Harry James
0 
2349
71
Åh gud. Ikke dette igen. 68 millioner Tumblr-konti er sprøjtet på den mørke web og sælges til den lette pris på 0,452 bitcoins. I skrivende stund er det omkring $ 240.
Ved første øjekast kan du trække en parallel mellem denne datalækage og LinkedIn-lækage fra to uger siden Hvad du har brug for at vide om de massive LinkedIn-konti Lækage Hvad du har brug for at vide om de massive LinkedIn-konti Lækage En hacker sælger 117 millioner hacket LinkedIn-legitimationsoplysninger på Dark web for omkring $ 2.200 i Bitcoin. Kevin Shabazi, administrerende direktør og grundlægger af LogMeOnce, hjælper os med at forstå, hvad der er i fare. . For det første er begge datasæt virkelig gamle; LinkedIn-overtrædelsen er fra 2012, og Tumblr er fra 2013. Begge datasæt er kæmpe stor, og de blev begge opført på Dark web af den samme person - Sindsro.
Men det er her, lighederne ender, for selv om LinkedIn ikke sikrede sine adgangskoder korrekt, blev Tumblr'er beskyttet med (relativt) stærk SHA-1-kryptering. Det betyder, at der er en lille chance for, at en angriber bryder ind i deres Tumblr-konti eller genvinder login-kombinationerne på andre tjenester, som Facebook, PayPal eller Twitter.
Der er dog en ulempe. En angriber, der køber dumpet, har nu en liste med 68 millioner aktive, verificerede e-mail-konti. Dette betyder, at enhver bruger, der er fanget i det, har en større risiko for phishing og e-mail-baserede angreb.
Så hvordan ser phishing ud i 2016, og hvilke skridt kan du tage for at beskytte dig selv?
Phishing er ikke Passé
Hvis du ikke havde stødt på rapporten fra Vice's Motherboard, kunne du blive tilgitt for at tro, at phishing er en støvet relikvie fra 1990'erne og begyndelsen af 2000'erne, hvor du gik tilbage til Internets nye barndom, og ingen vidste virkelig, hvordan tingene fungerer. Sikkert, argumenterer du, er der ingen der falder for phishing-e-mails mere.
Statistikkerne vil være uenige. For det første sendes phishing-e-mails stadig i usandsynligt store antal. Ifølge den Kaspersky-ejede SecureList tegnede phishing og spam-e-mails sig for 54,2% af alle e-mails, der blev sendt i tredje kvartal af 2015. Dette var et lille fald fra det foregående kvartal, men er stadig en bemærkelsesværdig mængde meddelelser.
3. kvartal 2015 udgjorde procentdelen af #spam i e-mail-trafik 54,2% #KLrapport #infosec https://t.co/nKGjX6CH3N pic.twitter.com/Sxs0wM7my7
- Kaspersky Lab (@kaspersky) 12. november 2015
Den største kilde til phishing-e-mails er USA, fulgt nøje af Vietnam, Kina og Rusland. Interessant nok er det land med flest brugere, der er berørt af phishing, Brasilien, som følges af Japan, Kina og Vietnam. Hverken USA - eller noget andet udviklet, vestligt land - for den sags skyld - er blandt de ti bedste.
Men mens antallet af samlede ondsindede og spam-e-mails er faldet lidt, er antallet af phishing-e-mails steget. Ifølge Symantec steg andelen af phishing-e-mails i januar 2015 fra en ud af 1.517 e-mails til en i 1.004.
Anti-spam bliver smartere, men det samme gør phishing-e-mails
Tilbage i 1990'erne og 2000'erne var anti-spam-software usofistikeret og knap nok til formål. Mange programmer gjorde kun lidt foruden at se efter nøgleord - som 'viagra' - og papirkurven enhver e-mail, der indeholdt dem. Spammere og phishere kom omkring dem ved forsætligt at stave stave ordene, der var på nøgleordslisten. Så 'viagra' blev 'v1agra', som derefter blev 'v1agr4', og derefter 'v1a8r4'. Du får ideen.
Nogle blev endnu mere kreative og begyndte at skjule ordene blandt billeder og specialfarvede borde.
Slutresultatet var, at brugerne blev bogstaveligt talt oversvømmet med spam og phishing-angreb. Men det ændrede sig i slutningen af 2000'erne, da anti-spam endelig blev smart. Hurtigere computere betød, at online e-mailtjenester - som Gmail og Outlook - kunne foretage komplicerede beregninger i realtid, som bestemte, om en e-mail ville blive sendt til brugerens indbakke eller til spam-mappen.
I stedet for bare at kigge efter nøgleord, startede spamfiltre på ting som oprindelsen af e-mail-beskeden og andre brugers opførsel over for e-mails af lignende art.
Spammerne har ikke givet op. Faktisk ifølge Securelist, de bliver endnu smartere, og det bliver endnu sværere at se en phishing-e-mail Sådan finder du en phishing-e-mail Sådan finder du en phishing-e-mail Det er svært at fange en phishing-e-mail! Svindlere udgør som PayPal eller Amazon og prøver at stjæle din adgangskode og kreditkortoplysninger, og deres bedrag er næsten perfekt. Vi viser dig, hvordan du finder stedet svig. .
En af de ting, Securelist bemærkede i sin rapport, er, at spammere ofte indtager en sæsonbetonet tilgang til spam og phishing. I løbet af sommeren bemærkede det, at antallet af phishing-e-mails med et rejsetema steg.
“I juli forsøgte svindlere at narre brugerne ved at sende falske underretninger på vegne af hoteller. Meddelelsen takkede modtagerne for at opholde sig på deres hotel og bad dem om at se den vedhæftede regning. Det vedhæftede arkiv indeholdt faktisk Trojan-Downloader.Win32.Upatre.dhwi, som igen downloadede og kørte Trojan- Banker.Win32.Dyre (ses som 98. ***. **. 39 / cv17.rar) ved at klikke på linkene skrevet i kroppen af downloaderen.”
En taktik, der bruges til at omgå anti-spam-programmer, er at placere alt i en PDF-fil, som brugeren derefter ville åbne. Dette er effektivt, fordi det er bemærkelsesværdigt vanskeligt at programmatisk 'læse' en PDF-fil.
phishing-PDF
hXXp: //dgreenwell.chytrak.cz/Label.html pic.twitter.com/eJl2RmImcJ- JaromirHorejsi (@JaromirHorejsi) 18. januar 2016
Når anti-spam-filtre blev oplyst om dette trick, begyndte spammere at bruge mediabox-objekter i vedhæftede PDF-filer, elementer i PDF-dokumenter, der åbnes med et museklik. De kan bruges til at omdirigere brugeren til phishing-websteder.
En phishing-trampolin - indlejring af omdirigeringer i PDF-dokumenter http://t.co/E7lPSiB4q5 pic.twitter.com/BU97TpD1TK
- Mohtashim Nomani (@ mohtashim712) 18. september 2015
Dette spil kat-og-mus viser intet tegn på at slutte med en klar vinder. Faktisk kan krigen muligvis intensiveres.
Legitime tjenester tilpasser deres e-mails, men det gør også angribere
For at beskytte deres brugere mod phishing-e-mails har onlinetjenester - især online-banktjenester - brugt til at tilpasse deres e-mails med et lille 'token', der er unikt for brugeren. En af de banker, jeg bruger, inkluderer de sidste tre cifre i mit kontonummer på al elektronisk korrespondance. En anden sætter de første tre tegn i mit postnummer øverst på alle e-mails.
Dette skal du altid kigge efter.
Interessant er, at angribere også er begyndt at personalisere deres e-mails for at være mere effektive. En ting, jeg har bemærket, er, at nogle phishing-e-mails er begyndt at tage den første del af en e-mail-adresse (alt før '@') og sætte det i hilsenen. Min arbejds-e-mail-adresse er '[email protected]', så disse e-mails starter med 'Dear mhughes'.
Tekstmeddelelser - Phishing's næste grænse
I stigende grad knyttes de online tjenester, vi bruger, til vores mobile enheder. Nogle tjenester beder om dit telefonnummer for at konfigurere tofaktorautentisering Hvad er tofaktorautentisering, og hvorfor du skal bruge det Hvad er tofaktorautentisering, og hvorfor du skal bruge det Tofaktorauthenticering (2FA) er en sikkerhedsmetode, der kræver to forskellige måder at bevise din identitet på. Det bruges ofte i hverdagen. For eksempel kræver betaling med et kreditkort ikke kun kortet,…. Andre beder om det for at dele information med dig.
Websteder beskytter ikke mobilnumre på den måde, de gør adgangskoder. Årsagen hertil er, når du hash-og-salt en adgangskode Hvert sikkert websted gør dette med din adgangskode Hvert sikkert websted gør dette med din adgangskode Har du nogensinde spekuleret på, hvordan websteder holder dit kodeord sikkert mod brud på data? , bliver det umuligt at læse. For at websteder kan sende beskeder eller ringe til et nummer, skal de holde det ubeskyttet.
Denne kendsgerning kombineret med ekstremt billige (helt legitime) tekstmeddelelsestjenester som Twilio, Nexmo og Plivo (som folk er mindre mistænkelige over for) betyder, at angribere i stigende grad benytter sig af SMS som angrebsvektor.
Denne type angreb har et navn: smishing, mens stemmefisking kaldes vishing Nye phishing-teknikker, der skal være opmærksomme på: Vishing og smishing Nye phishing-teknikker, der skal være opmærksomme på: Vishing og smishing Vishing og smishing er farlige nye phishing-varianter. Hvad skal du kigge efter? Hvordan vil du kende et forsøgende eller smygforsøg, når det ankommer? Og vil du sandsynligvis være et mål? .
Bliv mistænkelige
Hvis du ikke ved, om du er i Tumblr-dumpet, kan du finde ud af det ved at gå til Troy Hunt's Have I been Pwned.
Hvis du er, er det en god ide at nulstille dine adgangskoder og konfigurere tofaktorautentisering på alle dine konti. Men endnu vigtigere, du skal skrue din mistænkelighedsmåler op til elleve. Jeg er ikke i tvivl om, at berørte brugere vil se en stigning i spam og phishing-e-mails i de kommende uger. De ser overbevisende ud. For at forblive i sikkerhed skal Tumblr-brugere begynde at behandle indgående e-mails med en sund dosis skepsis.
Er du blevet fanget i lækagen? Har du fået mistænkelige e-mails? Fortæl mig det i kommentarerne herunder.
Fotokreditter: HTML-tabelbitmap (Niels Heidenreich)