Сьогодні кожна людина має близько 100 облікових записів у різних сервісах, для яких потрібно запам’ятати дані для входу. Тому не дивно, що часто користувачі намагаються спростити собі життя використовуючи на різних сайтах однакові комбінації для входу.
Однак саме паролі часто є єдиним, що стоїть між кіберзлочинцем і конфіденційнними даними жертв. Щоб перешкодити доступу зловмисників до облікових записів, необхідно докласти зусиль та зробити власні паролі складними та надійними.
Як кіберзлочинці можуть використати викрадені паролі?
Паролі – це віртуальні ключі до онлайн-банкінгу, електронної пошти, соціальних мереж, стрімінгових платформ, служб таксі та доставки, а також всіх даних, розміщених у хмарних сховищах. Саме тому після їх викрадення кіберзлочинці можуть:
- Отримати особисту інформацію жертви та продати її іншим зловмисникам.
- Продати доступ до облікового запису. У даркнеті (анонімній та неконтрольованій частині Інтернет-мережі) така інформація користується великим попитом. Адже покупці викрадених даних сподіваються отримати велику вигоду, наприклад, безкоштовні поїздки на таксі, безкоштовний перегляд фільмів, безкоштовні подорожі за рахунок викрадених бонусів.
- Отримати доступ до інших облікових записів, де використовується така ж комбінація для входу.
Які методи використовуються для викрадення паролів?
1. Фішинг та соціальна інженерія
За своєю природою люди часто здійснюють помилки і піддаються навіюванню, особливо коли поспішають. Саме тому кіберзлочинці користуються цими особливостями під час атак у психологічних трюках, також відомих, як соціальна інженерія.
Мабуть, найвідомішим прикладом таких прийомів маніпулювання є фішинг. Зокрема кіберзлочинці надсилають електронні листи нібито від відомих організацій, друзів або колег жертви. Отриманий електронний лист може виглядати правдоподібно та не викликати підозру, але містити шкідливе посилання чи вкладений файл. Після завантаження він може інфікувати пристрій шкідливим програмним забезпеченням або відкрити сторінку, яка вимагатиме заповнення особистих даних.
Однак для отримання даних для входу в систему та іншої особистої інформації жертв шахраї можуть здійснювати і телефонні дзвінки, видаючи себе за працівників банку або технічної підтримки. Цей метод шахрайства також називають «вішинг» (голосовий фішинг).
2. Шкідливе програмне забезпечення
Ще один популярний спосіб викрадення паролів – за допомогою шкідливих програм. Найчастіше вони поширюються за допомогою фішингових листів, але стати жертвою можна й після натиснення на шкідливу рекламу в Інтернеті або відвідування небезпечного вебсайту.
Існує багато видів шкідливих програм для крадіжки паролів, але найпоширеніші призначені для зчитування натиснень клавіатури або створення скріншотів екрана жертви та надсилання їх зловмисникам.
3. Атаки методом підбору пароля
Кількість комбнінацій для входу, які регулярно вводить середньостатистичний користувач, зросла приблизно на 25% за 2020 рік. Як наслідок, люди все частіше створюють набори символів або фрази, які легко запам’ятати, а також використовують однакові дані на кількох сайтах. Це все робить акаунти уразливими до атак методом підбору пароля.
Поширеним видом таких атак є заповнення облікових даних — зловмисники копіюють великі обсяги викрадених раніше комбінацій в спеціальні програми. Потім інструмент випробовує їх на великій кількості сайтів, сподіваючись знайти відповідність. Таким чином, зловмисники можуть отримати доступ до декількох облікових записів, маючи лише одну комбінацію. За оцінками дослідників, минулого року в усьому світі було зафіксовано 193 мільярди спроб подібних атак.
Ще один метод відгадування даних для входу – «розпилення» паролів, який передбачає підбір для облікового запису комбінації зі списку найбільш популярних за допомогою автоматизованого ПЗ.
4. Вгадування
Хоча хакери мають у своєму розпорядженні автоматизовані інструменти для підбору, іноді вони навіть не потрібні, адже, наприклад, найпоширенішими комбінаціями досі залишаються «123456», «123456789» та «password». Тому часто кіберзлочинцям для отримання несанкціонованого доступу до особистої інформації жертв достатньо і звичайного вгадування.
Якщо ви подібно до більшості користувачів використовуєте однакові набори символів або їх схожі варіанти для кількох облікових записів, то ризикуєте стати жертвою викрадення пароля або шахрайства.
5. Шпигування
Технік шпигування також існує багато, але однією з найбільш поширених є атака «людина посередині» (Man in the Middle), яка дозволяє зловмисникам викрадати паролі та інші дані з пристроїв, підключених до тієї ж загальнодоступної мережі Wi-Fi. Саме тому під час використання таких мереж варто дотримуватись рекомендацій спеціалістів ESET, які доступні за посиланням.
Як захиститися від викрадення паролів
- Створіть надійні та унікальні дані до входу для всіх облікових записів, а також уникайте їх повторного використання на різних сайтах.
- Увімкніть двофакторну аутентифікацію для усіх акаунтів, де це можливо.
- Встановіть менеджер паролів, який автоматично заповнюватиме форми та генеруватиме надійні комбінації для входу.
- Якщо вам надійшов лист про підозрілу активність, або ви дізнались про витік даних для входу — негайно змініть їх.
- Переходьте тільки на сайти, які використовують протокол HTTPS.
- Не натискайте на посилання та не відкривайте вкладення в листах від незнайомих осіб та організацій.
- Завантажуйте додатки лише з офіційних магазинів.
- Встановіть надійне програмне забезпечення для захисту на усі пристрої.
- Своєчасно встановлюйте оновлення операційної системи та програм.
- Не входьте в облікові записи під час підключення до загальнодоступного Wi-Fi. Якщо така необхідність все-таки виникне, скористайтеся технологією VPN, яка захистить ваше Інтернет-з'єднання та забезпечить конфіденційність.