Тема кибербезопасности сейчас получила наибольшую актуальность. Наверняка вы слышали о взломе почтовых ящиков и аккаунтов в социальных сетях. В последнее время это стало настоящей проблемой для пользователей. Кстати, многие из них используют один и тот же пароль на всех аккаунтах и ресурсах. Есть и те, кто регистрируется на сомнительных сайтах и сервисах, оставляя свои данные и все тот же пароль, чем однозначно ставят себя под удар.
Если смотреть практически, то вряд ли так много пользователей, у которых все же дошли руки до создания разных и сложных паролей на своих аккаунтах, чтобы максимально обезопасить себя от взломов. Большинство людей полагают, что достаточно одного, сложного и запутанного. Однажды постаравшись и придумав заветную комбинацию, они используют ее везде, полагая, что никто не доберется до их данных. И оказываются неправы.
Гарантирует ли сложный, но одинаковый пароль на всех аккаунтах вашу безопасность
Даже если пароль состоит из букв, символов, да еще и на разных языках, это не защищает вас от случаев слива информации, которых происходит очень и очень много. Не исключено, что прямо сейчас кто-то знает ваш логин и пароль от множества сайтов. К примеру, дамп под названием Collection, найденный на одном из хакерских форумов, насчитывает 2,7 миллиарда слитых аккаунтов. В коллекции есть папка RUcombo, где собраны комбинации почт и паролей аккаунтов российских пользователей. Архив был найден известным специалистом по имени Трой Хант, который уже много лет ведет сайт Have I Been Pwned. Там любой пользователь сети сможет проверить свой почтовый адрес на предмет утечки.
Трой провел анализ этого дампа и выявил более миллиарда уникальных комбинаций. Среди этих данных он нашел один из своих собственных старых паролей. Получается, что даже ведущий специалист в сфере кибербезопасности не защищен от слива. Об обычных юзерах и говорить не стоит. Порой сложные пароли могут сыграть с вами злую шутку. Однако об этом немного позже.
Теория простых паролей
Ежегодно компания NordPass публикует рейтинги самых небезопасных паролей, и совсем недавно на ее сайте появился соответствующий список за 2020 год. На третьем месте оказался весьма необычный пароль «picture1». Кроме него в топе, как и всегда, присутствуют простейшие вариации из цифр и букв – 123456, qwerty и подобные. Многие особо не заморачиваются, и выбирают в качестве пароля само слово «пароль» - «password». NordPass утверждает, что если ваш пароль входит в топ 100 комбинаций рейтинга, то любой хакер-обыватель без труда сможет методом подбора взломать ваш аккаунт менее чем за 10 секунд.
Компания NordPass отмечает, что на каждого пользователя сети в среднем приходится около 100 паролей. Увеличение данного показателя произошло в последнее время в связи с пандемией, поскольку люди активно регистрируются не только в соцсетях, но и на других ресурсах. Они расширяют спектр используемых приложений, включая онлайн кинотеатры и музеи, программы для занятий спортом дома, и подобное. Все это приводит к еще большей невнимательности пользователей.
Тайна заброшенных аккаунтов и техника слива
С необходимостью регистрации на множестве платформ все больше людей начинают пользоваться специальными программами – утилитами для создания рандомных паролей и их хранения. Уходят в прошлое времена, когда пользователи регистрировались на сайтах, придумывали комбинации знаков для пароля, записывали ее где-нибудь на листке бумаги, который благополучно теряли. В случае такой потери приходилось придумывать новый пароль, либо создавать заново аккаунт. Старые же аккаунты продолжали свое существование. Кстати, большая часть слитых баз состоит именно из таких затерянных аккаунтов.
Фишка в том, что вместо затерянных вы создаете актуальные аккаунты, в том числе в новых сервисах и приложениях, а хакеры не дремлют. Есть весьма уязвимые приложения, к примеру, популярная программа видеосвязи Zoom.
До пандемии она не пользовалась большим успехом. Оказалось, что она крайне слаба в защите данных пользователей, включая пароли. Создатели не обновляли и не усложняли методы шифрования и передачи данных. С приобретением популярности программа тут же заинтересовала хакеров. В итоге в интернете произошел слив миллионов аккаунтов по бросовым ценам. Причем это актуальные и самые свежие данные. К тому же многие пользователи по привычке регистрировали эти аккаунты, используя те же пароли, что и в почте, а также других своих учетных записях.
Получив пароль от Zoom, хакеры смогут взломать и остальные ваши аккаунты: проверить, подходит ли пароль к вашему ВК или Instagram, довольно просто. Именно такой подход для взлома является самым распространенным на данный момент. Ведь неважно, насколько сложен и разнообразен ваш пароль, если вы дублируете его на десятках ресурсов.
Схемы происходящего бывают разными. К примеру, вы обучаетесь в школе или университете. Для того, чтобы посещать занятия дистанционно, вы устанавливаете приложение Zoom и выбираете тот же пароль, как на вашей почте. Базу сливают, и вот ваш пароль в руках хакера. Получив доступ к вашей почте, он сможет взломать и другие ваши аккаунты, либо получить данные, облегчающие взлом. Эта информация может использоваться для шантажа, сливов и продажи.
Масштабы проблемы и наглядный эксперимент
Зачем же какому-то хакеру искать информацию именно о вас? Действительно, ваша конкретная персона может и не представлять интереса для взломщиков. Они работают не на качество, а на количество. Этот метод слива не просто так стал одним из самых популярных – им может воспользоваться практически любой юзер. Давно уже существуют сервисы, при помощи которых любой желающий способен пробить о вас закрытую информацию, включая слитые пароли.
Если вы их крайне редко меняете, либо постоянно используете несколько определенных комбинаций, взломать вашу страницу не составит труда. Здесь даже не нужно быть хакером – достаточно знать ваш номер телефона, или найти страницу в социальных сетях, и забить в программу для проверки.
Масштаб этой проблемы иллюстрирует один практический эксперимент, в ходе которого был создан якобы игровой сайт, где объявлялось о розыгрыше популярной модели игровой приставки. Чтобы обострить интерес посетителей, на сайте был поставлен таймер с обратным отсчетом времени до старта акции. В простую форму регистрации следовало ввести пароль и адрес электронной почты. Дополнительно пользователи должны были заполнить строку с подтверждением пароля – это было сделано для того, чтобы исключить возможность ввода рандомной комбинации, которая будет забыта через минуту.
Кстати, этих запрошенных данных уже достаточно, чтобы сделать пробивку по базе и найти все контакты и всю информацию о человеке, что поможет взломать его страницу в соцсетях, зайти в почтовый ящик или в личный кабинет на каком-либо сервисе. Подобная история вполне может произойти с теми, кто необдуманно зарегистрировался на мошенническом сайте.
Методом привлечения первых посетителей может служить таргетированная реклама, направленная на подходящую аудиторию по возрасту и интересам. В данном эксперименте целью были пользователи, интересующиеся видеоиграми и оговоренной моделью приставки. Благодаря доступу к админке сайта оказались видны учетные записи всех посетителей и информация из их профилей. Следующий этап – пробивка информации в базах данных по конкретным пользователям.
Тонкости с паролями
В базах под паролем, который использует выбранный юзер, могут найтись тысячи слитых почтовых адресов и еще несколько десятков телефонных номеров. Остается найти в списке почту конкретного пользователя – ведь она была введена в форму на сайте и уже известна, и сверить остальные данные. В итоге так можно узнать настоящий номер телефона, найти страницы в соцсетях и другие адреса электронной почты этого человека. Даже если пароли не подойдут, хакер дополнительно может использовать методы социальной инженерии для взлома. В результате ему довольно легко узнать не только аккаунты в соцсетях, но даже парковочные места с номером автомобиля.
Если человек использует сложный пароль, это дает дополнительное преимущество хакерам: такую уникальную комбинацию программа находит сразу. Злоумышленнику не нужно будет сверять тысячи остальных данных, которые находятся по этому паролю.
В любом случае, если хакер поставит цель найти личную детальную информацию о выбранном лице, у него будет достаточно шансов это сделать. А довольно много интернет-пользователей устанавливают одинаковый пароль везде, где только можно. Если же использовать отдельный пароль на каждый ресурс, то встает вопрос о том, где хранить эти пароли. В браузере - точно небезопасно.
Как же обезопасить себя от случайного взлома аккаунта?
Ответ будет неутешительным: со стопроцентной надежностью – практически никак, что наглядно демонстрируют новости в интернете. Утечка данных происходит даже у таких крупных компаний, как Google, Яндекс, Mail.ru и других. Самый действенный и распространенный метод защиты у обычных пользователей – это генерация уникального пароля для каждой учетной записи. Также примите следующие меры:
· Для защиты от утечек подключите двухэтапную аутентификацию с привязкой именно к телефону, а не к почте.
· Забудьте о хранении паролей в вашем браузере: существует множество вредоносных программ, ворующих оттуда информацию.
· Обновляйте пароли, поскольку ваш устаревший пароль уже никому не пригодится.
· Избегайте регистраций на сомнительных ресурсах.
Хотя все это связано с определенными неудобствами для вас, но такие действия способны вас обезопасить. В конце концов, восстанавливать взломанные аккаунты гораздо сложнее, а порой вернуть их вовсе невозможно.
Если статья вам понравилась, ставьте лайк. Оставляйте свои комментарии по данной теме, делитесь своими историями, если у вас были случаи взлома. Не забывайте подписываться на наш канал, чтобы не пропустить других интересных публикаций.
