Sikkert passord, utsatt brukernavn: fortsatt oppskrift på katastrofe

I hvert av de nylige angrepene på Evernote, Facebook, Twitter og andre var selskapene som var involvert raske med å påpeke at passord forble sikre. Men brukerinformasjon har et eget liv, og effekten av et angrep på et individ kan merkes lenge etter at angrepet er over.

Angrepene vi har sett

Det du hører når et større selskap har blitt kompromittert, er vanligvis noe som betyr at betalingsinformasjonen fremdeles er sikker, passordene ble kryptert, men annen informasjon var tilgjengelig. Vanligvis inkluderer dette brukernavn og e-post.

For de fleste av oss kan det ikke virke farlig. Tross alt gir vi ut våre egne e-postmeldinger hele tiden - vi legger dem til og med online. Men det er risiko for brukere som til og med har utsatt denne lille mengden informasjon.

Derek Halliday, senior produktsjef i Lookout mobilsikkerhet forklarte SecurityWatch hvordan disse informasjonsbitene kan gjøre brukernes mål. "Kontoinformasjon kan brukes til å potensielt aktivere spearphishing fordi den gir litt unik kontekstuell informasjon om mennesker - en måte å kontakte dem på, " sa han. "Og det faktum at de på et tidspunkt har meldt seg på en bestemt tjeneste."

Dette er grunnen til at legitime varsel-e-poster ofte minner brukere som kan ha fått informasjonen sin utsatt for at ingen noen gang vil be om passordet sitt. Hvis en hacker vet at du bruker Evernote (for eksempel), er det kort arbeid å lage en melding som ser ut til å være fra Evernote og sende til e-postadressen du bruker for å administrere kontoen din. Kanskje vil det be deg om å oppgi passord, betalingsinformasjon, eller kanskje lure deg til å klikke på en ondsinnet lenke.

"Vi har sett cyberkriminelle som er villige til å engasjere seg i 'long con', " sa Mark Risher, medgründer og administrerende direktør i Impermium. "Et flertrinnsangrep som går utover direkte pilfering av sensitive data."

"Når kriminelle bryter inn på en sosialt nettverkskonto, kan de ofte finne personlige detaljer som gir legitimitet til en spearphishing, " fortsatte Risher, som siterte en alumniforening som en slik personlig detalj. Han forklarte at det kan brukes til å låse opp funksjonen "hemmelig spørsmål" - som noen ganger spør hva din maskot var, eller navnet på ditt første kjæledyr - på et annet nettsted.

Den verste saken

Chester Wisniewski, senior sikkerhetsrådgiver i Sophos, sa at selv om Evernote og andre nettopp kompromitterte nettsteder sikret passordene sine med kryptografiske hasjer og tilfeldige "salt" -data, kan ikke alle brukere beskyttes. Han forklarte at hvis brukere velger svake eller vanlige passord, "så har nok kriminelle det."

Med den begrensede informasjonen tilgjengelig, kan de enklere passordene fremdeles bli hentet. "Kriminelle kommer til å hasj de virkelig enkle, og kanskje ikke bry seg med resten, " sa Wisniewski.

For noen av skurkene er det bare å få tilgang til sosiale mediekontoer som Facebook eller Twitter. Noen bruker det som en mulighet til å tjene penger ved å forsøke å spre malware-infeksjoner. Flere initiativrige angripere kan prøve å bruke det passerte passordet for å låse opp en webmail-konto.

"De leter ofte etter e-post fra brukerens bank. Ofte er det en 'Jeg har glemt passordet' -funksjonen i den banken som bare er avhengig av å ha tilgang til e-postkontoen, " sa Risher.

Fortsetter i verste fall, kan det hende at angriperne ikke blir gjort når de har fått tilgang til nettbankinformasjon. "Mange av disse karene vil ikke direkte engasjere seg i identitetstyveri, de vil selge det av, " sa Wisniewski.

Han fortsatte med å forklare at angripere av banktrojanere vil angripere bruke de ti beste prosentene av kontoene - det vil si de med mest tilgjengelige midler - og selge de andre 90 prosentene av informasjonen. Dette betyr at brukerinformasjon, når den er kompromittert, kan fortsette å brukes og brukes på nytt til eieren endelig får tilbake kontrollen.

Hold deg trygg

"Den gode nyheten i alle de siste, er at det ikke ble tatt noe personlig identifiserbarhet, " sa Wisniewski, som flere ganger understreket at de berørte selskapene i det minste så ut til å ha tatt gode skritt for å sikre brukerinformasjon.

Men som vi har sett, er det ikke alltid nok. Brukere må passe på advarsler for å endre passord når de blir bedt om av hackede tjenester. De bør også strebe etter å velge sterke og unike passord for hver online tjeneste, kanskje ved å bruke en passordbehandler for å gjøre oppgaven enklere.

Det som er viktig å forstå er at brukerinformasjon er verdifull og kan fortsatt være nyttig for angripere lenge etter at du har sikret deg en berørt konto. Internett gir mange måter å ha det moro og jobbe på, men det gir også like mange muligheter for angrep.