Rosyjski gang hakerski przechwytuje 1,2 miliarda poświadczeń, co powinieneś zrobić

Co zyskasz, gdy przekroczysz tuzin rosyjskich hakerów kryminalnych z 420 000 stron internetowych z luką w zabezpieczeniach związaną z iniekcją SQL? Dostajesz 4,5 miliarda skompromitowanych rekordów użytkowników w rękach tych hakerów.

We wtorek New York Times poinformował, że Hold Security of Milwaukee, Wisconsin odkrył bazę danych wypełnioną skradzionymi danymi uwierzytelniającymi. Alex Holden, dyrektor ds. Bezpieczeństwa informacji w Hold Security, wyśledził źródło skradzionych danych uwierzytelniających dla małego pierścienia hakerskiego złożonego z kilkunastu dwudziestoletnich mężczyzn z południowo-środkowej Rosji. Nazwał grupę “CyberVor”.

Holden wyjaśnił, że “gang hakerski” składał się z zespołu młodych mężczyzn, każdy z własną rolą - niektóre programy do pisania, inne pracujące nad wydobyciem danych uwierzytelniających z danych. Cały strój działa jak prawdziwy biznes.

Rosyjski gang hakerski

Według Holdena, CyberVor zaczął działać w 2011 roku jako zespół spamerów. Biznesplan polegał wtedy na zakupie skradzionych informacji kontaktowych z czarnego rynku w celu wysyłania masowych wiadomości spamowych dla klientów. W ciągu następnych kilku lat zespół przestępczych przedsiębiorców zbudował bot-net - ogromną sieć komputerów zainfekowanych wirusem, która pozwala na wykorzystanie ich do rozsyłania spamu.

Z czasem zespół wykorzystał swoją botnet do przetestowania, które strony internetowe były podatne na atak włamania SQL. Po skompilowaniu listy witryn zespół przystąpił do pracy nad uruchomieniem hacka na stronie i wyodrębnieniem pełnej zawartości przechowywanej tam bazy danych.

Dzięki dostępowi do bazy danych grupa była w stanie skompilować 4,5 miliarda rekordów, które, jak się okazało, zawierały łącznie 1,2 miliarda unikatowych poświadczeń nazwy użytkownika i hasła oraz 542 milionów unikalnych adresów e-mail.

Co to znaczy

Jeśli uważasz, że możesz uniknąć nietkniętego zagrożenia bezpieczeństwa, pomyśl jeszcze raz. Biorąc pod uwagę, że na świecie jest obecnie prawie 3 miliardy użytkowników Internetu, naruszenie 1,2 miliarda unikatowych nazw użytkowników i haseł stanowi rekordowy sukces ze strony hakerów kryminalnych, a także oznacza, że ​​twoje dane uwierzytelniające są bardzo prawdopodobne ryzyko.

Orla Cox, dyrektor ds. Bezpieczeństwa w firmie Symantec, powiedział NPR news, że najbezpieczniejszym podejściem jest założenie, że dane uwierzytelniające są zagrożone.

“Myślę, że wszyscy internauci powinni założyć, że ich to dotyczy. Oczywiście nie są to oportuniści, nie są hobbystami. Są to cyberprzestępcy pracujący w pełnym wymiarze godzin, prawdopodobnie przeprowadzali to od wielu miesięcy, a może nawet lat.”

Skąd wiesz, czy wpłynęło to na którekolwiek z twoich poświadczeń? Niestety, nie zrobisz tego - dopóki Hold Security nie opublikuje swojego narzędzia online, które pozwoli ci sprawdzić, czy twoje własne informacje znajdują się w bazie danych.

Tymczasem Hold Security wykorzystuje lukę, budując pakiet usług, które mają pomóc właścicielom witryn i internautom w zarządzaniu zagrożeniem ze strony tego gangu hakerów. Usługi te obejmują:

• Usługa powiadamiania o naruszeniu (BNS) - Ostrzega, jeśli witryna narusza to naruszenie lub inne naruszenie bezpieczeństwa. Koszt: 120 USD rocznie
• Pen Testing and Audit Services - przeprowadzi audyt witryny i znajdzie wszelkie luki w zabezpieczeniach. Brak podanej ceny.
• Usługa rzetelności poświadczeń - powiadamia użytkownika, jeśli którykolwiek z użytkowników witryny został naruszony. Brak podanej ceny.
• Usługa monitorowania tożsamości elektronicznej - przeznaczona dla osób, które chcą wiedzieć, czy ich tożsamość elektroniczna jest zagrożona lub narażona na szwank. Rejestracja wstępna jest dostępna, ponieważ usługa jest w fazie rozwoju.

Co powinieneś zrobić

Oczywiście najtańszym podejściem do wypisania czeku w Hold Security, aby poinformować cię, czy ktoś go dotknął, jest po prostu zmiana wszystkich haseł. Choć może to być denerwujące, tak blisko kilka kroków od fiaska Heartbleed jeszcze kilka miesięcy temu Heartbleed - Co możesz zrobić, aby zachować bezpieczeństwo? Heartbleed - Co możesz zrobić, aby zachować bezpieczeństwo? , to naprawdę jedyny pewny zakład, że musisz zabezpieczyć swoje konta. Problem polega oczywiście na tym, że tak naprawdę nie możesz tego zrobić, dopóki nie dowiesz się, że witryny, z których korzystasz, nie są podatne na SQL Injection.

Jeśli chcesz ustalić, czy strony internetowe używane do uzyskiwania dostępu do twoich kont są bezpieczne, czy nie, musisz dowiedzieć się, czy są one bezpieczne przed atakami SQL Injection - broń wybrana dla tego rosyjskiego gangu hakerów.

Na szczęście dość łatwo jest sprawdzić, czy witryna jest podatna na tego rodzaju włamanie. Wszystko, co musisz zrobić, to znaleźć stronę w witrynie, która ładuje się dynamicznie z bazy danych zaplecza. Jest to dość łatwe w przypadku witryny opartej na PHP, szukając adresów URL ustrukturyzowanych za pomocą zapytania: “http://www.website.com/page.php?id=32”

Szybki test podatności na iniekcję SQL polega na dodaniu pojedynczego cudzysłowu na samym końcu wiersza. Jeśli strona internetowa nadal ładuje się dobrze, witryna jest zabezpieczona przed tym atakiem. Jeśli zwróci an “Zapytanie SQL nie powiodło się” błąd, witryna jest podatna na zagrożenia i należy założyć, że dane tam przechowywane zostały naruszone.

Dołączając „ do adresu URL testujesz, czy możesz dodać dodatkowe parametry SQL, aby wywołać bardziej inwazyjne polecenie SQL.

Jeśli odkryjesz, że witryna jest bezpieczna, śmiało i zmień tam hasła. Jeśli zauważysz, że wciąż jest podatny na atak SQL Injection, unikaj zmiany poświadczeń, a zamiast tego skontaktuj się z właścicielem witryny i poinformuj go o luce.

Chociaż jesteś przy tym…

Przechodząc i zmieniając hasła we wszystkich zabezpieczonych witrynach, weź pod uwagę następujące wskazówki.

• Czy twoje hasło jest naprawdę unikalne i silne? Zapoznaj się z naszymi licznymi artykułami ze wskazówkami dotyczącymi generowania haseł. 7 sposobów tworzenia haseł, które są zarówno bezpieczne, jak i niezapomniane. 7 sposobów tworzenia haseł, które są zarówno bezpieczne, jak i niezapomniane. Posiadanie innego hasła do każdej usługi jest koniecznością w dzisiejszym świecie online. , ale istnieje straszna słabość do losowo generowanych haseł: nie można zapamiętać ich wszystkich. Ale jak możesz pamiętać… .
• Użyj menedżera haseł Użyj strategii zarządzania hasłem, aby uprościć swoje życie Użyj strategii zarządzania hasłem, aby uprościć swoje życie Wiele rad dotyczących haseł było prawie niemożliwe do zastosowania: użyj silnego hasła zawierającego cyfry, litery i znaki specjalne; zmieniaj to regularnie; wymyślić zupełnie unikalne hasło dla każdego konta itp. i upewnić się, że hasło jest inne dla każdej używanej witryny. Spróbuj użyć generatora haseł 5 najlepszych generatorów haseł online dla silnych losowych haseł 5 najlepszych generatorów haseł online dla silnych losowych haseł Szukasz sposobu na szybkie utworzenie niezniszczalnego hasła? Wypróbuj jeden z tych internetowych generatorów haseł. dla każdej strony.
• Powtarzam: użyj unikalnego hasła do każdy teren!

Poza zarządzaniem hasłem istnieje jeszcze jedno kreatywne podejście, które pozwala ci faktycznie “Cofnij się” u hakerów. Wymaga to upewnienia się, że wszystkie konta internetowe zawierają fałszywe informacje - fałszywe adresy, numery telefonów i adresy e-mail. W ten sposób, ilekroć dojdzie do tego rodzaju naruszenia, możesz po prostu się z tego wyśmiać, ponieważ wszystkie osobiste dane kontaktowe - zwłaszcza e-mail, który jest zwykle usuwany w celu spamowania - są kompletnym niewypałem dla hakera.

Oczywiście takie podejście nie zadziałałoby w przypadku witryny finansowej, która zwykle wymaga potwierdzonej identyfikacji, ale można mieć nadzieję, że witryny finansowe są znacznie wyprzedzające krzywą bezpieczeństwa, aby być bardziej niż bezpieczne od czegoś takiego jak włamanie do SQL Injection.

W świetle wielkości i zakresu tego ostatniego ataku, czy obawiasz się o swoje prywatne informacje? Czy masz jakieś plany, aby sobie z tym poradzić? Podziel się swoimi przemyśleniami w sekcji komentarzy poniżej!

Źródło: New York Times
Zdjęcie Kredyty: Niewidzialny człowiek Via Shutterstock, kentoh / Shutterstock