Jak cyberprzestępcy omijają pytania bezpieczeństwa?

Wiele witryn i aplikacji zadaje pytania zabezpieczające podczas pierwszej rejestracji. Następnie wykorzystują udzielone przez Ciebie odpowiedzi do weryfikacji Twojej tożsamości za każdym razem, gdy poprosisz o zmianę utraconego hasła. Jednak cyberprzestępcy często znajdują sposoby na obejście pytań bezpieczeństwa.

Jak odkrywają Twoje tajne odpowiedzi i uzyskują dostęp do Twojego konta? Jak omijają te pytania, aby włamać się do twoich profili?

Jednym z negatywnych aspektów mediów społecznościowych jest to, że trudno powiedzieć, kto jest prawdziwy. Używanie go do nakłaniania ofiar do ujawnienia odpowiedzi na pytania bezpieczeństwa nie jest nietypowe dla cyberprzestępców.

Typowym sposobem, w jaki hakerzy osiągają to, są znajomi lub obserwatorzy swoich ofiar na platformach społecznościowych, takich jak Facebook, LinkedIn, Instagram czy Twitter. Wykorzystując formy psychospołecznej manipulacji, nakłaniają ofiarę do zaufania. To kolejny poziom inżynierii społecznej.

Gdy cyberatakujący zaprzyjaźnia się ze swoim celem w mediach społecznościowych, rozpoczyna czaty z ofiarą i najpierw ujawnia fałszywe informacje o sobie, aby wyglądały na wiarygodne. W czymś, co bardziej przypomina jeden z nich

oszustwa związane z aplikacjami randkowymi, angażują się w rozmowy na temat zainteresowań i upodobań ofiary.

Czasami napastnik może udawać, że ma te same zainteresowania, hobby i upodobania z ofiarą, która może: kończą się nieświadomym udostępnianiem tajnych informacji – co oczywiście prawdopodobnie obejmuje odpowiedzi na temat bezpieczeństwa pytania. Może to dotyczyć zarówno tych, których używają, aby uzyskać dostęp do zasobów w miejscu pracy, jak i tych wykorzystywanych do zakupów online lub innych wrażliwych transakcji online.

2. Wyłudzanie informacji

Phishing i socjotechnika idą w parze. Phishing ma miejsce, gdy haker przedstawia się jako ktoś inny, tj. fałszywa persona. Na przykład osoba atakująca może poinformować Cię w rozmowie telefonicznej, SMS-ie lub e-mailu, że reprezentuje firmę, która posiada jeden z Twoich profili.

Mogą poprosić Cię o odpowiedź na kilka pytań w określonym czasie, aby wzmocnić Twoje bezpieczeństwo. Mogą nawet wysłać Ci link do formularza online — najczęściej fałszywą replikę oryginalnej witryny, w której masz profil. Zdarzają się nawet przypadki, gdy hakerzy proszą swoje ofiary o wypełnienie Formularzy Google lub dowolnego kwestionariusza internetowego pod pretekstem prowadzenia badań.

Hakerzy często wykorzystują tę technikę do wykorzystywania osób mniej świadomych bezpieczeństwa. Oczywiście po uzyskaniu wymaganych informacji łatwo ominąć pytania bezpieczeństwa i uzyskać nieograniczoną kontrolę nad kontem celu.

3. Informacje z Twoich profili online

Chociaż pytania bezpieczeństwa mają być prywatne i znane tylko Tobie, prawdopodobnie pozostawiłeś wiele wskazówek do ich odpowiedzi w całym Internecie. Haker może łatwo rozszyfrować odpowiedzi na pytania bezpieczeństwa, jeśli często zostawiasz poufne informacje o sobie w swoich profilach w mediach społecznościowych.

Ta technika zwykle polega na tym, że haker prowadzi intensywne badania Twoich danych online. Aby to osiągnąć, wyszukują Cię w wyszukiwarkach takich jak Google i sprawdzają Twoje uchwyty w mediach społecznościowych, w tym LinkedIn, Facebook, Twitter, Instagram i inne, aby uzyskać jak najwięcej wskazówek.

Tym razem odpowiedziałeś na żartobliwe pytanie na Facebooku, łącząc nazwisko panieńskie matki z imieniem pierwszego zwierzaka? To naprawdę przydatne dla cyberprzestępców.

W tym momencie osoba atakująca wraca do pytań zabezpieczających, aby odpowiedzieć na nie na podstawie informacji zebranych z Twoich publicznych profili.

4. Brutalno-forsowanie

Chociaż hakerzy zazwyczaj używaj ataków brute-force do łamania haseł, niewiele może ich powstrzymać przed zrobieniem tego samego z pytaniami zabezpieczającymi. Podczas gdy ręczne brutalne wymuszanie wymaga czasu i cierpliwości, nowoczesne algorytmy brutalnego wymuszania upraszczają ten proces.

Co więcej, podczas łamania pytań bezpieczeństwa cyberatakujący musi skupić się tylko na kombinacjach słów, a nie na manipulowaniu znakami, jak to ma miejsce w przypadku haseł. Dzięki temu pytania zabezpieczające są mniej żmudne do złamania, ponieważ łatwo jest tworzyć sensowne wpisy, łącząc różne słowa.

Poza tym, gdy haker wie, jakie pytania zadaje strona internetowa, wystarczy, że użyje brutalnej siły wszystkich możliwych odpowiedzi dotyczących ofiary. Możesz pomyśleć, że jest to trudniejsze dla hakera, jeśli witryna pozwala użytkownikom tylko na generowanie pytań. Niestety jest to dalekie od prawdy, ponieważ pytania generowane przez użytkowników są często mniej bezpieczne. Dlatego odpowiedzi są prawdopodobnie łatwiejsze do odgadnięcia.

Jak zachować bezpieczeństwo?

Widziałeś, jak cyberprzestępcy mogą ominąć Twoje pytania zabezpieczające i uzyskać dostęp do Twojego konta. Ale jak możesz zachować bezpieczeństwo w Internecie? Oto kilka punktów, które mogą pomóc.

1. Użyj uwierzytelniania dwuskładnikowego

Chociaż hakerzy mogą ominąć uwierzytelnianie dwuskładnikowe, często złamanie jest bardziej techniczne niż pytania zabezpieczające. Co więcej, połączenie go z pytaniami bezpieczeństwa dodatkowo wzmacnia Twoje konto. Takie połączenie protokołów bezpieczeństwa pozostawia napastnikowi trudniejsze zagadki do rozwiązania. W takich przypadkach szybko się poddają.

Masz szczęście, jeśli Twój dostawca usług obsługuje obie metody. Ale jeśli nie, istnieje wiele firm zewnętrznych dostawcy uwierzytelniania dwuskładnikowego tam.

2. Unikaj używania ogólnych pytań i odpowiedzi

Wiele pytań zabezpieczających jest łatwych do odgadnięcia, ponieważ ofiary często udzielają ogólnych odpowiedzi. Gorzej, gdy witryna lub aplikacja pozwala użytkownikom generować własne pytania bezpieczeństwa.

Odpowiedzi na pytania, takie jak Twoje hobby, ulubiony kolor, zwierzak, film, muzyka lub jedzenie, są stosunkowo łatwe do odgadnięcia. Więc możesz chcieć ich uniknąć. A w przypadku bardziej szczegółowych pytań, takich jak nazwisko panieńskie matki itp., możesz również spróbować udzielić bardziej unikalnych odpowiedzi; na przykład nie muszą to być nawet prawidłowe, ale coś, z czym je kojarzysz.

Jeśli prawdopodobnie zapomnisz, jakie odpowiedzi udzieliłeś na dane pytanie, ponieważ jest ono unikalne, możesz je nakreślić w zaszyfrowana aplikacja do notatek aby je sprawdzić, kiedy ich potrzebujesz.

3. Usuń poufne informacje ze swoich profili

Informacje osobiste w mediach społecznościowych i innych profilach internetowych mogą dostarczyć wskazówek dotyczących odpowiedzi dotyczących bezpieczeństwa. Często najlepiej jest usunąć takie istotne szczegóły ze swoich profili, aby sprawdzić naruszenie pytania bezpieczeństwa. Ostatecznie, co dobrego wynika z odpowiadania na żarty okrężne na Facebooku, Twitterze i tym podobnych?

Chroń swoje informacje online

Podobnie jak uwierzytelnianie dwuskładnikowe, pytania zabezpieczające dodają kolejną warstwę ochrony do Twoich profili online. Niektóre usługi wymagają pytań zabezpieczających przed udostępnieniem linku do resetowania hasła. Niektórzy robią to po zresetowaniu hasła. Wszystko to ma na celu dalsze zabezpieczenie Twoich kont.

Niezależnie od przypadku, osłony drugiej warstwy, takie jak pytania bezpieczeństwa, często napotykają hakerzy, próbując uzyskać dostęp do Twojego konta. Poza tym sposób, w jaki korzystamy z Internetu, wpływa na siłę pytań bezpieczeństwa.

10 prostych sposobów na zmniejszenie śladu internetowego za pomocą kilku kliknięć

Czytaj dalej

O autorze