Socialteknikhackar och länkade konton: Hur man skyddar mot identitetsstöld

På denna dag och ålder har Internet en nära koppling till de flesta aspekterna av våra liv och identitet. Nästan alla har en Facebook-profil, liksom eventuellt ett Twitter-konto, LinkedIn-sida, online-konton, konton hos online-återförsäljare och förmodligen gott om gamla profiler på andra webbplatser som bara samlar virtuellt damm. De flesta av oss har kommit att lita på Internet med vår information. Vi är övertygade om att globala, sofistikerade företag som PayPal, Facebook, Amazon och alla andra stora namn inte lämnar vår information öppen för hacking. Men den kollektiva hjärnkraften hos hackare runt om i världen görs för att hitta nya och innovativa sätt att bryta mot företagens system.

Det har sagts tidigare, men jag säger det igen: Säkerheten är bara lika stark som din svagaste länk. Exakt hur svag är kedjan som leder till din personliga information? Det finns många sårbarheter att ta reda på i din online-närvaro: några som du kanske känner till och andra som du aldrig har tänkt på. Skydd och förebyggande är nyckeln till din online säkerhetsprocess. Det är mycket lättare att förhindra ett hack än det är att reparera skadan efter att en har inträffat.

Vad är socialteknik?

I detta sammanhang är socialteknik en metod som används för att manipulera människor att avslöja personlig information. En ny artikel från Wired's Mat Honan detaljerade hur han blev offer för en socialteknik hack som gjorde sitt digitala liv kraschar ner. Sårbarheter i Amazon och Apples säkerhetsprotokoll möjliggjorde en hackare att få tillgång till en serie av författarens konton. Hackern kunde bryta sig in på sitt Amazon-konto, vilket gav en faktureringsadress samt de fyra sista siffrorna i ett kreditkortsnummer. Denna information var allt som behövdes för att övertyga Apple om att hackaren var Honan, och fick honom därför att återställa Apple ID-lösenordet. Därifrån fick hackaren tillgång till sitt Apple-e-postkonto, vilket ledde till hans Gmail-konto, vilket var navet till ännu mer online-information. Det här är socialteknik på jobbet. Hur hackarna visste att herr Honan hade ett Amazon-konto är inte helt klart, men kedjan av händelser som lurade dem på hans sårbarhet är värt att notera:

"Efter att ha kommit över mitt [Twitter] konto gjorde hackarna lite bakgrundsforskning. Mitt Twitter-konto kopplade till min personliga webbplats, där de hittade min Gmail-adress. Gissar att det här var också den e-postadress jag använde för Twitter, Phobia [hackaren] gick till Googles kontoåterställningssida. Han behövde inte ens försöka återhämta sig. Detta var bara ett rekorduppdrag. Eftersom jag inte hade Googles tvåfaktorsautentisering aktiverad, när Phobia kom in i min Gmail-adress kunde han se det alternativa e-postmeddelandet jag hade ställt in för kontoåterställning. Google döljer delvis den informationen, med huvudroll i många tecken, men det fanns tillräckligt med tecken tillgängliga, m••••[email protected]. Jackpott."

Tänk två gånger om länkade konton

Strängen i ditt digitala liv börjar och slutar någonstans, och om en lätt sårbarhet hittas kommer den att utnyttjas. Amazon har sedan hävdat att det har ändrat sina säkerhetsprocedurer så att denna typ av exploatering inte längre är möjligt (men efter att ha läst Wired-historien har jag sedan raderat all min information från Amazon och kommer in manuellt varje gång från och med nu. Det finns ingen sådan sak att vara för försiktig). Apple har däremot inte sagt att det har ändrat någon säkerhetspolitik. Apples sade bara att säkerhetsåtgärderna inte följdes helt. Det finns många andra företag som är mottagliga för socialteknik taktik, och dina länkade konton berätta var de ska börja. Ibland kan det enklaste utnyttjandet vara ditt Facebook-konto.

Det digitala spåret som leder tillbaka till ditt icke digitala liv

Om du antar att din Facebook-profil är offentlig, eller att du accepterar vänförfrågningar från personer som du inte vet, innehåller din profil hela din födelsedag? Din personliga e-postadress, hemadress och telefonnummer? Har du bilder på ett gammalt familjehus där du heter dem eller är du kompis med din mamma, som fortfarande använder sitt flicknamn? Finns det bilder av dig från första klass som visar skolans namn, du med din första flickvän eller din BFF?

Ja, och varför frågar jag alla dessa personliga frågor? Tja, din födelsedatum och adress kan ge mig tillräckligt med information för att börja omgilla dig hos andra företag eller online. I vissa fall kan jag behöva de sista fyra siffrorna i ditt personnummer, men det är inte den stoppplats du tycker är den. Så varför ska din första familj älskling, din mammas namn, din första grundskola, första flickvän eller namnet på din bästa vän fråga? De är alla svar på säkerhetsfrågor för återvinningsprocesser. Om du är okänd - Jag har knäckt ditt email, men mitt riktiga mål är ditt bankkonto, jag har nu svaren på dina säkerhetsfrågor och jag kan ändra lösenordet på ditt bankkonto för att få tillgång.För god åtgärd kommer jag förmodligen också att ändra lösenordet på din e-post, eller om jag är klar med att utnyttja den, kan jag ta bort kontot helt. Naturligtvis finns det många faktorer för att göra denna situation ideal, och det finns andra metoder som kan användas för att ta över din identitet.

Om du har svaga lösenord som "bucketKid", som ett helt slumpmässigt exempel, skulle en brute force attack på ditt konto ta cirka åtta dagar att spricka ditt lösenord (mer om hur jag vet det i avsnittet Rekommendation). Att bara lägga till ett nummer för att göra det "bucketKid7" lägger till sex år till den tid det skulle ta en hackare att knäcka den.

Det är också möjligt att din information kan bli utsatt som säkerhetsskador i ett annat företags hack. Om du använder samma lösenord på flera webbplatser, varav en innehåller ditt e-postmeddelande, är det dags för dig att ändra alla dina lösenord och undersöka hur långt skadan kan sippra ut. Nu, att du har värsta scenarier i ditt sinne, låt oss gå vidare till hur du faktiskt kan skydda dig själv.

Vår rekommendation

Använd aldrig samma lösenord två gånger! Jag vet att du har hört det en miljon gånger tidigare, och du kanske tror att det inte är praktiskt att ha dussintals unika lösenord över många webbplatser. Tja, det finns två saker du kan göra för att göra det praktiskt:

Det första är att du kan använda ett program som hjälper dig att skapa och lagra unika lösenord för alla dina webbplatser. 1Password är ett sådant program - när du loggar in på en av dina onlineprofiler, kan du helt enkelt välja den inloggning du behöver och 1Password kommer att ge lösenordet och ge dig tillgång. Men kanske du inte vill att alla dina lösenorden är lagrade i en databas - det är en giltig fråga.

Nästa alternativ är att skapa en serie relaterade lösenord. Ett lösenord kan vara "Treez4Eva" nästa "Trees4eVer" och så vidare. Kom ihåg vilken webbplats som använder vilken version som kan vara lite knepig, men det är genomförbart och definitivt värt att försöka. Kom ihåg att du alltid kan återställa lösenord som du glömmer. Det kan vara tidskrävande, men låt inte glömma lösenord stoppa dig från att skapa unika, säkra.

Nu vidare till själva lösenordet: du kan använda hur säkert mitt lösenord är en praktisk referens för att mäta hur säkert du verkligen är. Använd alltid alfanumeriska kombinationer tillsammans med versaler och specialtecken. Om webbplatsen tillåter det, använd också mellanslag. "BucketKid" är mycket säkrare när det är "bu (k3t K! 4 15 r3a!" Det lösenordet skulle ta 3 quintillion år att spricka, enligt hur säkert är mitt lösenord, vilket är så många år det låter falskt. tänk på att det skulle ta dig så många år att komma ihåg ett lösenord såhär - men tänk på hur du kan använda minnetrickar för att göra processen lättare. Exemplet ovan lyder: "bucket kid is real", allt du behöver komma ihåg är vilka bokstäver du har aktiverat och hur du bytte bokstäver med siffror eller specialtecken. Om du fortfarande vill använda samma lösenord över många webbplatser, använd din starkaste, som exemplet ovan, för webbplatser som du använder ofta, till exempel e-post. Skapa sedan throwaway lösenord som "paraply boy 15 fake" för andra webbplatser som du inte använder ofta eller känner inte är så säkra.

Använd alltid tvåstegsverifiering för alla webbplatser som stöder den. Kom ihåg den Wired författarens redogörelse för hur han blev hackad eftersom han inte använde tvåstegs verifiering? Gör inte samma misstag. Google stöder det, liksom Yahoo och Facebook. Tvåstegsverifiering innebär att när du loggar in på ditt konto från en oigenkänd dator eller IP-adress kommer du bli uppmanad att sätta in en kod som skickades till din telefon. Vad som är bra med detta är att det också fungerar som ett larmsystem för dina konton. Om någon försöker få åtkomst till ditt e-postmeddelande, och du plötsligt får en text som ger dig en inloggningskod, vet du att det är dags att slita ner luckorna.

Slutligen, om du har några frågor alls om din onlinesäkerhet, kolla ska jag ändra mitt lösenord. På den här sidan kan du ange din e-postadress och se om den visas på några listor som hackare har sammanställt efter att ha knäckt en webbplats. De har just lagt till en ny funktion där du kan lagra din e-postadress med dem och de kommer att referera till den med eventuella framtida attacker.

Allt detta kan tyckas gå ut i djupänden och vara för paranoid för dig, men att vara paranoid på Internet kan ibland hålla dig säker. Det finns många andra åtgärder du bör vidta för att skydda dig själv, till exempel: kryptering av hårddisken, skapande av engångsadresser och namn på webbplatser som du inte litar på eller känner saknar i säkerhet och byter lösenord varje några månader. Den här guiden ska tas som en hoppa av punkt för att göra dig säkrare och om allt du gör är att skapa ett starkt lösenord och registrera ditt e-postmeddelande med Om jag ändrar mitt lösenord databas så är det åtminstone ett bra första steg för att skydda dig själv från identitetsstöld på Internet.

Expertrekommendationer

Ryan Disraeli, VD för bedrägeribekämpning på TeleSign:

"Den genomsnittliga personen är chockerande mycket hackbar, men verkligheten är att hackare ser ut att attackera det enklaste målet. Detta är inte annorlunda än offline. Kommer en tjuv att råna ett hem med 24/7 säkerhetsvakter eller ett hem som alltid lämnar ytterdörren upplåst? Verkligheten är att en bra tjuv fortfarande kan råna ett hem med utmärkt säkerhet men föredrar att gå efter ett lättare offer.Precis som att du skulle vidta försiktighetsåtgärder för att skydda din personliga egendom, borde individer se till att lägga till några lag av förebyggande för att säkra sin identitet på nätet."

Dodi Glenn, GFI Software VIPRE Antivirus produktchef:

"Behandla din smarta telefon som en dator. Om du utför någon form av finansiella transaktioner på din telefon gäller samma säkerhet "bästa metoder" som med en dator."

Shuman Ghosemajumder, VD för Strategi vid Shape Security:

"Var uppmärksam på hur du får tillgång till webbplatser. En del av att du är säker på att du litar på en webbplats, verifierar att organisationen bakom webbplatsen är ansedd. En annan del är att se till att du litar på din anslutning till den webbplatsen. Du bör se till att webbadressen är korrekt, att du navigerade direkt till den och inte klickade på en länk från en oönskad e-post, snabbmeddelande eller popup-fönster. Om du kan, använd bara dina egna enheter och anslutningar. Du bör undvika offentliga WiFi-anslutningar och delade offentliga datorer om du kan, eftersom det är lätt för angripare att sniffa nätverkstrafik eller installera keyloggers för att fånga lösenord. Om du måste använda en offentlig WiFi-anslutning, se till att du inte skickar in någon inloggning eller personlig information till en webbplats som inte använder en HTTPS-anslutning."