Hacks Kejuruteraan Sosial dan Akaun Berkaitan: Cara Melindungi Kecurian Identiti

Pada zaman ini, Internet mempunyai hubungan rapat dengan kebanyakan aspek kehidupan dan identiti kita. Hampir semua orang mempunyai profil Facebook, juga mungkin akaun Twitter, halaman LinkedIn, akaun semakan dalam talian, akaun dengan peruncit dalam talian, dan mungkin banyak profil lama di tapak lain yang hanya mengumpul habuk maya. Kebanyakan kita telah mempercayai Internet dengan maklumat kami. Kami yakin bahawa syarikat-syarikat global seperti PayPal, Facebook, Amazon dan semua nama besar lain tidak akan meninggalkan maklumat kami terbuka untuk menggodam. Tetapi kuasa otak kolektif penggodam di seluruh dunia sedang menuju ke arah mencari cara baru dan inovatif untuk melanggar sistem syarikat tersebut.

Ia telah dikatakan sebelum ini, tetapi saya akan mengatakannya sekali lagi: keselamatan hanya sekuat link lemah anda. Tepat bagaimana lemahnya rantaian yang membawa kepada maklumat peribadi anda? Terdapat banyak kelemahan untuk dipertanggungjawabkan dalam kehadiran dalam talian anda: beberapa yang anda mungkin sedar dan orang lain yang tidak pernah anda fikirkan. Perlindungan dan pencegahan adalah kunci dalam proses keselamatan dalam talian anda-lebih mudah untuk menghalang hack daripada membaiki kerosakan selepas salah satu telah berlaku.

Apakah kejuruteraan sosial?

Dalam konteks ini, kejuruteraan sosial adalah kaedah yang digunakan untuk memanipulasi orang-orang dalam membentangkan maklumat peribadi. Artikel baru-baru ini dari Wired's Mat Honan terperinci bagaimana dia menjadi mangsa hack kejuruteraan sosial yang menjadikan kehidupan digitalnya terhempas. Kerentanan di Amazon dan protokol keselamatan Apple membenarkan penggodam mendapat akses kepada satu siri akaun penulis. Penggodam dapat memasuki akaun Amazonnya, yang menyediakan alamat pengebilan serta empat digit terakhir nombor kad kredit. Maklumat ini adalah semua yang diperlukan untuk meyakinkan Apple bahawa penggodam itu adalah Honan, dan dengan itu membenarkannya untuk menetapkan semula kata laluan Apple ID. Dari sana, penggodam mendapat akses ke akaun e-mel Apple-nya, yang kemudiannya membawa kepada akaun Gmailnya, yang menjadi hab maklumat lebih lanjut dalam talian. Inilah kejuruteraan sosial di tempat kerja. Bagaimana peretas tahu bahawa Encik Honan mempunyai akaun Amazon tidak sepenuhnya jelas, tetapi rantaian peristiwa yang menghantarkan mereka kepada kerentanannya patut dicatat:

"Selepas melihat akaun [Twitter] saya, penggodam melakukan beberapa kajian latar belakang. Akaun Twitter saya dipautkan ke laman web peribadi saya, di mana mereka mendapati alamat Gmail saya. Meneka bahawa ini juga alamat e-mel yang saya gunakan untuk Twitter, Phobia [penggodam] pergi ke halaman pemulihan akaun Google. Dia tidak semestinya cuba mendapatkan pemulihan. Ini hanyalah misi rekon. Kerana saya tidak mempunyai pengesahan dua faktor Google, apabila Phobia memasuki alamat Gmail saya, dia dapat melihat e-mel ganti saya telah disediakan untuk pemulihan akaun. Google sebahagiannya mengaburkan maklumat itu, membintangi banyak aksara, tetapi terdapat cukup watak yang tersedia, m •••[email protected]. Jackpot."

Berfikir dua kali mengenai akaun yang dipautkan

Rentetan kehidupan digital anda bermula dan berakhir di suatu tempat, dan jika kerentanan mudah dijumpai, ia akan dieksploitasi. Amazon telah mendakwa bahawa ia telah mengubah prosedur keselamatannya supaya jenis eksploit ini tidak lagi mungkin (bagaimanapun, selepas membaca cerita Wired, saya telah menghapus semua maklumat saya dari Amazon dan akan memasukkannya secara manual setiap kali dari sekarang. Tidak ada perkara yang terlalu berhati-hati). Apple sebaliknya tidak mengatakan bahawa ia telah mengubah dasar-dasar keselamatan-Apple hanya mengatakan langkah keselamatannya tidak diikuti sepenuhnya. Terdapat banyak syarikat lain yang mudah terdedah kepada taktik kejuruteraan sosial, dan akaun berkaitan anda memberitahu mereka di mana untuk bermula. Kadang-kadang eksploitasi yang paling mudah dapat menjadi akaun Facebook anda.

Jejak digital yang membawa kepada kehidupan bukan digital anda

Dengan mengandaikan profil Facebook anda awam, atau bahawa anda menerima permintaan rakan dari orang yang anda tidak benar-benar tahu, apakah profil anda termasuk ulang tahun penuh anda? Alamat e-mel peribadi anda, alamat rumah dan nombor telefon anda? Adakah anda mempunyai gambar haiwan kesayangan lama di mana anda menamakannya, atau adakah anda berkawan dengan ibu anda, yang masih menggunakan nama sulungnya? Adakah gambar anda dari gred pertama yang memaparkan nama sekolah, anda dengan teman wanita pertama anda, atau BFF anda?

Ya, dan mengapa saya bertanya semua soalan peribadi ini? Nah, tarikh lahir dan alamat anda boleh memberikan saya maklumat yang cukup untuk memulakan meniru anda di syarikat lain atau dalam talian. Dalam sesetengah kes, saya mungkin memerlukan empat angka terakhir nombor keselamatan sosial anda, tetapi itu bukan perkara yang anda fikirkan. Jadi mengapa kenapa keluarga pertama anda, nama ibu mama anda, sekolah rendah pertama anda, teman wanita pertama, atau nama sahabat terbaik anda? Mereka semua jawapan kepada soalan keselamatan untuk proses pemulihan akaun. Sekiranya tidak diketahui oleh anda-saya retak e-mel anda, tetapi sasaran sebenar saya adalah akaun bank anda, saya kini mempunyai jawapan kepada soalan keselamatan anda dan saya akan dapat menukar kata laluan pada akaun bank anda untuk mendapatkan akses.Untuk langkah yang baik, saya mungkin akan juga mengubah kata laluan pada e-mel anda, atau jika saya selesai dengan mengeksploitasi, saya boleh memadamkan akaun sepenuhnya. Sudah tentu, terdapat banyak faktor untuk menjadikan situasi ini sesuai, dan terdapat kaedah lain yang boleh digunakan untuk mengambil identiti anda.

Jika anda mempunyai kata laluan yang lemah seperti "bucketKid", sebagai contoh yang benar-benar rawak, serangan kekerasan pada akaun anda akan mengambil masa kira-kira lapan hari untuk memecahkan kata laluan anda (lebih lanjut mengenai bagaimana saya tahu bahawa di bahagian Cadangan). Hanya menambah nombor untuk menjadikannya "bucketKid7" menambah enam tahun pada masa itu akan mengambil penggodam untuk memecahkannya.

Ia juga mungkin bahawa maklumat anda mungkin terdedah sebagai kerosakan cagaran dalam hack syarikat lain. Sekiranya anda menggunakan kata laluan yang sama di beberapa laman web, salah satunya termasuk e-mel anda, maka sudah tiba masanya untuk anda menukar semua kata laluan anda dan menyiasat sejauh mana kerusakan mungkin meleleh. Sekarang, bahawa anda mempunyai senario terburuk dalam fikiran anda, mari kita beralih kepada bagaimana anda sebenarnya boleh melindungi diri anda.

Cadangan laman web kami

Jangan gunakan kata laluan yang sama dua kali! Saya tahu anda telah mendengar bahawa sejuta kali sebelum ini, dan anda mungkin fikir ia tidak praktikal untuk mempunyai berpuluh-puluh kata laluan yang unik di beberapa laman web. Nah, ada dua perkara yang boleh anda lakukan untuk menjadikannya praktikal:

Yang pertama ialah anda boleh menggunakan program untuk membantu anda membuat dan menyimpan kata laluan unik untuk semua laman web anda. 1Password adalah salah satu program sedemikian-apabila log masuk ke salah satu profil dalam talian anda, anda hanya boleh memilih log masuk yang anda perlukan dan 1Password akan membekalkan kata laluan dan memberi anda akses. Walau bagaimanapun, mungkin anda tidak mahu semua kata laluan anda disimpan dalam satu pangkalan data-itu kebimbangan yang sah.

Pilihan seterusnya adalah untuk membuat satu siri kata laluan yang berkaitan. Satu kata laluan boleh "Treez4Eva" seterusnya "Trees4eVer" dan sebagainya. Mengingati laman mana yang menggunakan versi mana yang boleh menjadi sedikit rumit, tetapi boleh dilakukan dan pasti patut dicuba. Ingat bahawa anda boleh mendapatkan semula kata laluan yang anda lupakan. Itu mungkin memakan masa, tetapi jangan biarkan kata-kata laluan menghalang anda daripada membuat yang unik, selamat.

Kini pada kata laluan itu sendiri: anda boleh menggunakan Bagaimana Secure Is Password saya sebagai rujukan berguna untuk mengukur seberapa selamat anda benar-benar. Sentiasa gunakan kombinasi alfanumerik bersama huruf besar dan aksara khas. Jika tapak membenarkannya, gunakan ruang juga. "BucketKid" adalah lebih selamat apabila ia "bu (k3t K! 4 15 r3a!" Kata laluan itu akan mengambil 3 quintillion tahun untuk retak, menurut How Secure Is My Password, yang bertahun-tahun berbunyi palsu. fikir ia akan membawa anda bertahun-tahun untuk mengingati kata laluan seperti itu-tetapi fikirkan bagaimana anda boleh menggunakan helah ingatan untuk membuat proses lebih mudah. ​​Contoh di atas berbunyi: "anak baldi adalah sebenar", yang anda perlu ingat ialah huruf anda telah huruf besar dan bagaimana anda menggantikan huruf dengan nombor atau aksara khas Jika anda masih ingin menggunakan kata laluan yang sama di banyak laman web, gunakan yang terkuat seperti contoh di atas, untuk laman web yang sering anda gunakan seperti e-mel. kata laluan seperti "budak payung 15 palsu" untuk laman web lain yang anda tidak sering gunakan atau merasa tidak selamat.

Sentiasa gunakan pengesahan dua langkah untuk mana-mana tapak yang menyokongnya. Ingat akaun penulis Wired tentang bagaimana dia digodam kerana dia tidak menggunakan pengesahan dua langkah? Jangan buat kesilapan yang sama. Google menyokongnya, sama seperti Yahoo dan Facebook. Pengesahan dua langkah bermaksud bahawa apabila anda melog masuk ke akaun anda dari komputer atau alamat IP yang tidak dikenali, anda akan diminta memasukkan kod yang dihantar ke telefon anda. Apa yang baik tentang ini juga ialah ia juga berfungsi sebagai sistem penggera untuk akaun anda. Sekiranya seseorang cuba mengakses e-mel anda, dan tiba-tiba anda mendapatkan teks yang membekalkan anda dengan kod log masuk, anda tahu sudah tiba masanya untuk membongkok ke dalam tetingkap.

Akhir sekali, jika anda mempunyai sebarang keraguan tentang keselamatan dalam talian anda, periksa Sekiranya saya Tukar Kata Laluan Saya. Tapak ini membolehkan anda memasukkan alamat e-mel anda dan melihat jika ia dipaparkan pada mana-mana senarai yang telah dikumpulkan oleh penggodam selepas retak tapak. Mereka baru sahaja menambah ciri baru di mana anda boleh menyimpan alamat e-mel anda dengan mereka dan mereka akan merujuknya dengan sebarang serangan masa depan.

Ini semua mungkin kelihatan seperti pergi jauh dan terlalu paranoid kepada anda, tetapi menjadi paranoid di Internet kadang-kadang boleh membuat anda selamat. Terdapat banyak langkah lain yang perlu anda ambil untuk melindungi diri anda, seperti: menyulitkan cakera keras anda, mencipta alamat e-mel sekali pakai dan nama untuk tapak yang tidak anda percayai atau merasa kekurangan keselamatan dan menukar kata laluan setiap beberapa bulan. Panduan ini perlu diambil sebagai titik melompat untuk menjadikan anda lebih selamat, dan jika semua yang anda lakukan adalah mewujudkan satu kata laluan yang kuat dan mendaftarkan e-mel anda dengan database Sekiranya Saya Tukar Kata Laluan saya, sekurang-kurangnya langkah pertama yang baik untuk melindungi diri anda dari kecurian identiti di Internet.

Cadangan Pakar

Ryan Disraeli, VP Perkhidmatan Penipuan di TeleSign:

"Orang biasa mengejutkan sangat diganggu, tetapi kenyataannya adalah bahawa penggodam akan melihat untuk menyerang sasaran yang paling mudah. Ini tidak berbeza dari luar talian. Adakah seorang pencuri merompak rumah dengan pengawal keselamatan 24/7 atau rumah yang selalu membuka pintu depan? Realitinya ialah pencuri yang baik masih boleh merompak sebuah rumah dengan keselamatan yang luar biasa tetapi akan memilih untuk pergi selepas mangsa lebih mudah.Sama seperti anda akan mengambil langkah berjaga-jaga untuk melindungi harta peribadi anda, individu harus melihat untuk menambahkan beberapa pencegahan untuk memastikan identiti dalam talian mereka."

Dodi Glenn, Pengurus Produk VIPRE Antivirus GFI Software:

"Rawat telefon pintar anda seperti komputer. Jika anda melakukan apa-apa jenis transaksi kewangan pada telefon anda, "amalan terbaik" keselamatan yang sama akan digunakan seperti komputer."

Shuman Ghosemajumder, VP of Strategy pada Bentuk Keselamatan:

"Perhatikan bagaimana anda mengakses laman web. Sebahagian daripada memastikan anda mempercayai laman web mengesahkan bahawa organisasi di sebalik laman web ini bereputasi. Bahagian lain adalah memastikan anda mempercayai sambungan anda ke laman web itu. Anda harus memastikan bahawa URL adalah betul, bahawa anda menavigasi terus itu, dan tidak mengklik pada pautan dari e-mel, IM, atau pop timbul yang tidak diminta. Sekiranya anda boleh, gunakan peranti dan sambungan anda sendiri. Anda harus mengelakkan sambungan WiFi awam dan komputer awam yang dikongsi jika anda boleh, kerana mudah bagi penyerang mengendus lalu lintas rangkaian atau memasang keyloggers untuk menangkap kata laluan. Jika anda mesti menggunakan sambungan WiFi awam, pastikan anda tidak menyerahkan maklumat masuk atau peribadi kepada tapak yang tidak menggunakan sambungan HTTPS."