Återanvända lösenord på sociala mediesidor: gör inte det!

Det spelar ingen roll hur länge och komplicerat ditt lösenord är: om du använder samma lösenord på flera webbplatser har du en hög risk för attack.

Förra månaden upptäckte Trustwave-forskare en trove på cirka två miljoner användarnamn och lösenord på en kommando-och-kontrollserver baserad i Nederländerna. Servern, som var en del av Pony botnet, hade skördat referenser för olika webbplatser samt e-post, FTP, Remote Desktop (RDP) och Secure Shell (SSH) -konton från användardatorer, skrev Trustwaves Daniel Chechik vid den tiden. Av de 2 miljoner intyg som skördades var cirka 1, 5 miljoner för webbplatser, inklusive Facebook, Google, Yahoo, Twitter, LinkedIn och ADP.

En djupare analys av lösenordslistan fann att 30 procent av användarna som hade konton på flera sociala mediekonton hade återanvändat sina lösenord, säger John Miller, säkerhetsforskningschef på Trustwave. Var och en av dessa konton skulle vara sårbara för ett attackanvändning av lösenord.

"Med en liten ansträngning och några smarta Google-frågor kunde en angripare hitta ytterligare onlinetjänster där den komprometterade användaren hade använt ett liknande lösenord och då också kunde få tillgång till dessa konton, " sa Miller till Security Watch .

Det är "bara" sociala medier

Det är uppenbart dåligt att angriparna hade tillgång till offrens FTP-servrar och e-postkonton, men det kanske inte är så uppenbart varför det var mycket att ha sina Facebook- eller LinkedIn-lösenord. Det är viktigt att komma ihåg att angripare ofta använder dessa listor som en hoppplats för att starta sekundära attacker. Även om angripare stjäl "bara" ett lösenord för sociala medier, kan de sluta komma in på ditt Amazon-konto eller bryta in i ditt företags nätverk via VPN eftersom användarnamnet och lösenordet råkade vara detsamma som det du hade på det sociala mediekontot..

Security Watch varnar ofta om farorna med återanvändning av lösenord, så vi bad Trustwave analysera den här lösenordslistan för att kvantifiera problemet. De resulterande siffrorna var häpnadsväckande.

Av de 1, 48 miljoner användarnamn / lösenord som är associerade med sociala mediekonton identifierade Miller 228 718 distinkta användare med mer än ett socialt mediekonto. Av dessa användarnamn hade 30 procent använt samma lösenord på flera konton, fann Miller.

Om du undrar, ja, cyberbrottslingar kommer att pröva samma kombination över slumpmässiga webbplatser, antingen manuellt eller via ett skript för att automatisera processen.

Återanvända så dåliga som svaga lösenord

Lösenord kan vara svåra att komma ihåg, och det gäller särskilt lösenord som de flesta anser vara starka. Medan dessa användare bör berömma sig för att inte använda svaga lösenord som "admin", "123456" och "lösenord" (vilket fortfarande var ett problem bland denna grupp) är problemet att även komplexa lösenord förlorar sin effektivitet om de inte är ' t unik.

Miller identifierade också ett nytt återanvändningsproblem. Medan många webbplatser har användare som loggar in med sina e-postadresser, tillåter andra användare att skapa sina egna användarnamn. I den ursprungliga listan med 1, 48 miljoner användarnamn / lösenordskombinationer fanns det faktiskt 829 484 distinkta användarnamn eftersom användare använde vanliga ord. I själva verket verkade "admin" som ett användarnamn 4 341 gånger. Hälften av de "svaga" användarnamnen hade också svaga lösenord, vilket gjorde det ännu mer troligt att angripare kunde brute-force sin väg över flera konton.

Var försiktig

Säkra lösenord är viktiga för att hålla våra data och identitet säkra online, men användare väljer ofta bekvämlighet framför säkerhet. Det är därför vi rekommenderar att du använder en lösenordshanterare för att skapa och lagra unika, komplexa lösenord för varje webbplats eller tjänst du använder. Dessa applikationer kommer också att logga in dig automatiskt, vilket gör det mycket svårare för keyloggers att snappa din information. Se till att prova Dashlane 2.0 eller LastPass 3.0, båda som är våra Editors 'Choice-utmärkelsen för lösenordshantering.

Som vi noterade förra månaden skördade Pony-botnet sannolikt inloggningsinformationen via keyloggers och phishingattacker. Håll din säkerhetsprogramvara uppdaterad för att förhindra att smittas i första hand, Webroot SecureAnywhere AntiVirus (2014) eller Bitdefender Antivirus Plus (2014) och följ våra riktlinjer för att upptäcka phishingattacker.