Social Engineering Hacks en Linked Accounts: hoe te beschermen tegen identiteitsdiefstal

In deze tijd heeft internet een nauw verband met de meeste aspecten van ons leven en onze identiteit. Vrijwel iedereen heeft een Facebook-profiel, evenals mogelijk een Twitter-account, LinkedIn-pagina, online betaalrekeningen, accounts bij online retailers en waarschijnlijk veel oude profielen op andere sites die net virtueel stof verzamelen. De meesten van ons zijn op het internet gaan vertrouwen met onze informatie. We hebben er vertrouwen in dat wereldwijde, geavanceerde bedrijven zoals PayPal, Facebook, Amazon en alle andere grote namen onze informatie niet open laten voor hacking. Maar de collectieve denkkracht van hackers over de hele wereld wordt ingezet om nieuwe en innovatieve manieren te vinden om de systemen van die bedrijven te doorbreken.

Het is al eerder gezegd, maar ik zeg het nog een keer: de beveiliging is alleen zo sterk als je zwakste schakel. Hoe zwak is de ketting die naar uw persoonlijke informatie leidt? Er zijn talloze kwetsbaarheden om rekening mee te houden in uw online aanwezigheid: sommige waar u zich bewust van bent en andere waar u nog nooit aan hebt gedacht. Bescherming en preventie zijn de sleutelwoorden in uw online beveiligingsproces - het is veel gemakkelijker om een ​​hack te voorkomen dan om de schade te herstellen nadat er een is opgetreden.

Wat is social engineering?

In deze context is social engineering een methode die wordt gebruikt om mensen te manipuleren om persoonlijke informatie openbaar te maken. Een recent artikel van Wired's Mat Honan beschrijft hoe hij het slachtoffer was van een hack voor social engineering die zijn digitale leven op zijn kop zette. Door beveiligingslekken in het beveiligingsprotocol van Amazon en Apple kon een hacker toegang krijgen tot een reeks schrijversaccounts. De hacker kon inbraken op zijn Amazon-account, dat een factuuradres en de laatste vier cijfers van een creditcardnummer verstrekte. Deze informatie was alles wat nodig was om Apple ervan te overtuigen dat de hacker Honan was, en daarom stond hij hem toe om het Apple ID-wachtwoord opnieuw in te stellen. Van daaruit kreeg de hacker toegang tot zijn Apple e-mailaccount, wat vervolgens leidde tot zijn Gmail-account, dat het middelpunt was van nog meer online informatie. Dit is social engineering op het werk. Hoe de hackers wisten dat Mr. Honan een Amazon-account had, is niet helemaal duidelijk, maar de keten van gebeurtenissen die hen heeft overgehaald tot zijn kwetsbaarheid is het vermelden waard:

"Nadat ik mijn [Twitter] -account tegenkwam, deden de hackers wat achtergrondonderzoek. Mijn Twitter-account gekoppeld aan mijn persoonlijke website, waar ze mijn Gmail-adres hebben gevonden. In de veronderstelling dat dit ook het e-mailadres was dat ik voor Twitter gebruikte, ging Phobia [de hacker] naar de pagina voor accountherstel van Google. Hij hoefde zelfs niet echt een herstel te proberen. Dit was maar een verkenningsmissie. Omdat ik de tweefactorauthenticatie van Google niet had ingeschakeld en Fobia mijn Gmail-adres had ingevoerd, kon hij de alternatieve e-mail bekijken die ik had ingesteld voor accountherstel. Google verduistert die informatie gedeeltelijk, met veel personages in de hoofdrol, maar er waren voldoende tekens beschikbaar, m ••••• [email protected]. Jackpot.”

Denk twee keer na over gekoppelde accounts

De snaar van je digitale leven begint en eindigt ergens, en als een gemakkelijke kwetsbaarheid wordt gevonden, zal het worden uitgebuit. Amazon heeft sindsdien beweerd dat het zijn beveiligingsprocedures heeft gewijzigd zodat dit type exploit niet langer mogelijk is (echter, na het lezen van het Wired-verhaal, heb ik sindsdien al mijn informatie van Amazon verwijderd en zal deze vanaf nu elke keer handmatig invoeren. Er is niet zoiets als te voorzichtig zijn). Apple, aan de andere kant, heeft niet gezegd dat het een beveiligingsbeleid heeft veranderd - Apple's zei alleen dat de beveiligingsmaatregelen niet volledig werden opgevolgd. Er zijn tal van andere bedrijven die vatbaar zijn voor social engineering-tactieken en uw gelinkte accounts vertellen waar ze moeten beginnen. Soms is de gemakkelijkste exploit uw Facebook-account.

Het digitale parcours dat teruggaat naar uw niet-digitale leven

Ervan uitgaande dat je Facebook-profiel openbaar is, of dat je vriendenverzoeken accepteert van mensen die je niet echt kent, is je profiel dan je volledige verjaardag? Uw persoonlijk e-mailadres, huisadres en telefoonnummer? Heeft u foto's van een oud familiehuisdier waar u ze een naam geeft, of bent u bevriend met uw moeder, die nog steeds haar meisjesnaam gebruikt? Zijn er foto's van jou uit de eerste klas met de naam van de school, jij met je eerste vriendin of je BFF?

Ja, en waarom stel ik al deze persoonlijke vragen? Welnu, je geboortedatum en adres kunnen me genoeg informatie geven om te beginnen je te imiteren bij andere bedrijven of online. In sommige gevallen heb ik misschien de laatste vier cijfers van uw sofinummer nodig, maar dat is niet de noodoplossing die u denkt dat het is. Dus waarom zou je eerste familiehuisdier, de meisjesnaam van je moeder, je eerste basisschool, eerste vriendin of de naam van je beste vriend er toe doen? Het zijn allemaal antwoorden op beveiligingsvragen voor processen voor accountherstel. Als ik je niet ken, heb ik je e-mail laten kraken, maar mijn echte doelwit is je bankrekening, ik heb nu de antwoorden op je beveiligingsvragen en ik kan het wachtwoord op je bankrekening wijzigen om toegang te krijgen.Voor de zekerheid zal ik waarschijnlijk ook het wachtwoord van je e-mail wijzigen, of als ik klaar ben met het misbruiken, kan ik het account volledig verwijderen. Natuurlijk zijn er veel factoren die deze situatie ideaal maken en er zijn andere methoden die kunnen worden gebruikt om je identiteit over te nemen.

Als je zwakke wachtwoorden hebt zoals "bucketKid", als een volledig willekeurig voorbeeld, zou een brute force-aanval op je account ongeveer acht dagen duren om je wachtwoord te kraken (meer over hoe ik dat weet in de sectie Aanbeveling). Het toevoegen van een nummer om het "bucketKid7" te maken, voegt zes jaar toe aan de tijd dat een hacker het zou moeten kraken.

Het is ook mogelijk dat uw informatie als onderpandschade wordt blootgesteld in de hack van een ander bedrijf. Als u hetzelfde wachtwoord gebruikt op meerdere sites, waarvan er één uw e-mailadres bevat, is het tijd om al uw wachtwoorden te wijzigen en te onderzoeken in welke mate de schade kan wegvloeien. Nu, dat u de slechtst denkbare scenario's in gedachten heeft, laten we verder gaan met hoe u uzelf kunt beschermen.

Onze site Aanbeveling

Gebruik nooit hetzelfde wachtwoord twee keer! Ik weet dat je dat al een miljoen keer eerder hebt gehoord, en je zou kunnen denken dat het niet praktisch is om tientallen unieke wachtwoorden over talloze sites te hebben. Welnu, er zijn twee dingen die je kunt doen om het praktisch te maken:

De eerste is dat u een programma kunt gebruiken om u te helpen bij het maken en opslaan van unieke wachtwoorden voor al uw sites. 1Password is zo'n programma - wanneer u inlogt bij een van uw online profielen, kunt u gewoon de login selecteren die u nodig hebt en 1Password zal het wachtwoord verstrekken en u toegang verlenen. Misschien wilt u echter niet dat al uw wachtwoorden in één database worden opgeslagen, dat is een terechte zorg.

De volgende optie is om een ​​reeks verwante wachtwoorden te maken. Eén wachtwoord kan "Treez4Eva" de volgende "Trees4eVer" zijn, enzovoort. Onthouden welke site welke versie gebruikt, kan een beetje lastig zijn, maar het is te doen en zeker de moeite van het proberen waard. Vergeet niet dat u altijd wachtwoorden kunt herstellen die u bent vergeten. Dat kan tijdrovend zijn, maar vergeet niet dat wachtwoorden u ervan weerhouden unieke, veilige wachtwoorden te maken.

Nu verder met het wachtwoord zelf: u kunt Hoe veilig is mijn wachtwoord gebruiken als handig naslagwerk om na te gaan hoe veilig u werkelijk bent. Gebruik altijd alfanumerieke combinaties samen met hoofdletters en speciale tekens. Als de site het toestaat, gebruik dan ook spaties. "BucketKid" is een stuk veiliger als het "bu (k3t K! 4 15 r3a!" Is. Dat wachtwoord zou 3 triljoen jaar nodig hebben om te kraken, volgens How Secure Is My Password, dat zo vele jaren nep klinkt. denk dat het u jaren kost om een ​​dergelijk wachtwoord te onthouden, maar denk erover na hoe u geheugentrucs kunt gebruiken om het proces gemakkelijker te maken. Het bovenstaande voorbeeld luidt: "emmerkind is echt", alles wat u hoeft te onthouden, is welke letters je hebt een hoofdletter geschreven en hoe je letters hebt vervangen door cijfers of speciale tekens. Als je nog steeds hetzelfde wachtwoord wilt gebruiken op meerdere sites, gebruik dan je sterkste wachtwoord, zoals het voorbeeld hierboven, voor sites die je vaak gebruikt, zoals e-mail. wachtwoorden zoals "paraplujongen 15 nep" voor andere sites die u niet vaak gebruikt of voelen, zijn niet zo veilig.

Gebruik altijd authenticatie in twee stappen voor elke site die dit ondersteunt. Weet je nog het verslag van de bekabelde schrijver over hoe hij is gehackt omdat hij geen authenticatie in twee stappen heeft gebruikt? Maak niet dezelfde fout. Google ondersteunt het, net als Yahoo en Facebook. Tweestapsverificatie houdt in dat wanneer u zich aanmeldt bij uw account vanaf een niet-herkende computer of een IP-adres, u wordt gevraagd een code in te voeren die naar uw telefoon is verzonden. Wat ook zo leuk is, is dat het ook als een alarmsysteem voor uw accounts werkt. Als iemand probeert toegang te krijgen tot uw e-mail en u krijgt plotseling een tekst met een inlogcode, weet u dat het tijd is om de luiken naar beneden te halen.

Tot slot, als u zich zorgen maakt over uw online veiligheid, vinkt u 'Should I Change My Password' aan. Op deze site kun je je e-mailadres invoeren en zien of het wordt weergegeven in lijsten die hackers hebben gecompileerd na het kraken van een site. Ze hebben zojuist een nieuwe functie toegevoegd waarin u uw e-mailadres bij hen kunt opslaan en zij zullen dit doorverwijzen met toekomstige aanvallen.

Dit lijkt allemaal van het diepe einde te gaan en te paranoïde voor je te zijn, maar paranoïde zijn op internet kan je soms wel beschermen. Er zijn tal van andere maatregelen die u moet nemen om uzelf te beschermen, zoals: het coderen van uw harde schijf, het creëren van wegwerp-e-mailadressen en -namen voor sites die u niet vertrouwt of waarvan u denkt dat ze om de paar maanden onvoldoende beveiliging bieden en wachtwoorden veranderen. Deze gids moet worden gebruikt als een beginpunt om u veiliger te maken en als u alleen maar één sterk wachtwoord maakt en uw e-mail registreert in de database Should I Change My Password, is dat op zijn minst een goede eerste stap om uzelf te beschermen van identiteitsdiefstal op internet.

Deskundige aanbevelingen

Ryan Disraeli, VP Fraud Services bij TeleSign:

"De gemiddelde persoon is schrikbarend erg hackable, maar de realiteit is dat hackers het makkelijkste doelwit zullen aanvallen. Dit is niet hetzelfde als offline. Zal een dief een huis beroven met 24/7 bewakers of een huis dat altijd de voordeur ontgrendeld laat? De realiteit is dat een goede dief nog steeds een huis met een uitstekende beveiliging kan beroven, maar er de voorkeur aan geeft achter een gemakkelijker slachtoffer aan te gaan.Net zoals je voorzorgsmaatregelen zou nemen om je persoonlijke eigendommen te beschermen, zouden individuen moeten kijken om enkele lagen van preventie toe te voegen om hun online identiteit te beveiligen."

Dodi Glenn, GFI Software's VIPRE Antivirus-productmanager:

"Behandel je smartphone als een computer. Als u financiële transacties uitvoert op uw telefoon, zijn dezelfde beveiligingsrichtlijnen van toepassing als op een computer."

Shuman Ghosemajumder, VP Strategie bij Shape Security:

"Let op hoe u toegang krijgt tot websites. Als u er zeker van bent dat u een site vertrouwt, controleert u of de organisatie achter de website betrouwbaar is. Een ander deel is ervoor te zorgen dat u uw verbinding met die website vertrouwt. U moet ervoor zorgen dat de URL correct is, dat u er rechtstreeks naar hebt genavigeerd en niet op een koppeling van een ongevraagde e-mail, IM of pop-up hebt geklikt. Gebruik als u kunt alleen uw eigen apparaten en verbindingen. Je moet openbare wifi-verbindingen en gedeelde openbare computers vermijden als het kan, want aanvallers kunnen gemakkelijk netwerkverkeer ruiken of keyloggers installeren om wachtwoorden vast te leggen. Als u een openbare WiFi-verbinding moet gebruiken, moet u ervoor zorgen dat u geen aanmeldings- of persoonlijke gegevens verstrekt aan een site die geen HTTPS-verbinding gebruikt."