Czy zaatakowane narzędzia do sprawdzania kont e-mail są oryginalne, czy oszustwem?

Reklama

Po wiadomości o ogromnym naruszeniu serwerów Google, w wyniku którego włamano się do rzekomych 5 milionów adresów e-mail, różne witryny sugerowały, że czytelnicy powinni sprawdź, czy padły ofiarą, wprowadzając adresy e-mail do „narzędzi sprawdzających” - stron internetowych, które mogą ustalić, czy adres e-mail znajduje się na liście zaatakowanych przez hakerów kwalifikacje.

Problem polega na tym, że niektóre z tych narzędzi sprawdzania nie były tak uzasadnione, jak witryny, które do nich prowadzą, miały nadzieję…

5 milionów adresów e-mail: prawda

Zgłoszone w tym czasie jako ogromny wyciek 5 milionów nazw użytkowników i haseł do kont Gmail, wkrótce okazało się, że ta historia była, no cóż, historią.

Wyjaśniając to trochę później, Google ujawniło, że mniej niż 2% kombinacji nazwa użytkownika / hasło było dokładne, a ich własne narzędzia bezpieczeństwa logowania złapałyby większość z nich.

Wyjaśnili również, że poświadczenia nie zostały zhakowane z ich własnych serwerów, ale z innych witryn:

Należy pamiętać, że w tym i innych przypadkach wyciek nazwy użytkownika i hasła nie były wynikiem naruszenia systemów Google. Często te poświadczenia są uzyskiwane przez połączenie innych źródeł.

Na przykład, jeśli ponownie użyjesz tej samej nazwy użytkownika i hasła w różnych witrynach internetowych, a jedna z tych witryn zostanie zhakowana, Twoje dane uwierzytelniające mogą zostać użyte do zalogowania się w innych.

Tak więc konto Gmail wykryte w poprzednim naruszeniu - o wysokim profilu lub w inny sposób - mogło być jednym z tych znajdujących się na zrzucie danych uwierzytelniających w rękach „hakerów”. Zasadniczo informacje, które mogły być już online w takiej czy innej formie, konta Gmail zostały pobrane z kilku źródeł.

Ale jak ta historia tak szybko znalazła się w głównym nurcie? Prawdopodobnie z pomocą dużej, okrągłej liczby, takiej jak 5 milionów, i sprytnego ciągnięcia hakerów, którzy opublikowali hasła do konta na rosyjskim forum Bitcoin. Dodaj narzędzie do sprawdzania online, które potwierdzi, czy twoje konto e-mail znajduje się na śmietniku, i masz świetną historię.

Oczywiście wydaje się prawdopodobne isleaked.com to nie jest strona internetowa, którą ludzie tak myśleli.

Jak działa fałszywy zaatakowany program sprawdzający konto e-mail

Sprawdzanie adresu e-mail w bazie danych (który może być SQL, Access lub nawet plikiem tekstowym Czym w ogóle jest baza danych? [MakeUseOf wyjaśnia]Dla programisty lub entuzjasty technologii koncepcja bazy danych jest czymś, co naprawdę można uznać za coś oczywistego. Jednak dla wielu osób sama koncepcja bazy danych jest nieco obca ... Czytaj więcej ) zhakowanych kont e-mail jest stosunkowo proste. W połączeniu z łatwym do pobrania skryptem taką stronę internetową można skonfigurować za około 30 minut.

Tymczasem Troy Hunt ma znacznie lepsze podejście, dlatego powinieneś używać jego witryny do sprawdzania, czy nie ma wycieków danych uwierzytelniających, gdy czytasz lub słyszysz o włamaniu na konto.

Jak wyjaśniono na jego blogu, Hunt zbudował Czy zostałem Pwned?, legalna strona internetowa (Hunt to Microsoft MVP for Developer Security) zaprojektowana dla przeciętnych użytkowników, którzy mogą wpisać swój adres e-mail i dowiedzieć się, czy zostali zaatakowani. Korzystanie z danych przesłanych do witryn takich jak Pastebin.com, informuje nawet, które naruszenie jest odpowiedzialne za obecność Twojego konta e-mail w jego bazie danych.

Szukasz sprawdzonego konta e-mail zaatakowanego przez hakerów?

Po wyświetleniu wyników witryna wyświetla nazwę witryny, z której wyciekły dane konta. Mamy nadzieję, że ta strona wyśle ​​ci e-mailem prywatnie lub ogłosi.

(Oczywiście, jeśli obawiasz się, że Twoje konto e-mail zostało zhakowane, i tak zmień hasło. Pamiętaj by spraw, aby był bezpieczny i niezapomniany 6 porad dotyczących tworzenia niezłomnego hasła, które można zapamiętaćJeśli twoje hasła nie są unikalne i nie do złamania, równie dobrze możesz otworzyć drzwi wejściowe i zaprosić złodziei na lunch. Czytaj więcej .)

Jak widać na powyższym obrazku, moje konto e-mail było jednym z wielu odzyskanych podczas masowego naruszenia bezpieczeństwa Adobe w 2013 roku. Powinieneś skorzystać z informacji podanych przez witrynę Hunta, aby działać natychmiast, ale pamiętaj, że nawet po zmianie hasła adres e-mail pozostanie na stronie.

Jeśli jest to praktyczne, warto rozważyć zmianę adresu e-mail, którego używasz na swoich kontach internetowych.

Należyta staranność nie powinna być przeszłością

Istotnym elementem dziennikarstwa jest należyta staranność; sprawdzanie faktów. Po prostu zwrot informacji prasowych nie wystarczy. Każdy pisarz, bez względu na to, czy publikuje treści za 1 USD za 1000 słów, czy zarabia na najlepszych nazwiskach w publikowaniu, może to zrobić.

Niestety w sieci WWW to nie wystarcza.

Kilka minut sprawdzania faktów wykazałoby, że 5 milionów adresów twierdzi, że to podróbka. Jak informowaliśmy wtedy, adresy zostały skopiowane ze zbioru wcześniejszych wycieków Wycieki haseł Gmaila, Microsoft Drops Windows Phone i więcej... [Przegląd wiadomości technicznych]Ponadto negatywne recenzje, Deezer w USA, Google Pyramids, NES 3DS i świetna maszyna Rube Goldberg. Czytaj więcej . Rosyjscy hakerzy mogli raczej zestawić listę, niż naruszyć bezpieczeństwo Google.

Tymczasem szczególnie podejrzana była witryna polecana przez wiele witryn do sprawdzania wiadomości e-mail, isleaked.com. Ciekawe, zarejestrowane zaledwie dwa dni przed wyciekiem, w Rosji, jego nagłe istnienie było albo wyjątkowo losowe, albo planowane.

Jak zawsze mówię, bezpieczeństwo online nie jest zbieżne.

W końcu, czy jest lepszy sposób na potwierdzenie listy adresów, które rzekomo zostały zhackowane, niż skłonienie właścicieli kont do sprawdzenia, czy nadal z nich korzystają? Jest to sposób działania spamerów - martwe adresy są bezwartościowe, dlatego wiele wiadomości spamowych prosi o odpowiedź. Twoja odpowiedź jest rejestrowana, a adres zachowany.

Sprawdzanie e-maila isleaked.com może z łatwością być bardziej wyrafinowanym podejściem. Podczas gdy twierdzą:

Nie zbieramy twoich e-maili, adresów URL / adresów IP, dzienników dostępu ani sprawdzania wyników. Albo nie zrobimy nic szkodliwego z twoim urządzeniem podczas testu!

… Nie ma powodu, by ufać tej witrynie. Troy Hunt, którego reputacja jest godna zaufania, wyjaśnia, jak działa jego strona, więc warto z niego korzystać.

Werdykt: nie reaguj bez faktów

Możemy się z tego nauczyć, że nikt nie powinien reagować na roszczenia o naruszenie danych i ataki hakerskie bez posiadania pełnych faktów. Jest po prostu zbyt wiele zmiennych, aby wziąć pod uwagę.

W przypadku roszczeń dotyczących hakowania Gmaila wydaje się bezpiecznym założeniem, że domniemani hakerzy po prostu weryfikują swoją kolekcję adresów, prawdopodobnie wykorzystywanych w różnych kampaniach spamowych.

Niektóre były autentyczne, inne wygasły.

Najlepszą witryną do sprawdzania, czy Twój e-mail nie został zaatakowany przez hakerów i znalazł się na stronie takiej jak Pastebin.com haveibeenpwned.com.

Jak na ironię, jeśli chodzi o 5 milionów adresów Gmaila, które rzekomo zostały zhakowane z Google, to prasa technologiczna była naprawdę dobrze znana.

Rob Hyrons przez Shutterstock