安全なパスワード、公開されたユーザー名：災害のレシピ

Evernote、Facebook、Twitterなどに対する最近の攻撃のそれぞれにおいて、関係する企業はパスワードが安全に保たれていることをすぐに指摘しました。 ただし、ユーザー情報にはそれ自体の寿命があり、攻撃が終了した後も、個人に対する攻撃の影響は長く感じられます。

私たちが見た攻撃

通常、大手企業が侵害されたときに耳にするのは、支払い情報の安全性、パスワードは暗号化されていたが、他の情報にはアクセスできるという方法に沿ったものです。 通常、これにはユーザー名とメールが含まれます。

私たちのほとんどにとって、それは危険に思えないかもしれません。 結局のところ、私たちは常に自分自身の電子メールを配ります。オンラインで投稿することさえしています。 しかし、このわずかな情報さえ公開されているユーザーにはリスクがあります。

LookoutモバイルセキュリティのシニアプロダクトマネージャーであるDerek Hallidayは、これらの情報がユーザーを標的にする方法をSecurityWatchに説明しました。 「アカウント情報は、人々に関するいくつかの固有のコンテキスト情報を提供するため、潜在的にスピアフィッシングを可能にするために使用することができます-それらに連絡する方法です」と彼は言いました。 「そして、ある時点で特定のサービスにサインアップしたという事実。」

これが、正当な警告メールが頻繁に、誰もパスワードを求めないという情報を公開した可能性のあるユーザーに思い出させる理由です。 ハッカーがEvernoteの使用を知っている場合（たとえば）、Evernoteからのメッセージを作成して、アカウントの管理に使用するメールアドレスに送信するのは簡単です。 おそらく、パスワードまたは支払い情報の入力を求められるか、悪意のあるリンクをクリックするように仕向ける可能性があります。

Impermiumの共同設立者兼CEOであるMark Risher氏は次のように述べています。「「長い詐欺」に積極的に取り組むサイバー犯罪者を見てきました。 「機密データの直接窃取を超える多段階攻撃。」

「犯罪者がソーシャルネットワークアカウントに侵入すると、スピアフィッシングに正当性を追加する個人の詳細が見つかることがよくあります」と同窓会をそのような個人の詳細の1つとして挙げたリッシャーは続けました。 彼は、「秘密の質問」機能（学校のマスコットが何であるか、または最初のペットの名前を尋ねることがあります）を別のWebサイトでロック解除するために使用できると説明しました。

最悪の場合

ソフォスのシニアセキュリティアドバイザーであるChester Wisniewski氏は、Evernoteやその他の最近侵害されたWebサイトが暗号化ハッシュとランダムな「塩」データでパスワードを保護していても、すべてのユーザーが保護されるわけではないと述べました。 彼は、ユーザーが弱いパスワードや一般的なパスワードを選択した場合、「犯罪者はおそらくそれを持っているでしょう」と説明しました。

利用可能な情報が限られているため、簡単なパスワードが引き続き取得される場合があります。 「犯罪者は本当に簡単なものをハッシュ化するつもりであり、他の人に迷惑をかけないかもしれない」とWisniewskiは言った。

一部の悪者にとっては、FacebookやTwitterなどのソーシャルメディアアカウントにアクセスするだけで十分です。 マルウェア感染を広めようとすることで、お金を稼ぐ機会として利用する人もいます。 より積極的な攻撃者は、盗んだパスワードを使用してWebメールアカウントのロックを解除しようとする場合があります。

「彼らはしばしばユーザーの銀行からのメールを探します。多くの場合、その銀行には「パスワードを忘れました」機能があり、これはメールアカウントへのアクセスのみに依存しています」とRisher氏は言います。

最悪のシナリオを続けると、攻撃者はオンラインバンキング情報へのアクセスを取得した後、実行されない可能性があります。 「これらの人々の多くは、個人情報の盗難に直接関与するつもりはありません。彼らはそれを売り払うでしょう」とウィスニエフスキーは語った。

さらに、銀行のトロイの木馬の場合、攻撃者はアカウントの上位10％（つまり、利用可能な資金が最も多いアカウント）を使用し、残りの90％の情報を販売することを説明しました。 これは、ユーザー情報が侵害されると、所有者が最終的に制御を取り戻すまで引き続き使用および再利用できることを意味します。

自分を守る

「最近のすべての良いニュースは、個人を特定できるものは何も取られなかったことです」と、影響を受ける企業が少なくともユーザー情報を保護するための良い措置を講じたように見えると何度か強調したWisniewskiは言いました。

しかし、これまで見てきたように、それだけでは十分ではありません。 ハッキングされたサービスからのプロンプトが表示された場合、ユーザーはパスワードを変更するために警告に注意する必要があります。 また、すべてのオンラインサービスに対して強力で一意のパスワードを選択するよう努力する必要があります。おそらく、パスワードマネージャーを使用してタスクを簡単にします。

理解することが重要なのは、ユーザー情報が貴重であり、影響を受けるアカウントを1つ保護した後も攻撃者にとって有用である可能性があることです。 インターネットは、楽しみと仕事をするための多くの方法を提供しますが、攻撃のための手段と同じくらい多くを提供します。