Video: Woran man sichere und unsichere Webseiten erkennt (Dezember 2024)
Es spielt keine Rolle, wie lang und komplex Ihr Passwort ist: Wenn Sie dasselbe Passwort auf mehreren Websites verwenden, besteht ein hohes Risiko für Angriffe.
Im vergangenen Monat haben Forscher von Trustwave auf einem in den Niederlanden ansässigen Command-and-Control-Server einen Fundus von etwa zwei Millionen Benutzernamen und Kennwörtern entdeckt. Der Server, der Teil des Pony-Botnetzes war, hatte seinerzeit Anmeldeinformationen für verschiedene Websites sowie E-Mail-, FTP-, Remote Desktop- (RDP) und Secure Shell- (SSH) Konten von Benutzercomputern gesammelt, schrieb Daniel Chechik von Trustwave. Von den 2 Millionen gesammelten Anmeldeinformationen entfielen etwa 1, 5 Millionen auf Websites, darunter Facebook, Google, Yahoo, Twitter, LinkedIn und der Online-Gehaltsabrechnungsanbieter ADP.
Eine eingehendere Analyse der Passwortliste ergab, dass 30 Prozent der Benutzer, die Konten über mehrere Social-Media-Konten hatten, ihre Passwörter wiederverwendet hatten, sagte John Miller, der Sicherheitsforschungsmanager bei Trustwave. Jedes dieser Konten ist anfällig für einen Kennwortwiederverwendungsangriff.
"Mit ein wenig Aufwand und einigen cleveren Google-Abfragen konnte ein Angreifer zusätzliche Onlinedienste finden, bei denen der manipulierte Benutzer ein ähnliches Kennwort verwendet hatte, und dann auch Zugriff auf diese Konten erhalten", sagte Miller gegenüber Security Watch .
Es ist "nur" Social Media
Es ist offensichtlich schlimm, dass Angreifer Zugang zu den FTP-Servern und E-Mail-Konten der Opfer hatten, aber es ist möglicherweise nicht so offensichtlich, warum es eine große Rolle spielte, Facebook- oder LinkedIn-Passwörter zu haben. Es ist wichtig zu bedenken, dass Angreifer diese Listen häufig als Ausgangspunkt für sekundäre Angriffe verwenden. Selbst wenn Angreifer "nur" ein Social-Media-Passwort stehlen, gelangen sie möglicherweise auf Ihr Amazon-Konto oder brechen über VPN in Ihr Unternehmensnetzwerk ein, da der Benutzername und das Passwort zufällig mit dem übereinstimmen, die Sie auf diesem Social-Media-Konto hatten.
Security Watch warnt häufig vor den Gefahren der Wiederverwendung von Kennwörtern. Daher haben wir Trustwave gebeten, diese Kennwortliste zu analysieren, um das Ausmaß des Problems zu quantifizieren. Die resultierenden Zahlen erschreckten.
Von den 1, 48 Millionen Benutzernamen / Passwörtern, die mit Social-Media-Konten verknüpft sind, identifizierte Miller 228.718 verschiedene Benutzer mit mehr als einem Social-Media-Konto. Von diesen Benutzernamen hatten 30 Prozent dasselbe Kennwort für mehrere Konten verwendet, stellte Miller fest.
Falls Sie sich fragen: Ja, Cyberkriminelle probieren dieselbe Kombination an beliebigen Standorten aus, entweder manuell oder über ein Skript, um den Prozess zu automatisieren.
Wiederverwenden von so schlechten wie schwachen Passwörtern
Passwörter können schwer zu merken sein, und dies gilt insbesondere für Passwörter, die die meisten Menschen für sicher halten. Diesen Benutzern sollte zwar empfohlen werden, keine schwachen Kennwörter wie "admin", "123456" und "password" zu verwenden (was in dieser Gruppe immer noch ein Problem darstellte). Das Problem besteht jedoch darin, dass selbst komplexe Kennwörter ihre Wirksamkeit verlieren, wenn sie nicht verwendet werden. t einzigartig.
Miller identifizierte auch ein anderes Wiederverwendungsproblem. Während sich auf vielen Websites Benutzer mit ihren E-Mail-Adressen anmelden, können andere Benutzer ihre eigenen Benutzernamen erstellen. In dieser ursprünglichen Liste von 1, 48 Millionen Benutzernamen / Passwort-Kombinationen gab es tatsächlich 829.484 verschiedene Benutzernamen, da Benutzer gebräuchliche Wörter verwendeten. Tatsächlich wurde "admin" 4.341 Mal als Benutzername angegeben. Die Hälfte der "schwachen" Benutzernamen hatte auch schwache Passwörter, was es noch wahrscheinlicher macht, dass Angreifer sich brutal über mehrere Konten hinweg durchschlagen können.
Bleib sicher
Sichere Passwörter sind für die Sicherheit unserer Daten und unserer Identität im Internet von entscheidender Bedeutung. Benutzer entscheiden sich jedoch häufig für mehr Komfort als für Sicherheit. Aus diesem Grund empfehlen wir Ihnen, einen Passwort-Manager zu verwenden, um eindeutige, komplexe Passwörter für jede Site oder jeden Dienst, den Sie verwenden, zu erstellen und zu speichern. Diese Anwendungen melden Sie auch automatisch an, wodurch es für Keylogger viel schwieriger wird, Ihre Informationen abzurufen. Probieren Sie unbedingt Dashlane 2.0 oder LastPass 3.0 aus, beide sind Gewinner des Editors 'Choice-Preises für die Passwortverwaltung.
Wie wir letzten Monat festgestellt haben, hat das Pony-Botnetz die Anmeldeinformationen wahrscheinlich über Keylogger und Phishing-Angriffe gesammelt. Halten Sie Ihre Sicherheitssoftware auf dem neuesten Stand, um zu verhindern, dass Webroot SecureAnywhere AntiVirus (2014) oder Bitdefender Antivirus Plus (2014) infiziert werden, und befolgen Sie unsere Richtlinien zum Erkennen von Phishing-Angriffen.
