi chủ sở hữu cuối cùng lấy lại quyền kiểm soát.

Giữ an toàn cho bản thân

"Tin tốt trong tất cả những người gần đây là không có gì có thể nhận dạng cá nhân", Wisniewski, người đã nhấn mạnh nhiều lần rằng các công ty bị ảnh hưởng ít nhất dường như đã thực hiện các bước tốt để bảo mật thông tin người dùng.

Nhưng như chúng ta đã thấy, điều đó không phải lúc nào cũng đủ. Người dùng cần lưu ý các cảnh báo để thay đổi mật khẩu khi được nhắc nhở bởi các dịch vụ bị hack. Họ cũng nên cố gắng chọn mật khẩu mạnh và duy nhất cho mọi dịch vụ trực tuyến, có thể sử dụng trình quản lý mật khẩu để thực hiện công việc dễ dàng hơn.

Điều quan trọng cần hiểu là thông tin người dùng là có giá trị và vẫn có thể hữu ích cho những kẻ tấn công sau khi bạn đã bảo mật một tài khoản bị ảnh hưởng. Internet cung cấp nhiều cách để vui chơi và làm việc, nhưng nó cũng cung cấp nhiều cách để tấn công.