Säkert lösenord, exponerat användarnamn: fortfarande recept för katastrof

I vart och ett av de senaste attackerna på Evernote, Facebook, Twitter och andra var de berörda företagen snabba att påpeka att lösenorden förblev säkra. Men användarinformation har sitt eget liv, och effekterna av en attack på en individ kan kännas långt efter att attacken är över.

Attackerna vi har sett

Det som du hör när ett större företag har äventyrats är vanligtvis något som visar hur betalningsinformationen fortfarande är säker, lösenord krypterades, men annan information var tillgänglig. Vanligtvis inkluderar detta användarnamn och e-post.

För de flesta av oss verkar det kanske inte farligt. När allt kommer omkring ger vi ut våra egna e-postmeddelanden hela tiden - vi publicerar dem till och med online. Men det finns risker för användare som till och med har exponerat denna lilla mängd information.

Derek Halliday, senior produktchef på Lookout mobilsäkerhet förklarade för SecurityWatch hur dessa informationsbitar kan göra användarnas mål. "Kontouppgifter kan användas för att möjliggöra spearphishing eftersom det ger lite unik kontextuell information om människor - ett sätt att kontakta dem, " sade han. "Och det faktum att de vid en tidpunkt har registrerat sig för en viss tjänst."

Detta är anledningen till att legitima larmmeddelanden ofta påminner användare som kan ha avslöjat sin information att ingen någonsin kommer att be om sitt lösenord. Om en hacker vet att du använder Evernote (till exempel) är det kort arbete att skapa ett meddelande som verkar vara från Evernote och skicka till den e-postadress du använder för att hantera ditt konto. Kanske kommer det att uppmana dig att ge ditt lösenord eller betalningsinformation, eller kanske lura dig att klicka på en skadlig länk.

"Vi har sett cyberbrottslingar som är villiga att engagera sig i" long con ", säger Mark Risher, medgrundare och vd för Impermium. "En flerstegsattack som går utöver den direkta utplaceringen av känsliga data."

"När brottslingar bryter in på ett socialt nätverkskonto kan de ofta hitta personliga detaljer som ger legitimitet till en spearphishing, " fortsatte Risher, som citerade en alumnförening som en sådan personlig detalj. Han förklarade att det kan användas för att låsa upp funktionen "hemlig fråga" - som ibland frågar vad din skolmaskot var eller namnet på ditt första husdjur - på en annan webbplats.

Det värsta fallet

Chester Wisniewski, senior säkerhetsrådgivare på Sophos, sa att även om Evernote och andra nyligen komprometterade webbplatser säkrade sina lösenord med kryptografiska hash och slumpmässiga "salt" -data, kanske inte alla användare är skyddade. Han förklarade att om användare väljer svaga eller vanliga lösenord, "förmodligen har brottslingarna det."

Med den begränsade informationen tillgänglig kan de enklare lösenorden fortfarande hämtas. "Brottslingar kommer att hash de riktigt enkla och kanske inte bry sig om resten", sa Wisniewski.

För några av de dåliga killarna är det helt enkelt att få tillgång till sociala mediekonton som Facebook eller Twitter. Vissa använder det som en möjlighet att tjäna pengar genom att försöka sprida infektioner med skadlig kod. Mer initiativtagande angripare kan försöka använda det medföljande lösenordet för att låsa upp ett webmailkonto.

"De letar ofta efter e-post från användarens bank. Ofta finns det en" Jag har glömt mitt lösenord "-funktion i den banken som bara förlitar sig på att ha tillgång till e-postkontot, " sade Risher.

Fortsätter i värsta fall kan angriparna inte göras när de har fått tillgång till onlinebankinformation. "Många av dessa killar kommer inte att engagera sig direkt i identitetsstöld, de kommer att sälja det, " sa Wisniewski.

Han fortsatte med att förklara att när det gäller banktrojaner kommer angriparna att använda de tio bästa procenten av kontona - det vill säga de med de mest tillgängliga medlen - och sälja de andra 90 procenten av informationen. Detta innebär att användarinformation, när den komprometterats, kan fortsätta att användas och återanvändas tills ägaren äntligen återvinner kontrollen.

Håll dig säker

"De goda nyheterna i alla de senaste är att inget personligt identifierbart togs, " sade Wisniewski, som betonade flera gånger att de drabbade företagen åtminstone tycktes ha tagit goda åtgärder för att säkra användarinformation.

Men som vi har sett är det inte alltid tillräckligt. Användare måste följa varningar för att ändra lösenord när de uppmanas av hackade tjänster. De bör också sträva efter att välja starka och unika lösenord för varje onlinetjänst, kanske med hjälp av en lösenordshanterare för att underlätta uppgiften.

Vad som är viktigt att förstå är att användarinformation är värdefull och fortfarande kan vara användbar för angripare långt efter att du har säkrat ett påverkat konto. Internet ger många sätt att ha kul och arbeta, men det ger också lika många vägar för attacker.