Jehu! Elveszítettük az adatait! Két éve...

Hirdetés

A Yahoo internetes óriás hatalmas adat megsértést szenvedett. A 2014-ben bekövetkezett jogsértés 500 millió Yahoo-felhasználó adatait eredményezte eladó a sötét interneten A mély web 10 kevéssé ismert sarka, amely valójában tetszikA sötét webnek jó hírneve van, de van néhány igazán hasznos sötét webhely, amelyet érdemes megnézni. Olvass tovább .

A lopásos törpök mértéke más, a közelmúltban tapasztalható, súlyos adatsértésekkel jár, és a Yahoo biztonsági gyakorlatait szilárdan a figyelem középpontjába helyezi.

Mi történt?

A Yahoo nyilatkozatot adott ki a biztonsági sérülés megerősítése és részletezése, azt állítva, hogy az adatokat „állami támogatású” hackerek lopták el. 2014-ben a társaságtól elloptak információkat, beleértve a neveket, e-mail címeket, telefonszámokat és biztonsági kérdéseket.

„A Yahoo nemrégiben végzett vizsgálata megerősítette, hogy 2014 végén hálózatunkból loptak el bizonyos felhasználói fiókok adatainak másolatát az, amelyet véleményünk szerint államilag támogatott szereplő lát el. Szorosan együttműködünk a bűnüldöző hatóságokkal, és értesítjük a potenciálisan érintett felhasználókat arról, hogy miként biztosíthatják további számláikat. ”

instagram viewer

Egy kicsi pozitívum akkor érkezik, ha tudomásul veszi, hogy a jogsértés nem tartalmazott "nem védett jelszavakat, fizetési kártya adatait vagy bankszámla adatait". Ennek ellenére a a Yahoo által kiadott nyilatkozatok további kérdéseket vetnek fel a biztonsági kutatók részéről az események ütemtervével, valamint a társaság intézkedéseivel az azt követő napokban a jogsértés.

SZÜKSÉG: 500 millió #Jehu A 2014-ben veszélyeztetett számlák Hack. Más megdöbbentő hírek szerint 500 millió ember rendelkezik Yahoo-fiókkal.

- Ben Canner (@InfoSec_Review) 2016. szeptember 22

Fontos kérdések felvetése

A biztonságbiztonsági kutatók kérdéseinek szilárd tetején egyszerűen „miért tartott olyan sokáig, hogy megerősítsék a csapkod? Miért lehet jó dolog az, ha a vállalkozásokat titokban tartják?Annyi online információval mindannyian aggódunk a lehetséges biztonsági sértések miatt. Ezeket a jogsértéseket azonban titokban lehet tartani az Egyesült Államokban az ön védelme érdekében. Őrültnek hangzik, szóval mi folyik itt? Olvass tovább ilyen méretű? Ez könnyen beilleszthető másokba is. Miért tartott sokáig a Yahoo, hogy tájékoztassa felhasználóit a jogsértésről?

A Yahoo most értesítést küld az ügyfeleknek: pic.twitter.com/AjbDJYQCIH

- Troy Hunt (@troyhunt) 2016. szeptember 23

Az állam által támogatott támadás fogalma szintén rejtélyes. A Yahoo eddig nem tudott bemutatni olyan bizonyítékokat, amelyek a jogsértést egy nemzetállami szereplővel összekapcsolnák, bár három amerikai hírszerző tisztviselő - akik elutasították, hogy név szerint azonosíthassák őket - megerősítette a Reuters:

"... úgy vélték, hogy a támadást államilag szponzorálták, mivel hasonlít az orosz hírszerző ügynökségek vagy az irányuk szerint eljáró hackerek nyomára."

Még akkor is, ha a jogsértés hasonlítottak a korábbi nemzetállami támadásokhoz Amikor a kormányok támadnak: a nemzetállami malware le van tiltvaA számítógépes háború jelenleg zajlik, rejtett az interneten, eredményeit ritkán lehet megfigyelni. De kik a háborús színház szereplői, és mi a fegyver? Olvass tovább , ezek a jogsértések általában nem vezetnek személyes felhasználói adatok kiadásához. Ritkább még mindig megtalálja ezeket hitelesítő adatok, amelyeket a sötét interneten eladó hirdetnek Itt van, hogy mennyit érhet meg személyes személyisége a sötét webbenKényelmetlen úgy gondolni magadra, mint árucikkre, de minden személyes adata, a névtől és a címből a bankszámla adataiig, érdemes valamit az online bűnözők számára. Mennyit ér? Olvass tovább .

További érdekeltség hozzáadása az adatsértés egyedi eladási részének azonossága. A „Peace of Mind” nevû felhasználó, aki szintén eladta a MySpace és a LinkedIn megsértéseinek adatállományait, aktívan szólalt meg az adatokat.

Jeremiah Grossman, a SentinelOne biztonsági stratégia vezetője, mondott „Noha tudjuk, hogy az információt 2014 végén ellopták, nincs semmiféle utalásunk arra, hogy mikor a Yahoo először megtudta erről a jogsértésről. Ez egy fontos részlet a történetben. ”

Grossman úgy véli, hogy mivel a Peace of Mind „profitáló hacker” volt, valószínűtlen, hogy állami támogatást kapnának; következésképpen: "ez azt jelenti, hogy lehetséges, hogy két különféle Yahoo-sértést vizsgálunk, amelyek rendszerében két különböző hackelési csoport található".

„A számítógépes támadás által érintett nagyszámú ember megdöbbentő, és megmutatja, hogy a biztonsági hack milyen súlyos következményei lehetnek… Még nem ismerem az összes részletet arról, hogy ez a hackelés történt, de itt van egy józan és fontos üzenet azoknak a vállalatoknak, amelyek személyes adatokat szereznek és kezelnek adat. Az emberek személyes adatait biztonságosan kell védeni zár és kulcs alatt - és ezt a kulcsot a hackereknek nem lehet megtalálni. " - Elizabeth Denham, az Egyesült Királyság információs biztosa

Mennyire súlyos ez?

A Yahoo nyilatkozata megerősítette, hogy az ellopott jelszavak túlnyomó többségét a bcrypt használatával hasítják. A hashizálás egy jelszó rögzített hosszúságú „ujjlenyomatmá” konvertálása, amelyet visszahívnak és ellenőriznek, amikor a felhasználó megpróbál bejelentkezni. Ez egy alapvető módszer a felhasználói információk védelmére Minden biztonságos webhely ezt a saját jelszavával tesziGondolkozott már azon azon, hogy a webhelyek miként védik az Ön jelszavát az adatok megsértése ellen? Olvass tovább , mégis van egyes webhelyek továbbra is figyelmen kívül hagyják A 7 leggyakoribb taktika a jelszavak feltöréséhezAmikor hallja a "biztonsági sérülést", mi jut eszembe? Rosszindulatú hacker? Néhány pincében lakó gyerek? A valóság az, hogy csak egy jelszóra van szükség, és a hackereknek 7 módja van annak, hogy megszerezzék a sajátjukat. Olvass tovább .

A Bcrypt biztonságos hash-módszer a hash is "sózva" Hogyan tartják a webhelyek biztonságban a jelszavakat?Rendszeresen jelentett online biztonsági szabálysértésekkel kétségtelenül aggódik amiatt, hogy a webhelyek hogyan viselik a jelszavad. Valójában a nyugalom érdekében ezt mindenkinek tudnia kell ... Olvass tovább egy olyan folyamat, ahol az egyes kivonatok eltérőek lesznek, még akkor is, ha ugyanazt a jelszót védi.

A jelszavak bosszantóak, de könnyen megváltoztathatók; egy anya leánykori neve nem. A hackerek szintén megsértették a szöveges biztonsági kérdéseket. A biztonsági kérdéseket már régóta vizsgálják Hogyan lehet olyan biztonsági kérdést felállítani, amelyet senki más nem tud kitalálniAz elmúlt hetekben sokat írtam arról, hogyan lehet az online fiókokat helyrehozni. Egy tipikus biztonsági lehetőség a biztonsági kérdés felállítása. Noha ez potenciálisan gyors és egyszerű módot kínál a ... Olvass tovább a felhasználói fiókok azonosításában játszott szerepükért a korábbi jogsértések során, ám ezek továbbra is a legtöbb felhasználói fiók bejelentkezési rendszerének elsődleges jellemzői.

Ennek megfelelően a Yahoo minden felhasználónak jelszó-visszaállítási üzenetet küldött. Arra ösztönzik felhasználóikat, hogy:

• Változtassa meg a jelszavát, a biztonsági kérdéseket és a válaszokat minden olyan fiókhoz, amelyen ugyanazokat vagy hasonló hitelesítő adatokat használ, mint amelyeket a Yahoo-fiókjához használt.
• Ellenőrizze fiókjait gyanús tevékenységek szempontjából.
• Vigyázzon minden kéretlen kommunikációra, amely személyes adatait kéri, vagy egy személyes információkat kérő weboldalra mutat.
• Kerülje el a linkekre kattintást vagy a gyanús e-mailek mellékleteinek letöltését.

Az első javaslatot nem lehet elég hangsúlyozni. Azt is javasoljuk olvasóinknak, hogy fontolják meg más webhelyeket is, amelyekkel esetleg felhasználták a bejelentkezési hitelesítő adataikat, például a Flickr fotótároló szolgáltatást vagy a Del.icio.us közösségi könyvjelző oldalt.

Lehet, hogy létrehozott egy Yahoo fiókot, anélkül, hogy rájött, hogy bizonytalan volt.

Egy nagy öreg mulasztás

Yahoo most nem kívánt koronát vesz Amit tudnia kell a hatalmas LinkedIn-fiókok szivárgásárólEgy hacker 117 millió feltört LinkedIn hitelesítő adatot értékesít a Sötét webben mintegy 2200 dollárért Bitcoinban. Kevin Shabazi, a LogMeOnce vezérigazgatója és alapítója segít megérteni, hogy mi veszélyben van. Olvass tovább : a történelem legnagyobb vállalati adatainak megsértése.

• Yahoo - 500 millió felhasználó hitelesítő adat
• MySpace - 359m
• LinkedIn - 164m
• Adobe - 152m
• Badoo - 112m

2016 júliusában az USA távközlési óriása, a Verizon elnyerte a Yahoo internetes üzletének 5 milliárd dolláros felvásárlását. Ennek a jogsértésnek azonban várhatóan nincs hatása az átvételre.

Verizon nyilatkozata délután a Yahoo biztonsági eseményével kapcsolatban. $ VZpic.twitter.com/KQTnyrjlJy

- Bob Varettoni (@bvar) 2016. szeptember 22

Javaslataink változatlanok, mint bármely jelentős adat megsértése esetén. Állítsa vissza a jelszavait. Ellenőrizze e-maileit és szöveges üzeneteit is a következő hetekben és hónapokban. Emlékezni soha ne használja újra a fiók hitelesítő adatait.

A hitelesítő adatok újbóli felhasználása; nem is egyszer.

Sértett-e fiókod? Meglepődve, mennyi ideig tartott a Yahoo cselekedni? Melyik főszolgálatot fognak megsérteni a következő? Az alábbiakban ossza meg velünk gondolatait!