אתמול בלילה האקר אנונימי טען שהוא ברשותו של 7 מיליון סיסמאות לחשבונות דרופבוקס. למרות שטענה זו הייתה ככל הנראה שקרית, היא מדגימה את הדרך הנפוצה יותר ויותר בה משתמשים האקרים בכדי לקבל גישה לסיסמאות שלך.
ההאקר פרסם כ -400 שמות משתמש וסיסמאות באתר פתקים אנונימי Pastebin בסדרת 'טיזרים' לרשימה הראשית. חלק ממשתמשי Reddit הצליחו להתחבר בהצלחה ל- Dropbox באמצעות המידע שפורסם לפני שהחברה השביתה את כל הסיסמאות שהודלפו.
אבל דרופבוקס מיהרה להטיל ספק בטענות , הכחיש כי הוא נפרץ וטען שרבים משמות המשתמש והסיסמאות אפילו לא קשורים לחשבונות דרופבוקס.
אז מאיפה הסיסמאות? אחרי הכל הם עבדו, זמן מה.
המקור הסביר ביותר למידע הוא אתר צד ג 'שהיה בעל אבטחה ירודה. האקרים יודעים שרוב משתמשי האינטרנט משתמשים מחדש בסיסמאות שלהם, ולכן לעיתים קרובות הם מכוונים לאפליקציות קטנות יותר מתוצרת מפתחים חובבים. למטרות קלות אלה יש אבטחה ירודה - כך ששמות משתמש, סיסמאות או קבצים עשויים להיות מאוחסנים באופן שקל להאקרים לגנוב אותם.
פריצת ה- Snapchat האחרונה , שראה כמעט 100,000 תמונות וסרטונים פרטיים שפורסמו ברשת, קרה בגלל שמפתח חובב לא הקים את אתר האינטרנט שלו בצורה מאובטחת. בפוסט בדף הפייסבוק של Snapsaved , מייסד האתר האנונימי של האתר מסביר ששרת אפאצ'י שהוגדר בצורה שגויה הותיר את הקבצים חשופים להאקרים.
האקרים כבר לא צריכים לנסות ולמקד את ענקיות הטכנולוגיה. מדוע לטרוח לנסות לפרוץ לשרתים של גוגל, אפל או פייסבוק כשאתה יכול פשוט לנצל אתר בנוי בצורה גרועה בכדי לקבל את אותו המידע?
אנו רואים כעת האקרים משתמשים בגישה חדשה. במקום לבלות חודשים במציאת נקודות תורפה באתרים גדולים, הם משתמשים מחדש במידע הכניסה שנגנב מאפליקציות צד ג 'חובבות. רוב הסיכויים שהמידע עובד בכמה אתרים, ולכן איסוף מטמונים אלה של נתונים יכול ליצור במהירות רשימה של מיליוני סיסמאות.
בספטמבר, האקרים רוסים פרסמו רשימה של 5 מיליון סיסמאות למגוון ספקי דוא'ל שונים, כולל Gmail. זו לא הייתה דליפה חדשה, אלא אוסף של דליפות סיסמאות ישנות יותר שהורכבו יחד כדי להיראות חדשות. בטח, רבים מחשבונות הדואר האלקטרוני נסגרו, אך המידע עדיין יכול היה להיות מוריד ושימש את האקרים בכדי לפרוץ לחשבונות אחרים.
אז מדוע האקרים משתמשים במידע ישן מחדש? לעתים רחוקות יש עדויות לכך שהם משתמשים בסיסמאות בכדי להיכנס לאתרים. במקום זאת, נראה שהם פשוט מפרסמים את המידע באינטרנט. או לפחות, הם מפרסמים חלק מהמידע ברשת. כפי שהזכרנו קודם, האקרים מדליפים אוסף חלקי של סיסמאות כ'טיזרים '. לרוב זה מלווה בבקשה לתרומות ביטקוין.
אנו יכולים להשתמש באופי הציבורי של כתובות הביטקוין כדי לראות כמה מרוויחים האקרים עבור פרסום סיסמאות באינטרנט. לעתים קרובות זה פחות ממה שהם מצפים לקבל. ההאקר ששיתף את אוסף הסיסמאות של Dropbox קיבל 8 סנט בלבד . באופן דומה, OriginalGuy, פוסטר הפורום האנונימי שמאחורי הגל הראשון של תמונות סלבריטאים פריצות ל- iCloud, הביע חרדה מהטפטוף הקטן של התרומות שנקרה בדרכו, והעיר:
בטח, קיבלתי 120 $ עם כתובת הביטקוין שלי, אבל כשאתה שוקל כמה זמן הושקע ברכישת החומר הזה (אני לא האקר, רק אספן), ואת הכסף (שילמתי הרבה גם דרך ביטקוין כדי להיות בטוחים מגדיר כאשר החומר הזה נסחר באופן פרטי ביום שישי / שבת) ממש לא התקרבתי למה שקיוויתי לו.
אנו רואים שיותר ויותר סיסמאות דולפות ברשת. מפתחי חובבים אינם מגבירים את אבטחת הסיסמאות, והדלפות קיימות ממשיכות לצוץ מחדש. למרות שהמידע שפורסם לרוב אינו מעודכן בכמה שנים (רבים מהודעות הדוא'ל שפורסמו יחד עם סיסמאות Dropbox הושבתו בשנת 2012), אך הוא עדיין חשוב להאקרים המרכיבים רשימות גדולות של כתובות דוא'ל וסיסמאות שישמשו להתקפות נגד אתרים אחרים. .
וכדי למקרה שזה לא ברור, זו גם אשמתך: אם אתה משתמש באותן סיסמאות שוב ושוב עם אפליקציות שונות, אז האקרים לא צריכים להיכנס לשרתי אפל או פייסבוק כדי למצוא אותם. הם פשוט מזהים את האפליקציות הקטנות יותר עם אבטחת הסיסמה החלשה ביותר.
--זֶה כַּתָבָה הופיע לראשונה ב Insider Insider.
