В преддверии Всемирного дня паролей исследователи находят тревожные тенденции, несмотря на многочисленные нарушения и взломы.
Всемирный День Пароля снова наступил, и можно предположить, что резкое увеличение количества нарушений и взломов приведет к тому, что все мы изменим свой подход к парольному процессу. Однако последние исследования, отчеты и новости показывают ошеломляющее отсутствие прогресса в том, как миллионы людей оценивают создание паролей с точки зрения их онлайн-безопасности.
Два различных исследования иллюстрируют тревожное состояние дел с паролями. Исследование, проведенное лондонской компанией Clario, занимающейся вопросами кибербезопасности, показало, что миллионы американских граждан являются одними из наихудших нарушителей правил безопасного использования паролей, используя один и тот же пароль на 50 различных учетных записях.
Еще один доклад Кевина Ланкастера, основателя компании по кибербезопасности ID Agent, просмотрел два миллиарда паролей в Dark Web и собрал наиболее распространенные пароли, которыми там торговали.
Ланкастер обнаружил, что миллионы людей до сих пор используют в качестве пароля свою любимую песню, спортивную команду или супергероя, и все это легко обнаруживается киберпреступниками, осуществляющими рутинный поиск в профилях людей в социальных сетях.
"Даже несмотря на весь этот шум о всех нарушениях, которые происходят каждый день, и о том, насколько разрушительны кибератаки, мы все еще видим, как люди изо дня в день делают действительно глупые вещи с паролями", - сказал Ланкастер в своем интервью.
"Иногда от этого хочется удариться головой об стену. С одной стороны, это сводит тебя с ума, что мы все еще говорим об этом 10 лет спустя, но с другой стороны, легко понять, что это действительно трудно решить. Мы все еще видим, как люди используют знакомые им вещи, потому что их легко запомнить".
Ланкастер сказал, что взрыв цифровых платформ, которые миллиарды людей вынуждены использовать для работы, образования и развлечений, заставил людей оказаться в невыгодной ситуации, когда они чувствуют, что у них нет другого выбора, кроме как повторно использовать пароли для десятков учетных записей.
В то время как люди знают, что им нужны сложные, уникальные пароли для каждой учетной записи, у них также нет ни времени, ни ментальной пропускной способности для создания различных паролей для каждой учетной записи, которой они владеют.
В своем исследовании паролей, просочившихся в Dark Web, он обнаружил, что многие люди до сих пор используют очень простые пароли и вариации информации, связанные с тем, что они любят. Такие пароли, как "ролтид", "янки", "редсокс", "мики", "супермен" и "бэтмен", несмотря на свою простоту, очень популярны.
Некоторые даже ставят в качестве пароля название своего любимого вида спорта, например, "футбол" или "бейсбол", в то время как другие используют названия групп и песен, например, "blink182", "битлз" и "8675309".
Ланкастер отметил, что в нашей гипер-среде обмена с десятками социальных сетей вся эта информация об интересах человека может быть найдена довольно легко, что упрощает угадывание злоумышленниками паролей и вариаций.
В дополнение к обмену в социальных сетях, существуют также сайты, посвященные объединению информации о случайных людях, что еще больше упрощает хакерам поиск того, что им нужно, чтобы попасть в ваши аккаунты.
"Эксплуатация кого-либо, начать угадывать пароли и помещать их в автоматические скриптовые машины и пытаться найти дыры, очень проста, особенно если у вас есть адрес или известные сообщники". Если вы знаете, что они преданные поклонники янки и как зовут их детей или домашних животных, или кто их родственники, то это относительно легко сделать", - сказал Ланкастер. "Хакеры Гугл люди".
Для своих исследований Ланкастер отсортировал миллиарды паролей, которые он нашел в TOR или Dark Web, и которые, по его словам, включали в себя все, начиная от небольших сборов удостоверений личности, которые могут быть специфичны для небольшой стоматологической практики, и заканчивая их CRM-системой или крупными платформами, такими как Zoom, LinkedIn и Dropbox.
После нормализации и очистки данных для удаления данных, которые могли быть сброшены дважды, он просмотрел, чтобы найти закономерности. Он удалил все пароли и учетные записи по умолчанию, используя в качестве пароля "password" или "123", чтобы сфокусироваться на наиболее часто используемых тенденциях в создании паролей.
Но даже это может принести слишком много пользы общественности. Только в прошлом месяце было широко распространено возмущение после того, как одна из групп разместила более 25 000 адресов электронной почты и паролей, которые, по сообщениям, принадлежат Всемирной организации здравоохранения, Национальным институтам здравоохранения, Фонду Гейтса и другим группам, работающим над борьбой с пандемией коронавируса.
Несмотря на то, что многие из этих людей играют жизненно важную роль в усилиях по борьбе с распространением вируса, австралийский эксперт по кибербезопасности Роберт Поттер сообщил "Вашингтон пост", что после копании по сбору данных он обнаружил, что 48 человек имели в качестве пароля "пароль", в то время как десятки людей использовали в качестве паролей свое имя или "changeme".
Оставив это в стороне, Ланкастер посмотрел, к каким паролям обычно обращаются люди, и обнаружил, что имена, спортивные ассоциации и анимированные персонажи становятся все более распространенными. Эта тенденция наблюдается не только в США. По всему миру и почти на каждом языке люди попадают в похожие ловушки использования необычайно простых для восприятия паролей.
Ланкастер сказал, что несмотря на тревожные данные об использовании паролей, есть некоторые признаки того, что люди используют только плохие пароли для сайтов, которые они не считают важными.
"Вы действительно видите доказательства того, что люди понимают, что для некоторых сайтов может быть больше риска". Поэтому для их банка они могут быть немного менее склонны использовать имя и фамилию человека и восклицательный знак. Но на сайтах, которые могут быть заброшенными, они все равно используют имена, фамилии, комбо", - сказал он.
Все дело в просвещении людей о том, что это такое и почему следует быть осторожным". Многие из этих вещей могут быть устранены путем включения двухфакторной аутентификации в приложениях или создания многоуровневого подхода с помощью менеджеров паролей".
Тем не менее, люди недооценивают, насколько опасно использовать один и тот же пароль на нескольких сайтах. Исследование Кларио, проведенное среди 2000 американцев, показало, что более трех четвертей тысячелетий используют один и тот же пароль на более чем 10 устройствах, приложениях и учетных записях, а некоторые даже признались, что использовали один и тот же пароль более 50 раз.
Алун Бейкер (Alun Baker), генеральный директор компании Clario, сказал, что приложения и смартфоны в целом содержат огромное количество персональных данных, доступ к которым потенциально возможен, если одна компания не сможет их получить.
"Проверьте компании, которые были взломаны в прошлом году-Uber, Facebook, Бронирование, среди прочих... Это приложения, которые почти каждый тысячный использует. Если пароль человека просочится, злоумышленники будут иметь немедленный доступ к 20 и более учетным записям/приложениям жертвы", - сказал Бейкер.
"Пароли - это не просто пароли, это ключи к нашей цифровой жизни". Использование многофакторной аутентификации, защищенного менеджера паролей, VPN, и отслеживание утечек данных является хорошим способом защиты от нежелательных взломов".
