A kétfaktoros hitelesítés (2FA) már nem jelent bolondbiztos biztonságot. Illusztráció fotó
Új támadási forma
A kétfaktoros hitelesítés (2FA) a kiberbiztonság standard biztonsági funkciójává vált. Ez megköveteli a felhasználóktól, hogy egy második hitelesítési lépéssel igazolják személyazonosságukat, általában egy egyszer használatos jelszóval (OTP), amelyet SMS-ben, e-mailben vagy hitelesítési alkalmazáson keresztül küldenek. Ez a további biztonsági réteg a felhasználói fiók védelmét szolgálja, még akkor is, ha a jelszavát ellopják.
Bár a 2FA-t számos weboldal széles körben alkalmazza, és a szervezetek is megkövetelik, a Kaspersky kiberbiztonsági szakértői a közelmúltban olyan adathalász támadásokat fedeztek fel, amelyeket a kiberbűnözők a 2FA megkerülésére használnak.
Ennek megfelelően a kiberbűnözők egy kifinomultabb kibertámadási formára váltottak, az adathalászatot automatizált OTP botokkal kombinálva, hogy megtévesszék a felhasználókat és jogosulatlan hozzáférést szerezzenek fiókjaikhoz. Konkrétan a csalók ráveszik a felhasználókat, hogy felfedjék ezeket az OTP-ket, lehetővé téve számukra a 2FA védelmi intézkedések megkerülését.
A kiberbűnözők adathalászatot és automatizált OTP botokat kombinálnak, hogy becsapják a felhasználókat és jogosulatlan hozzáférést szerezzenek fiókjaikhoz. Illusztráció fotó
Még az OTP botokat is, egy kifinomult eszközt, a csalók használják OTP kódok ellopására társadalmi manipuláció útján. A támadók gyakran megpróbálják ellopni az áldozatok bejelentkezési adatait olyan módszerekkel, mint az adathalászat vagy az adatbiztonsági réseket kihasználva. Ezután bejelentkeznek az áldozat fiókjába, ami kiváltja az OTP kódok küldését az áldozat telefonjára.
Ezután az OTP bot automatikusan felhívja az áldozatot, egy megbízható szervezet alkalmazottjának kiadva magát, egy előre programozott beszélgetési szkript segítségével, hogy rávegye az áldozatot az OTP kód felfedésére. Végül a támadó a boton keresztül megkapja az OTP kódot, és azt felhasználva illegálisan hozzáfér az áldozat fiókjához.
A csalók gyakran a hanghívásokat részesítik előnyben a szöveges üzenetek helyett, mivel az áldozatok hajlamosabbak gyorsabban reagálni erre a módszerre. Ennek megfelelően az OTP botok az emberi hívás hangnemét és sürgősségét szimulálják, hogy bizalmat és meggyőzést keltsenek.
A csalók az OTP botokat dedikált online felületeken vagy üzenetküldő platformokon, például a Telegramon keresztül irányítják. Ezek a botok különféle funkciókkal és előfizetési csomagokkal is rendelkeznek, ami megkönnyíti a támadók dolgát. A támadók testreszabhatják a bot funkcióit, hogy szervezeteknek adja ki magukat, több nyelvet használjanak, sőt akár férfi vagy női hangszínt is választhatnak. A speciális opciók közé tartozik a telefonszám-hamisítás, amely a hívó telefonszámát egy legitim szervezet telefonszámának tünteti fel, hogy kifinomult módon becsapják az áldozatot.
Minél fejlettebb a technológia, annál magasabb az igény a fiókvédelemre. Illusztráció fotó
Egyszer használatos jelszóval védett bot használatához a csalónak először el kell lopnia az áldozat bejelentkezési adatait. Gyakran használnak adathalász weboldalakat, amelyek pontosan úgy néznek ki, mint bankok, e-mail szolgáltatások vagy más online fiókok legitim bejelentkezési oldalai. Amikor az áldozat megadja felhasználónevét és jelszavát, a csaló automatikusan (valós időben) begyűjti ezeket az információkat.
2024. március 1. és május 31. között a Kaspersky biztonsági megoldásai 653 088 látogatást akadályoztak meg bankokat célzó adathalász készletek által létrehozott weboldalakon. Az ezekről a weboldalakról ellopott adatokat gyakran használják OTP bot támadásokban. Ugyanebben az időszakban a szakértők 4721 olyan adathalász weboldalt észleltek, amelyeket a készletek a valós idejű kétfaktoros hitelesítés megkerülésére hoztak létre.
Ne hozz létre gyakori jelszavakat.
Olga Szvistunova, a Kaspersky biztonsági szakértője így nyilatkozott: „A szociális manipuláción alapuló támadások rendkívül kifinomult csalási módszereknek számítanak, különösen az OTP botok megjelenésével, amelyek képesek legitim módon szimulálni a szervizesek hívásait. Az éberség megőrzése érdekében fontos az éberség fenntartása és a biztonsági intézkedések betartása.”
A hackereknek csak intelligens előrejelző algoritmusokat kell használniuk a jelszavak könnyű megszerzéséhez. Illusztráció fotó
Mivel a Kaspersky szakértői által június elején intelligens kitaláló algoritmusok segítségével végzett 193 millió jelszó elemzése során kiderült, hogy ezek olyan jelszavak is, amelyeket információtolvajok kompromittáltak és értékesítettek a darkneten, az eredmények azt mutatják, hogy a jelszókombinációk 45%-a (ami 87 millió jelszónak felel meg) egy percen belül sikeresen feltörhető; a jelszókombinációknak csak 23%-a (ami 44 milliónak felel meg) tekinthető elég erősnek ahhoz, hogy ellenálljon a támadásoknak, és ezeknek a jelszavaknak a feltörése több mint egy évet vesz igénybe. A fennmaradó jelszók többsége azonban továbbra is 1 órától 1 hónapig terjedő idő alatt feltörhető.
Ezenkívül a kiberbiztonsági szakértők felfedték a felhasználók jelszavainak beállításakor leggyakrabban használt karakterkombinációkat is, például: Név: "ahmed", "nguyen", "kumar", "kevin", "daniel"; népszerű szavak: "forever", "love", "google", "hacker", "gamer"; standard jelszavak: "password", "qwerty12345", "admin", "12345", "team".
Az elemzés szerint a jelszavaknak mindössze 19%-a tartalmazott erős jelszókombinációt, amely tartalmazott nem szótári szót, kis- és nagybetűket, valamint számokat és szimbólumokat. Ugyanakkor a tanulmány azt is megállapította, hogy ezen erős jelszavak 39%-át az intelligens algoritmusok kevesebb mint egy óra alatt kitalálták.
Érdekes módon a támadóknak nincs szükségük speciális ismeretekre vagy fejlett felszerelésre a jelszavak feltöréséhez. Például egy dedikált laptop processzor mindössze 7 perc alatt képes pontosan, brute force-szal feltörni egy nyolc kisbetűből vagy számból álló jelszókombinációt. Egy integrált grafikus kártya ugyanezt 17 másodperc alatt tudja megtenni. Ezenkívül az intelligens jelszókitaláló algoritmusok általában karaktereket ("e" a "3", "1" a "!" vagy "a" a "@" helyett) és gyakori karakterláncokat ("qwerty", "12345", "asdfg") helyettesítenek be.
Használj véletlenszerű karakterláncokat tartalmazó jelszavakat, hogy a hackerek nehezen találhassák ki őket. Illusztráció fotó
„Tudattalanul az emberek hajlamosak nagyon egyszerű jelszavakat választani, gyakran anyanyelvük szótári szavait használva, például neveket és számokat... Még az erős jelszókombinációk is ritkán térnek el ettől a trendtől, így az algoritmusok teljesen kiszámíthatók” – mondta Julija Novikova, a Kaspersky digitális lábnyom-intelligencia vezetője.
Ezért a legmegbízhatóbb megoldás egy teljesen véletlenszerű jelszó létrehozása modern és megbízható jelszókezelők segítségével. Az ilyen alkalmazások nagy mennyiségű adatot képesek biztonságosan tárolni, átfogó és erős védelmet nyújtva a felhasználói adatoknak.
A jelszavak erősségének növelése érdekében a felhasználók a következő egyszerű tippeket alkalmazhatják: Használjanak hálózati biztonsági szoftvert a jelszavak kezeléséhez; használjanak különböző jelszavakat a különböző szolgáltatásokhoz. Így még ha az egyik fiókjukat feltörik is, a többi továbbra is biztonságban van; a jelszavak segítenek a felhasználóknak visszaállítani a fiókjaikat, ha elfelejtik a jelszavukat, biztonságosabb a kevésbé gyakori szavak használata. Ezenkívül online szolgáltatást is használhatnak jelszavaik erősségének ellenőrzésére.
Kerüld a személyes adatok, például születésnapok, családtagok nevei, háziállatok nevei vagy becenevek jelszóként való használatát. A támadók gyakran ezek az elsők, amikor megpróbálnak feltörni egy jelszót.
Forrás
Hozzászólás (0)