Video: HANYA 5 MENIT Akun Facebook yang lupa kata sandi bisa kembali (Oktober 2024)
Dalam setiap serangan terbaru terhadap Evernote, Facebook, Twitter, dan lainnya, perusahaan yang terlibat dengan cepat menunjukkan bahwa kata sandi tetap aman. Tetapi informasi pengguna memiliki kehidupan sendiri, dan efek dari serangan pada seorang individu dapat dirasakan lama setelah serangan itu berakhir.
Serangan yang Kami Lihat
Biasanya yang Anda dengar ketika perusahaan besar telah dikompromikan adalah sesuatu yang sejalan dengan bagaimana informasi pembayaran masih aman, kata sandi dienkripsi, tetapi informasi lain dapat diakses. Biasanya, ini termasuk nama pengguna dan email.
Bagi kebanyakan dari kita, itu mungkin tidak berbahaya. Bagaimanapun, kami memberikan email kami sendiri setiap saat - kami bahkan mempostingnya secara online. Tetapi ada risiko bagi pengguna yang memiliki bahkan sejumlah kecil informasi ini terpapar.
Derek Halliday, manajer produk senior di keamanan seluler Lookout menjelaskan kepada SecurityWatch bagaimana bit informasi ini dapat membuat target pengguna. "Informasi akun dapat digunakan untuk berpotensi mengaktifkan spearphishing karena memberikan beberapa informasi kontekstual unik tentang orang - cara untuk menghubungi mereka, " katanya. "Dan fakta bahwa mereka pada satu titik waktu mendaftar untuk layanan tertentu."
Inilah sebabnya mengapa email peringatan yang sah sering mengingatkan pengguna yang mungkin telah membuka informasi mereka bahwa tidak seorang pun akan meminta kata sandi mereka. Jika seorang peretas tahu Anda menggunakan Evernote (misalnya), pekerjaan singkat untuk membuat pesan yang tampaknya berasal dari Evernote dan mengirim ke alamat email yang Anda gunakan untuk mengelola akun Anda. Mungkin itu akan meminta Anda untuk memberikan kata sandi, atau informasi pembayaran, atau mungkin menipu Anda untuk mengklik tautan jahat.
"Kami telah melihat penjahat cyber yang bersedia terlibat dalam 'penipu panjang', " kata Mark Risher, salah satu pendiri dan CEO Impermium. "Serangan multi-langkah yang melampaui pencurian data sensitif secara langsung."
"Ketika penjahat masuk ke akun jejaring sosial, mereka sering dapat menemukan detail pribadi yang menambah legitimasi bagi spearphishing, " lanjut Risher, yang menyebut asosiasi alumni sebagai salah satu detail pribadi semacam itu. Dia menjelaskan bahwa itu dapat digunakan untuk membuka fitur "pertanyaan rahasia" -yang terkadang menanyakan apa maskot sekolah Anda, atau nama hewan peliharaan pertama Anda - di situs web lain.
Kasus Terburuk
Chester Wisniewski, penasihat keamanan senior di Sophos, mengatakan bahwa meskipun Evernote dan situs web lain yang baru-baru ini dikompromikan mengamankan kata sandi mereka dengan hash kriptografi dan data "garam" acak, tidak semua pengguna mungkin dilindungi. Dia menjelaskan bahwa jika pengguna memilih kata sandi yang lemah atau umum, "maka para penjahat mungkin memilikinya."
Dengan informasi terbatas yang tersedia, kata sandi yang lebih mudah mungkin masih dapat diambil. "Penjahat akan melakukan hash yang benar-benar mudah, dan mungkin tidak peduli dengan yang lain, " kata Wisniewski.
Bagi sebagian orang jahat, cukup mendapatkan akses ke akun media sosial seperti Facebook atau Twitter sudah cukup. Beberapa menggunakannya sebagai peluang untuk menghasilkan uang, dengan mencoba menyebarkan infeksi malware. Lebih banyak penyerang giat dapat mencoba menggunakan kata sandi yang dicuri untuk membuka kunci akun webmail.
"Mereka sering mencari surat dari bank pengguna; seringkali ada fitur 'Saya lupa kata sandi' di bank yang hanya mengandalkan akses ke akun email, " kata Risher.
Melanjutkan dalam skenario terburuk, para penyerang mungkin tidak akan selesai begitu mereka mendapatkan akses ke informasi perbankan online. "Banyak dari orang-orang ini tidak akan secara langsung terlibat dalam pencurian identitas, mereka akan menjualnya, " kata Wisniewski.
Dia kemudian menjelaskan bahwa dalam kasus trojan perbankan, penyerang akan menggunakan 10 persen akun teratas - yaitu, yang memiliki dana paling banyak - dan menjual 90 persen informasi lainnya. Ini berarti bahwa informasi pengguna, setelah dikompromikan, dapat terus digunakan dan digunakan kembali sampai pemilik akhirnya mendapatkan kembali kendali.
Amankan Diri Anda
"Kabar baik dalam semua yang baru-baru ini adalah bahwa tidak ada yang dapat diidentifikasi secara pribadi diambil, " kata Wisniewski, yang menekankan beberapa kali bahwa perusahaan yang terkena dampak setidaknya tampaknya telah mengambil langkah-langkah baik untuk mengamankan informasi pengguna.
Tetapi seperti yang telah kita lihat, itu tidak selalu cukup. Pengguna perlu memperhatikan peringatan untuk mengubah kata sandi saat diminta oleh layanan yang diretas. Mereka juga harus berusaha untuk memilih kata sandi yang kuat dan unik untuk setiap layanan online, mungkin menggunakan pengelola kata sandi untuk membuat tugas lebih mudah.
Yang penting untuk dipahami adalah bahwa informasi pengguna sangat berharga, dan masih dapat bermanfaat bagi penyerang lama setelah Anda mengamankan satu akun yang terpengaruh. Internet menyediakan banyak cara untuk bersenang-senang dan bekerja, tetapi juga menyediakan banyak cara untuk menyerang.
