Siedem sposobów na zhakowanie

W ostatnich miesiącach spotkałem co najmniej trzy osoby, które padły ofiarą hakerów, którzy przejęli ich konta Gmail i rozsyłali e-maile do wszystkich osób z książki adresowej.

E-maile, które wydają się uzasadnione, twierdzą, że dana osoba została okradziona podczas podróży i błagają o przekazanie pieniędzy, aby osoba mogła wrócić do domu. To, co sprawia, że ​​oszustwo jest jeszcze bardziej skuteczne, to fakt, że zdarza się to osobom, które faktycznie podróżują za granicę, co zwiększa prawdopodobieństwo, że przyjaciele i rodziny zostaną oszukani.

Chociaż powszechnie uważa się, że silne hasło jest jedną z najlepszych zabezpieczeń przed oszustwami internetowymi, hakerzy coraz częściej stosują bardzo skuteczne sposoby naruszania kont, które nie wymagają zgadywania haseł.

Oznacza to, że ćwiczenie defensywnego przetwarzania danych jest ważniejsze niż kiedykolwiek — oraz posiadanie planu, co zrobić, jeśli Twoje konto zostanie naruszone.

Złośliwe oprogramowanie. Na dziesiątkach milionów komputerów na całym świecie działa szeroka gama oprogramowania, które zostało zaprogramowane w złych zamiarach, czasami nazywane zaawansowanym trwałym zagrożeniem.

Programy te mogą przechwytywać nazwy użytkowników i hasła podczas ich wpisywania, wysyłać dane do zdalnych witryn internetowych, a nawet otwierać serwer proxy, aby osoby atakujące mogły wpisywać polecenia w przeglądarce internetowej uruchomionej na komputerze. To sprawia, że ​​dzisiejsze najnowocześniejsze środki bezpieczeństwa — takie jak silne hasła i breloki — są mniej lub bardziej bezużyteczne, ponieważ złoczyńcy wpisują swoje polecenia na twoim komputerze po jesteś uwierzytelniony.

Obecnie podstawową ochroną przed złośliwym oprogramowaniem jest oprogramowanie antywirusowe, ale coraz częściej najlepsze złośliwe oprogramowanie nie jest wyłapywane przez dni, tygodnie, a nawet miesiące po tym, jak zostało wypuszczone na wolność. Ponieważ oprogramowanie antywirusowe zawodzi, wiele organizacji zaleca obecnie przedpotopowe środki ostrożności, takie jak nieklikanie łączy i nie otwieranie plików otrzymanych pocztą e-mail, chyba że wiadomo, że wiadomość jest wiarygodna. Niestety nie ma narzędzia do oceny zasadności.

Windows XP. Według strony internetowej w3schools , około 33 procent komputerów przeglądających Internet korzysta z systemu Windows XP. To problem, ponieważ w przeciwieństwie do systemu Windows 7, XP jest wyjątkowo podatny na wiele współczesnych, najbardziej szkodliwych zagrożeń złośliwym oprogramowaniem. Windows 7, a zwłaszcza Windows 7 działający na komputerach 64-bitowych, ma wbudowane w system operacyjny funkcje bezpieczeństwa, takie jak randomizacja przestrzeni adresowej i niewykonywalny obszar danych. Te zabezpieczenia będą nigdy zostać dodane do systemu Windows XP. Dlatego z reguły nie należy używać systemu Windows XP na komputerze podłączonym do Internetu. Powiedz to 33 procentom.

Komputery kioskowe. Należy unikać korzystania z publicznych komputerów w hotelach, na lotniskach, w bibliotekach i centrach biznesowych w celu uzyskania dostępu do kont poczty internetowej, ponieważ po prostu nie ma sposobu, aby stwierdzić, czy te komputery są zainfekowane złośliwym oprogramowaniem, czy nie. Wiele z nich pracuje na systemie Windows XP. Więc ich unikaj.

Otwórz Wi-Fi. Punkty dostępu bezprzewodowego, które nie wymagają klucza szyfrowania, nie chronią danych przesyłanych drogą powietrzną. Oznacza to, że każda inna osoba korzystająca z punktu dostępowego może podsłuchać Twoją nazwę użytkownika i hasło. Nie udało mi się znaleźć żadnych zgłoszeń o laptopach zainfekowanych złośliwym oprogramowaniem, które uruchamiały sniffery w kawiarniach, ale to tak naprawdę tylko kwestia czasu. Jedynym sposobem na zabezpieczenie się jest upewnienie się, że witryny i serwery pocztowe, z których korzystasz, wykorzystują SSL (https:) do wszystkiego, a nie tylko do logowania.

Ataki typu man-in-the-middle. Te same otwarte punkty dostępu Wi-Fi mogą podsłuchiwać Twoje hasło za pomocą różnych tak zwanych ataków typu man-in-the-middle, w których komputer wysyła informacje do niewłaściwej witryny, która z kolei przekazuje je do właściwej — aby kanał komunikacji wydawał się w porządku.

Ataki typu man-in-the-middle są szczególnie łatwe przez Wi-Fi, ale mogą mieć miejsce w dowolnym miejscu w Internecie. Ataki typu man-in-the-middle mogą być również realizowane za pomocą złośliwego oprogramowania. Tutaj nawet SSL nie wystarczy — musisz mieć pewność, że certyfikat witryny obsługującej SSL jest legalny (sfałszowany certyfikat poinformuje Twoją przeglądarkę, że łączy się z właściwą witryną za pomocą SSL). Większość ludzi ignoruje również błędy niezgodności certyfikatów.

Oszustwa phishingowe. Co zaskakujące, spora liczba użytkowników nadal daje się nabrać na oszustwa phishingowe, w ramach których dobrowolnie przekazują swoją nazwę użytkownika i hasło do złośliwej witryny. Zazwyczaj użytkownicy trafiają do tych witryn po kliknięciu łącza otrzymanego w wiadomości e-mail.

Inna strona internetowa, to samo hasło. Wreszcie, wiele stron internetowych (w tym główne gazety i czasopisma) wymaga założenia konta z adresem e-mail i hasłem w celu uzyskania dostępu do ich treści. Nie używaj tego samego hasła, którego używasz do uzyskiwania dostępu do poczty e-mail — w przeciwnym razie właściciele witryny (i każdy, kto zhakuje tę witrynę) będą mogli przejąć inne konta, w tym pocztę e-mail.

Co się stanie, jeśli zastosujesz się do wszystkich tych środków ostrożności, a Twoje konto e-mail nadal zostanie naruszone?

Oto kilka pomysłów:

Bądź pionierem uwierzytelniania. Google, E*Trade i inne firmy wdrożyły systemy, które umożliwiają uzupełnianie haseł za pomocą telefonu komórkowego lub ręcznego tokena bezpieczeństwa. Chociaż systemy te można pokonać za pomocą złośliwego oprogramowania, nadal są one bezpieczniejsze niż same hasła. Obecnie musisz wyrazić zgodę na te systemy. Jeśli zależy Ci na swoim bezpieczeństwie, powinieneś być pionierem i dać im szansę.

Być przygotowanym. Google, Facebook, Apple, Amazon i inne umożliwiają podjęcie proaktywnych środków bezpieczeństwa w celu ochrony konta w przypadku złamania hasła. Obejmuje to rejestrowanie alternatywnych adresów e-mail, rejestrowanie numerów telefonów komórkowych w celu uwierzytelnienia kopii zapasowej oraz udzielanie odpowiedzi na tajne pytania. Niestety musisz to zrobić zanim Twoje konto zostanie zhakowane, nie później.

Bądź czujny . Facebook umożliwia podanie numeru telefonu komórkowego, który otrzymuje wiadomość SMS za każdym razem, gdy ktoś loguje się za pomocą innej przeglądarki. Jest to prosty i skuteczny sposób monitorowania, kiedy ktoś inny niż Ty uzyskuje dostęp do Twojego konta. Jeśli uzyskasz dostęp do Twojego konta, będziesz ścigał się o zmianę hasła, zanim zrobią to atakujący.

Utrzymuj wiele kont. Nie wkładaj wszystkich jajek do jednego koszyka! Posiadaj konta u wielu dostawców poczty e-mail — a także rachunki w wielu instytucjach finansowych za swoje pieniądze. W ten sposób, gdy zostaniesz zhakowany, przynajmniej będziesz mieć kopię zapasową.

Zachowaj kopie offline. Wreszcie, nie przechowuj jedynej kopii cennych danych u jakiegoś dostawcy chmury — pobierz swoje dane na komputer domowy, a następnie nagraj je na dysk lub skopiuj na odłączony dysk twardy. W ten sposób, nawet jeśli utracisz dostęp online, przynajmniej będziesz mieć kopię.

Simson L. Garfinkel jest autorem i badaczem w Arlington w stanie Wirginia, który koncentruje się na takich tematach, jak informatyka śledcza i prywatność. On jest redaktor współpracujący w Przegląd technologii.

ukryć