Как пароли украдены (и как защитить ваши)

Взломать учетные записи в Интернете проще, чем думает большинство людей, и хакеры делают это несколькими различными способами. Иногда они используют известный метод, называемый фишингом. Некоторые хакеры угадывают пароли или используют инструмент сброса пароля, чтобы создать новый пароль без ведома и согласия владельца учетной записи. Лучший способ защитить свой пароль от воров — это понять, как они крадут пароли, а затем укрепить свои действия.

Как хакеры крадут пароли

Хакеры часто крадут пароли, используя технику, называемую фишингом, при которой хакер отправляет официальное электронное письмо, которое направляет получателя на поддельный веб-сайт или форму. Введите пароль на поддельном сайте, и хакер захватывает пароль.

Например, хакер может отправить электронное письмо, в котором говорится, что пароль вашего банковского счета слишком слабый и его необходимо сбросить. Такое электронное письмо будет направлять вас по ссылке на мошеннический веб-сайт, который выглядит как сайт, который имитирует. Когда вы нажимаете на ссылку и попадаете на страницу, хакер надеется, что вы введете свой адрес электронной почты и пароль, не подозревая, что что-то не так.

Когда данные вводятся в форму, хакер получает электронное письмо, содержащее информацию об учетной записи и пароль, а также полный доступ к банковскому счету. Затем хакер может войти в систему с использованием этих учетных данных, просмотреть банковские транзакции, перевести деньги и, возможно, выписать онлайн-чеки.

Хакер также может получить доступ к учетной записи, используя инструмент для сброса пароля на сайте. Этот инструмент предназначен, чтобы помочь вам вспомнить свой пароль. Если хакер знает ответы на секретные вопросы учетной записи, он может сбросить пароль, а затем войти в учетную запись с новым паролем.

Не отвечайте на забавные посты в Facebook, где люди публикуют информацию о себе и видят, как они сравниваются со своими друзьями. Некоторые из этих вопросов являются общими вопросами безопасности восстановления учетной записи. Этот тип мема социальной инженерии предлагает пользователям публично передавать критически важную информацию, что упрощает обход инструментов восстановления пароля, даже если у хакера нет вашего пароля.

Та же концепция применима к любому веб-сайту, использующему имя входа, например, к поставщику электронной почты, компании-эмитенту кредитной карты или веб-сайту социальной сети. Например, если хакер украл пароль службы онлайн-резервного копирования, он сможет увидеть все файлы, сохраненные в учетной записи, загрузить эти файлы на свой компьютер и просмотреть личные документы, фотографии и другие цифровые документы владельца учетной записи.

Другой способ взломать аккаунт — угадать пароль. Если пароль основан на личных данных (например, день рождения, адрес или номер телефона) или простой фразе, хакер может получить доступ без вашего ведома.

Обнаружение хакерской работы

Каждый раз, когда вы получаете электронное письмо о восстановлении пароля, проверяйте адрес электронной почты отправителя, чтобы убедиться, что доменное имя является реальным. Обычно это выглядит как что-то@websitename.com. Например, support@bank.com обычно указывает на то, что вы получаете письмо от Bank.com. Хакеры могут очень легко подделать адреса электронной почты, то есть они могут подделать адрес отправителя.

Чтобы увидеть фактический адрес отправки, просмотрите исходный код электронной почты — исходное содержимое, которое находится за сообщением, которое вы видите. В Gmail щелкните меню в верхнем правом углу любого сообщения (три вертикальные точки), затем выберите Показать оригинал.

Вы увидите фактический адрес отправки в Из поле.

Что делать

Лучшая защита от фишинга паролей — никогда не нажимать на ссылку в сообщении электронной почты, если вы не уверены, что оно действительно. Знайте, как выглядят ваши банковские сайты, чтобы вы могли обнаружить подделки. Если вы знаете, что искать, и с подозрением относитесь к нему каждый раз, когда вы вводите свой пароль в Интернете, вы сможете предотвратить успешные попытки фишинга. Вы также можете принять несколько других мер предосторожности.

Проверьте ссылку в панели поиска

Когда вы открываете ссылку в электронном письме, убедитесь, что веб-браузер разрешает ссылку правильно. Если, скажем, ссылка what.bank.com изменится на someelse.org, в адресной строке браузера немедленно выйдите из страницы.

Ищите HTTPS

Убедитесь, что первые буквы в URL — это https. S указывает, что это безопасный сайт. Никогда не вводите финансовые данные на сайте, который не является безопасным.

KTSDESIGN / Getty Images

По прямой дороге

Если вы получили электронное письмо с подозрительной ссылкой, введите URL-адрес веб-сайта прямо в панель навигации, а не по ссылке.

Воспользуйтесь преимуществами параметров безопасности

Настройте двухфакторную (или двухэтапную) аутентификацию, если веб-сайт поддерживает ее, чтобы при каждом входе в систему вам требовались и пароль, и код, полученный на другом устройстве. Вы получите код по электронной почте или по телефону, поэтому хакеру понадобятся как ваш пароль, так и доступ к вашей учетной записи электронной почты или телефону.

Если сайт поддерживает это, используйте аппаратные токены (такие как Yubikey) или приложение для аутентификации, такое как Google Authenticator или Microsoft Authenticator. Двухфакторная аутентификация лучше, чем однофакторная. По возможности избегайте получения кодов вызова с помощью текстового сообщения.

Выберите сложные вопросы

Выбирайте сложные вопросы для проверки безопасности сброса пароля или избегайте правдивых ответов на них, так что угадывание будет почти невозможным для хакера. Например, если один из вопросов: «В каком городе была моя первая работа?» ответьте на него паролем типа, например, topekaKSt0wn или даже чем-то совершенно не связанным и случайным, например, UJTwUf9e.

Используйте безопасный пароль и менеджер паролей

У многих людей есть простые пароли. Измените их, если они у вас есть. Включите заглавные буквы, цифры и специальные символы, такие как знаки препинания. Если у вас очень надежный и надежный пароль, вы, вероятно, не запомните его на макушке (это хорошо). Используйте бесплатный менеджер паролей, чтобы хранить ваши пароли там, где вы можете получить к ним безопасный доступ. Браузер Google Chrome имеет встроенный менеджер безопасных паролей.