Важно Как защититься от кражи учетных записей: советы экспертов

machito

Команда форума
Супер-Модератор
Сообщения
2,706
Реакции
2,032
  • На этой неделе интернет-общественность горячо обсуждала скандальную атаку, организованную, как предполагается,хакерами из России. Исследователи безопасности из Hold Security сообщили, что киберпреступники, располагавшиеся на территории России, Казахстана и Монголии, осуществили целый ряд атак на 420 тысяч веб-ресурсов. Список жертв атаки неизвестен, однако сообщается, что среди них многие крупные компании, входящие в список Fortune 500.

  • В результате нападения злоумышленники получили доступ более чем к 1,2 млрд учетных записей!

  • Хакеры использовали взломанные учетные записи для рассылки спама, однако существует вероятность, что с помощью полученной информации они попытаются осуществлять кражу персональной информации пользователей и мошенничество с использованием данных банковских карт (многие пользователи задают одинаковые пароли на различных ресурсах, что может позволить злоумышленникам получить доступ и к банковским счетам жертв).

Как защититься
  • Эксперты Hold Security, обнаружившие следы атаки, рекомендуют компаниям проверить свои веб-ресурсы на наличие уязвимости типа «Внедрение операторов SQL» (SQL injection). Данная ошибка в разработке приложения может позволить хакерам получить контроль над уязвимым сервером и проникнуть во внутреннюю сеть организации с целью кражи конфиденциальных данных. Подобные атаки могут быть выявлены средствами обнаружения и предотвращения вторжений, однако если первый этап взлома (атака на приложение) прошел незамеченным, то дальнейшие действия злоумышленника обнаружить, как правило, очень сложно: атакующий использует полученные права легитимного пользователя или приложения.
  • Исследование уязвимостей веб-приложений, проведенное компанией Positive Technologies, свидетельствует, что среди жертв атаки могли оказаться и многие российские компании: в 2013 году уязвимость «Внедрение операторов SQL» была самым распространенным недостатком высокой степени риска и встречалась в 43% протестированных веб-приложений.
press.jpg

  • Стоит обратить внимание на еще одну серьезную уязвимость — «Внедрение внешних сущностей XML» (в прошлом году 20% систем имели этот недостаток). Эксплуатация данной уязвимости может привести к получению доступа к ресурсам внутренней сети, чтению файлов на сервере, а также к полному отказу в обслуживании веб-приложения. В целом, согласно отчету Positive Technologies, 62% исследованных в 2013 году систем содержат уязвимости высокой степени риска: этот показатель существенно выше, чем в 2012 году (45%).

  • «Массовость атаки косвенно свидетельствует о том, что эксплуатируемые уязвимости скорее всего присутствуют в какой-то распространенной системе (например, в CMS), — отмечает руководитель аналитической группы отдела анализа защищенности Positive Technologies Евгения Поцелуевская. — В таких случаях, как правило, компании рассматривают приложение как черный ящик, а в вопросах безопасности полагаются на вендоров и не проводят анализ защищенности, сфокусировавшись на приложениях индивидуальной разработки. Чтобы избежать подобных инцидентов, нужно уделять внимание безопасности приложений вне зависимости от разработчика, внедрять процессы безопасности в разработке, инструменты статического и динамического анализа безопасности приложений (SAST и DAST), а также использовать превентивные средства защиты, такие как Web Application Firewall».

  • Специалисты Positive Technologies обращают внимание всех владельцев веб-ресурсов: эксплуатация уязвимости «Внедрение операторов SQL» — далеко не единственный распространенный способ совершения атак. Именно поэтому необходимо проводить аудит безопасности информационных систем не только после сообщений в прессе о массовых атаках, но и регулярно — с использованием современных методов и инструментов.
Пользователям мы настоятельно советуем не использовать одинаковые пароли на различных ресурсах, и поскорее их поменять (в первую очередь от основной электронной почты и кошельков) — особенно, если такие же пароли они использовали на небольших «самописных» веб-сайтах и форумах, защищённость которых, скорее всего, в наибольшей степени отстает от современных стандартов.

Ознакомиться с последними исследованиями экспертов Positive Technologies можно на официальном сайте компании.


Источник
 
Последнее редактирование:
Как то составлял рекомендацию по защите аккаунтов от влома. Думаю стоит поделиться.

1. Привязывайте email к телефону. Так в случае чего легко восстановить над ним контроль. Ещё лучше использовать двухфакторную авторизацию (там где она есть конечно), т.е. ввод пароля и кода подтверждения присылаемого на телефон.
2. Для каждого сайта В ОБЯЗАТЕЛЬНОМ ПОРЯДКЕ разные пароли! Если сложно запомнить заведите менеджер паролей.
3. Не используйте простые пароли! Типа 123 или querty или дату рождения. Самый лучший пароль, несколько случайно подобранных слов с цифрами. Например люсяженщина95легкогоповедения. Запомнить легко, подобрать нереально.
4. На почтовый сервисах не используйте простые контрольные вопросы, типа кличка домашнго животного или девичья фамилия матери. Это легко пробивается. Лучше всего на контрольный вопрос писать не честный ответ, а еще один пароль, записать и сохранить его в сухом прохладном месте.
5. Не пользоваться открытым публичным WiFi. Да и даже запароленным публичным WiFi тоже пользоваться не стоит. Не стоит оставлять незапароленный WiFi на домашнем роутере без поддержки VLAN, или если вы не знаете как этот самый VLAN настроить.
6. Ну и держать нормальный антивирус с актуальными вирусными базами.
 
Не стоит оставлять незапароленный WiFi на домашнем роутере без поддержки VLAN, или если вы не знаете как этот самый VLAN настроить.
Я держу незапароленный Wi-Fi с фильтром по белому списку MAC-адресов.
По моим наблюдением качество связи немного выше.
 
Я держу незапароленный Wi-Fi с фильтром по белому списку MAC-адресов.
По моим наблюдением качество связи немного выше.

Ну, в данном случае сеть по факту получается закрытая. Хоть и без пароля :)
А по качеству связи... шифрования я так понимаю нет? Скорее всего из-за этого.
 
Да, пакеты можно спокойно перехватывать.
Т.е. подходит, если шифрование не нужно.
У меня частный дом, поэтому беспокоится не о чем, тем более ноутбук не мой ))
 
Так будет надежнее...добавил знаки и заглавные буквы)))
It would take a desktop PC about 939 octillion years to crack your password

это столько придется взламывать лет этот пароль люсяженщина95легкогоповедения. Возьму на заметку, а то тоже думал еще может спец символов добавить)
Ну, в данном случае сеть по факту получается закрытая. Хоть и без пароля :)
А по качеству связи... шифрования я так понимаю нет? Скорее всего из-за этого.
Если прогуливаться по "левым" ссылкам и принимать файлы от незнакомых, то никакие генераторы паролей не помогут)
 
Последнее редактирование:
Смотрю, тему всё ещё читают и интересуются.
Перечитал свой коммент из 2014-го:
Да, пакеты можно спокойно перехватывать.
Т.е. подходит, если шифрование не нужно.
У меня частный дом, поэтому беспокоится не о чем, тем более ноутбук не мой ))
Казалось бы что тут у меня в радиусе мало-мощного wifi ни домов, ни многоэтажек толку то нет, и хакеров особо не водится.
Но в том же году кто-то проник в локальную сеть через клонирование клиентского MAC-адреса. Обнаружилось из-за конфликта ip-адресов (т.к. я делал привязку), и последующим анализом подключенных устройств из UI роутера. Вот так закончилась жертва защитой ради скорости из-за слабенького роутера.
 
Как то составлял рекомендацию по защите аккаунтов от влома. Думаю стоит поделиться.

1. Привязывайте email к телефону. Так в случае чего легко восстановить над ним контроль. Ещё лучше использовать двухфакторную авторизацию (там где она есть конечно), т.е. ввод пароля и кода подтверждения присылаемого на телефон.
2. Для каждого сайта В ОБЯЗАТЕЛЬНОМ ПОРЯДКЕ разные пароли! Если сложно запомнить заведите менеджер паролей.
3. Не используйте простые пароли! Типа 123 или querty или дату рождения. Самый лучший пароль, несколько случайно подобранных слов с цифрами. Например люсяженщина95легкогоповедения. Запомнить легко, подобрать нереально.
4. На почтовый сервисах не используйте простые контрольные вопросы, типа кличка домашнго животного или девичья фамилия матери. Это легко пробивается. Лучше всего на контрольный вопрос писать не честный ответ, а еще один пароль, записать и сохранить его в сухом прохладном месте.
5. Не пользоваться открытым публичным WiFi. Да и даже запароленным публичным WiFi тоже пользоваться не стоит. Не стоит оставлять незапароленный WiFi на домашнем роутере без поддержки VLAN, или если вы не знаете как этот самый VLAN настроить.
6. Ну и держать нормальный антивирус с актуальными вирусными базами.
Привязал как то фейсбук к телефону и ИМЕННО ЄТО погубило аккаунт. Пароль бьіл 100 произвольньіх символов... но симкартой давно не пользовался. Оператор закрьіл мою симку, и теперь мой старьій номер у нового абонента - он при перерегистрации получил смс и теперь мой фбук его - новое имя и все такое. Почта, к которой бьіл привязан фбук бьіла создана только ради привязки, не посещалась более трех лет, модераторьі отказались мне ее восстановить для возобновления власти над фбуком. Так что привязка к телефону = потеря аккаунта, плюс туча спама, так как списки номеров тоже продаются пачками.
 
Как то составлял рекомендацию по защите аккаунтов от влома. Думаю стоит поделиться.

1. Привязывайте email к телефону. Так в случае чего легко восстановить над ним контроль. Ещё лучше использовать двухфакторную авторизацию (там где она есть конечно), т.е. ввод пароля и кода подтверждения присылаемого на телефон.
2. Для каждого сайта В ОБЯЗАТЕЛЬНОМ ПОРЯДКЕ разные пароли! Если сложно запомнить заведите менеджер паролей.
3. Не используйте простые пароли! Типа 123 или querty или дату рождения. Самый лучший пароль, несколько случайно подобранных слов с цифрами. Например люсяженщина95легкогоповедения. Запомнить легко, подобрать нереально.
4. На почтовый сервисах не используйте простые контрольные вопросы, типа кличка домашнго животного или девичья фамилия матери. Это легко пробивается. Лучше всего на контрольный вопрос писать не честный ответ, а еще один пароль, записать и сохранить его в сухом прохладном месте.
5. Не пользоваться открытым публичным WiFi. Да и даже запароленным публичным WiFi тоже пользоваться не стоит. Не стоит оставлять незапароленный WiFi на домашнем роутере без поддержки VLAN, или если вы не знаете как этот самый VLAN настроить.
6. Ну и держать нормальный антивирус с актуальными вирусными базами.
В случае, которьій рассмотрен в теме, аккаунтьі не взламьівали поштучно - взломали сервер и прочитали его как папки с файлами (базами данньіх) без входа через сайт которьій потребовал бьі пароль или SMS-авторизацию.
 
Смотрю, тему всё ещё читают и интересуются.
Перечитал свой коммент из 2014-го:

Казалось бы что тут у меня в радиусе мало-мощного wifi ни домов, ни многоэтажек толку то нет, и хакеров особо не водится.
Но в том же году кто-то проник в локальную сеть через клонирование клиентского MAC-адреса. Обнаружилось из-за конфликта ip-адресов (т.к. я делал привязку), и последующим анализом подключенных устройств из UI роутера. Вот так закончилась жертва защитой ради скорости из-за слабенького роутера.

У, меня установлен Rog Asus RT-ACU86 , под защитой от Trend Micro , умное решение ...
 
Последнее редактирование:
Назад
Сверху Снизу