W ten sposób twoje konto może zostać zhakowane!

Reklama

pon., 09/14/2020 - 14:11 -- MagdalenaL

Chris Dale pracuje nad włamaniem się do systemów IT, w ten sposób przejmuje konta e-mailowe innych osób. We wtorek Storting poinformował, że został narażony na naruszenie danych. Według dyrektor Stortingu, Marianne Andreassen pobrano różne ilości danych.

  • To, o czym teraz mówisz, jest takie trywialne. Dzieje się tak przez cały czas. Mówię o ludziach pracujących w tej branży. - mówi etyczny haker Chris Dale z River Security.

Skontaktowano się z przedstawicielami Stortingu i pracownikami, których ta sprawa bezpośrednio dotyczy, w celu monitorowania ich danych przez administrację Stortingu. 

PST (norweska policyjna służba specjalna) rozpoczęła śledztwo w sprawie ataku IT.

Oprócz ataku na konta e-mailowe ludzi związanych ze Stortingiem, pojawiła się również wiadomość, że 10 000 pracowników w siedmiu gminach śródlądowych zostało narażonych na ataki e-mailowe ze strony wrogiego człowieka za granicą.

To się dzieje cały czas

Nie znaleziono jeszcze żadnych dowodów na istnienie związku między tymi atakami na dane.

Jako etyczny haker, Dale zajmuje się hakowaniem firm, aby pomóc im dowiedzieć się gdzie tkwią ich słabości. Nazywa to testami penetracyjnymi. Jest to dobry sposób, aby firma mogła dowiedzieć się, gdzie ma słabe punkty i gdzie złośliwy haker będzie uderzał, w ten sposób unikną nieprzyjemnych sytuacji wykradnięcia danych w przyszłości.

Według Dale’a ataki komputerowe na firmy i instytucje rządowe mają miejsce praktycznie cały czas.

W ankiecie przeprowadzonej przez Confederation of Norwegian Enterprise’s Security Council w 2018 roku, to aż 563 z 1500 ankietowanych firm odpowiedziało, że były narażone na różnego rodzaju ataki lub ich próby.

Dale uważa, że dość poważnym problemem jest to, że wielu Norwegów używa tego samego hasła na kilku stronach internetowych. W tej sytuacji, jeżeli ktoś się włamie na jedną stronę internetową, to automatycznie otrzyma dostęp do hasła skojarzonego z tym użytkownikiem.

  • Prawie wszyscy używamy tego samego hasła w kilku miejscach i to już przestało być bezpieczne dla naszych danych. - mówi Dale i zdecydowanie zachęca do posiadania unikalnych haseł na różnych platformach. 

Najłatwiejsze do zhakowania konta e-mailowe, to te, do których potrzebujesz tylko hasła, aby się zalogować. Jednak to nie znaczy, że system dwuskładnikowy jest niemożliwy do przejścia. Przysparza to hakerom większego nakładu pracy. Dlatego warto używać dwuskładnikowego uwierzytelnienia. Wtedy logujesz się na maila w dwóch etapach, pierwszy polega na wpisaniu odpowiedniego hasła, a następnie trzeba potwierdzić logowanie kodem SMS, lub innymi wybranymi metodami.

Trzeba pamiętać jednak, że to nadal nie daje nam stuprocentowego zabezpieczenia przed atakami hakerów, podkreśla Dale.

  • Jeśli przejdziemy do dwuczynnikowego logowania, to jako atakujący mam problem. Oznacza to, że osoba posiadająca dane konto musi nacisnąć “tak”, aby uwierzytelnić logowanie. Nie można automatycznie zmusić takiej osoby do wykonania tego działania. - dodaje Dale.

Istnieje kilka mechanizmów dwuskładnikowych, niektóre z nich są bezpieczniejsze niż inne. W niektórych przypadkach wystarczy wcisnąć “tak” w SMS’ie lub powiadomieniu w telefonie, w innych natomiast  potrzeba wpisać kod, który dostaje się na inne urządzenie, niż te, z którego chcemy się zalogować.

Musisz oszukać właściciela konta e-mail

Kilka innych metod hakowania, o których wspomina Dale, opiera się na tzw. łasce atakującego, który został oszukany przez hakera. Nie chodzi tutaj jednak o to, jak haker dostaje się na konto e-mail z uwierzytelnieniem dwuskładnikowym. Niektóre mechanizmy dwuskładnikowe polegają tylko na odbieraniu wiadomości SMS.

  • Haker może wtedy ustawić fałszywą wieżę radiową i przechwycić tego SMS’a z kodem, zanim trafi on do twojego telefonu. - mówi Dale.

Jednak wymaga to tego, aby haker znajdował się w pobliżu osoby lub osób, które chce zaatakować. Hakerzy mogą również ominąć system dwuskładnikowy, instalując wirusa na telefonie komórkowym, bądź komputerze.

Niezależnie od używanej metody logowania, tak zwane phishing mogą również zapewnić atakującemu dostęp do Twojego konta.

Możesz wysłać fałszywą wiadomość e-mail

Typowym narzędziem włamywania się do firm jest wysyłanie fałszywego e-maila do pracownika. Celem jest uzyskanie hasła i dwuskładnikowego kodu użytkownika. To jest coś, co Dale robił wcześniej w kontekście pracy.

  • Wyłudzanie informacji zazwyczaj polega na otrzymaniu wiadomości e-mail i poproszeniu o przejście do danej witryny internetowej. Strona wygląda na prawdziwą, ale pozostawiając tam swój login i hasło, dajesz je, jak na tacy przestępcom. Wtedy przestępcy w bardzo łatwy sposób mogą pobrać Twoją nazwę użytkownika i hasło, a następnie zalogować się na Twoje konto e-mail. Potem widząc, że masz włączone dwuetapowe logowanie, proszą o kod. - wyjaśnia Dale.

Pracownicy miejscy w głębi lądu byli narażeni na phishing. Podczas ataku komputerowego, który miał miejsce we wtorek, tego typu maile były wysyłane do pracowników. Oczywiście dla nich były to zwykłe maile od współpracowników, z załącznikami zawierającymi wirusy, dlatego nikt się niczego nie domyślał.

Dale chce wyraźnie ostrzec zarówno firmy, jak i osoby fizyczne:

  • Martwię się, że norweskie firmy mają świadomość, że w internecie nie ma złotych i zielonych lasów. Nazwa użytkownika i hasło są sprzedawane po niskiej cenie.

Autor: 
Tłumaczenie: Martyna Grygier
Źródło: 
Dział: 

Reklama