روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ برای بیشتر ما، پسورد رایج‌ترین روش احراز هویت برای تعداد بی‌شماری سرویس آنلاین است. اما برای مهاجمین سایبری پسورد، چیزی بیش از اینهاست: میانبری است به دستبرد زدن به زندگی افراد، ابزار کاریست که اهمیت بسیار دارد و کالایی است که قابل فروش است. مهاجمین با دانستن پسورد نه تنها می‌توانند اکانت‌ها، داده پول و حتی هویت شما را در اختیار گیرند که همچنین قادرند از شما بعنوان واسطی ضعیف و بی‌قدرت برای حمله به دوستان آنلاین شما، آشناهایتان و حتی شرکتی که برایش یا کار می‌کنید یا مدیرش هستید استفاده کنند. برای جلوگیری از این اتفاق باید بدانید در وهله اول چطور افراد شرور می‌توانند پسورد شما را از آن خود کنند. با ما همراه بمانید.

چطور پسوردها به دست عاملین شرور می‌افتند؟

یک سوءتعبیر همه‌گیر وجود دارد که می‌گوید اگر پسورد به دست مهاجمی افتاده لابد کاربر اشتباهی کرده: مثلاً از اینترنت فایل چک‌نشده‌ای را دانلود یا اجرا کرده، داکیومنتی را از فرستنده ناشناسی باز کرده یا اطلاعات محرمانه را روی وبسایتی مشکوک وارد نموده. بله اینها هم درست است: همه الگوهای رفتاری فوق‌الذکر می‌تواند کار مهاجم را ساده‌تر کند اما سناریوهای دیگری هم وجود دارد که در زیر به برخی از آن‌ها اشاره کرده‌ایم.

فیشینگ

این به طور حتم از جمله متودهایی که بیشترین میزان اتکا را به خطای انسانی دارد: صدها سایت فیشینگ به یاری هزاران میل‌اوت روزانه در این امر دخیلند. با این حال اگر به هر دلیلی فکر کردید هرگز فریب ترفندهای فیشنگ را نمی‌خورید شما را به کمی تأمل دعوت می‌کنیم. این متود تقریباً قدمت خود اینترنت را دارد؛ از این رو مجرمان سایبری کلی زمان داشته‌اند تا ترفندهای مختلف مهندسی اجتماعی و تاکتیک‌های لباس مبدل را پیاده کنند. حتی حرفه‌ای‌ها هم گاهی‌اوقات نمی‌توانند فرق ایمیل فیشینگ را از ایمیل واقعی (در یک نگاه) تشخیص دهند.

بدافزار

روش رایج دیگر برای سرقت اطلاعات محرمانه شما بدافزار است. طبق آمار ما، بخش قابل‌توجهی از بدافزارهای فعال از تروجان‌های سرقت‌گر تشکیل شده که هدف اصلی‌شان کمین کردن برای زمانی است که کاربر به سایت یا سرویسی لاگ می‌شود و بعد پسورد آن‌ها را کپی کرده برای نویسندگان خود ارسال می‌کنند. اگر از راهکارهای محافظت استفاده نکنید تروجان‌ها می‌توانند سال‌ها ناشناس در کامپیوترتان مخفی شوند- شما هم هرگز نخواهید فهمید مشکل از کجاست زیرا آن‌ها ضررهای قابل‌رؤیت نمی‌زنند؛ فقط اینکه کارشان مخفی ماندن و کمین کردن است. تروجان‌های سرقت‌گر تنها بدافزارهایی با قصد شکار پسورد نیستند. برخی‌اوقات مجرمان سایبری به سایت‌ها وب‌اسکیمر تزریق می‌کنند و هر چیزی که کاربر به عنوان ورودی می‌دهد می‌دزدند از جمله اطلاعات محرمانه، اسم و جزئیات کارت و غیره.

نشت‌های طرف‌سوم

با این وجود، نباید خودتان نیز همین اشتباه ازتان سر بزند. همین که کاربری هستید با سرویس اینترنت ناامن یا کلاینت شرکتی هستید که پایگاه داده‌‌ای با داده‌های مشتریان را نشت کرده کافی است. البته که شرکت‌هایی که مسئله امنیت سایبری را جدی نمی‌گیرند اصلاً پسوردی ذخیره نمی‌کنند اگر هم بکنند در قالب رمزگذاری‌شده نیست. اما هرگز نمی‌شود مطمئن بود اقدامات امنیتی به اندازه کافی انجام می‌شود یا نه. برای مثال نشت 2022 سوپروی‌پی‌ان حاوی اطلاعات شخصی و اطلاعات محرمانه لاگین 21 میلیون کاربر بود. همچنین برخی شرکت‌ها نمی‌توانند جلوی ذخیره کردن پسوردهای شما را به هیچ وجه بگیرند. بله ما هم مثل شما یاد آن هک ابزار مدیریت پسورد بدنام LastPass افتادیم. با توجه به اطلاعات اخیر که در دست داریم، عامل تهدید ناشناسی به ذخیره‌گاه مبتنی بر کلود که داده برخی مشتریان را دربرگرفته بوده (از جمله بک‌آپ‌های درگاه‌های مشتری) دسترسی پیدا کرده. بله این درگاه‌ها درست رمزگذاری شده بودند و LastPass  هرگز کلیدهای رمزگشایی‌شده را ذخیره نکرده بود و از آن‌ها اطلاع نداشت. اما اگر کلاینت‌های LastPass  با پسوردی که از قبل از برخی منابع دیگر نشت شده بود درگاه‌های خود را قفل می‌کردند چه؟! اگر از پسوردی مجدداً استفاده می‌کردند که ناامن بوده مجرمان سایبری براحتی می‌توانستند به همه اکانت‌های آن‌ها به طور یکجا دسترسی پیدا کنند.

کارگزاران دسترسی اولیه

و حالا می‌رسیم به منبع دیگری از پسوردهای سرقتی- بازار سیاه! مجرمان سایبری مدرن ترجیح می‌دهند در یک سری حوزه‌های خاص تخصص داشته باشند. آن‌ها ممکن است پسوردهای شما را بدزدند اما لزوماً ازشان استفاده نمی‌کنند: اینکه آن‌ها را به طور عمده بفروشند برایشان بیشتر می‌صرفد. خرید چنین پایگاه داده پسوردی مشخصاً برای مجرمان سایبری جذاب است زیرا همه منافع را یکجا بهشان می‌دهد: کاربران دوست دارند برای کلی پلت‌فرم  و اکانت از یک پسورد واحد استفاده کنند و اغلب نیز همه را با یک ایمیل امتحان می‌کنند. از این رو، داشتن یک پسورد پلت‌فرم به مثابه‌ی در اختیار داشتن هر چند تعداد اکانت قربانی است- از اکانت‌های گیمینگ گرفته تا ایمیل شخصی یا حتی اکانت‌های خصوصی روی وبسایت‌های بزرگسال.

پایگاه‌های اطلاعاتی سازمانی نشت‌شده که ممکن است حاوی اعتبار باشند یا نباشند نیز در همان بازار سیاه فروخته می‌شوند. قیمت چنین پایگاه های اطلاعاتی بسته به میزان داده‌ها و صنعت سازمان متفاوت است: برخی از پایگاه های داده رمز عبور ممکن است صدها دلار فروخته شوند. سرویس‌های خاصی در دارک‌نت وجود دارند که گذرواژه‌ها و پایگاه‌های اطلاعاتی لو رفته را جمع‌آوری  و سپس دسترسی مبتنی بر اشتراک پولی یا یک‌باره را به مجموعه‌هایشان فعال می‌کنند. در اکتبر 2022، گروه بدنام باج‌افزار LockBit یک شرکت مراقبت‌های بهداشتی را هک کرد و پایگاه‌های اطلاعاتی کاربران آن‌ها را با اطلاعات پزشکی به سرقت برد.  آنها نه تنها اشتراک این اطلاعات را در تاریک نت فروختند - احتمالاً دسترسی اولیه را در همان بازار سیاه خریداری کردند.

حملات جستجوی فراگیر

در برخی موارد، مجرمان سایبری حتی برای یافتن رمز عبور شما و هک کردن حساب شما نیازی به پایگاه داده سرقت شده ندارند. آنها می‌توانند از حملات brute-force یا همان جستجوی فراگیر استفاده کنند (به عبارت دیگر هزاران نوع رمز عبور معمولی را امتحان کنند تا زمانی که یکی از آنها کار کند). بله، خیلی قابل اعتماد به نظر نمی‌رسد. اما آنها نیازی به تکرار همه ترکیب‌های ممکن ندارند - ابزارهای خاصی وجود دارند (Wordlist Generators ) که می‌توانند فهرستی از رمزهای عبور رایج (به اصطلاح واژه‌نامه‌های جستجوی فراگیر) را بر اساس اطلاعات شخصی قربانی ایجاد کنند. چنین برنامه‌هایی مانند یک پرسشنامه کوچک در مورد قربانی به نظر می‌رسند. آنها نام، نام خانوادگی، تاریخ تولد، اطلاعات شخصی در مورد شریک زندگی، فرزندان و حتی حیوانات خانگی را می‌پرسند. مهاجمین حتی ممکن است کلمات کلیدی دیگری را که در مورد هدف می‌دانند اضافه کنند که می‌تواند به صورت ترکیب درآید. با استفاده از ترکیبی از کلمات، نام‌ها، تاریخ‌ها و سایر داده‌های مرتبط، مولدهای فهرست کلمات هزاران نوع رمز عبور ایجاد می‌کنند که مهاجمان بعداً در حین ثبت نام آن‌ها را امتحان می‌کنند.

برای استفاده از چنین روشی، مجرمان سایبری ابتدا باید تحقیقاتی را انجام دهند - و این زمانی است که آن پایگاه‌های اطلاعاتی فاش شده ممکن است مفید واقع شوند. آنها ممکن است حاوی اطلاعاتی مانند تاریخ تولد، آدرس، یا پاسخ به "سوالات محرمانه" باشند. منبع دیگر داده‌ها اشتراک‌گذاری بیش از حد در شبکه‌های اجتماعی است. چیزی که کاملاً بی اهمیت به نظر می‌رسد، مانند عکسی از 6 دسامبر با عنوان "امروز تولد سگ دوست داشتنی من است".

پیامدهای احتمالی یک پسورد نشت‌شده یا مورد حمله جستجوی فراگیر قرار گرفته

عواقب آشکاری وجود دارد: مجرمان سایبری می‌توانند حساب شما را تصرف کنند و آن را برای باج گیری نگه دارند، از آن برای کلاهبرداری از مخاطبین و دوستان آنلاین شما استفاده کنند، یا اگر بتوانند رمز عبور سایت یا برنامه بانکی شما را دریافت کنند، حساب شما را خالی کنند. با این حال، گاهی اوقات قصد آنها چندان هم ساده نیست.

برای مثال، با معرفی بازی‌های بیشتری که ارز درون‌گیمی و تراکنش‌های خُرد را معرفی می‌کنند، کاربران بیشتری روش‌های پرداخت خود را به حساب‌هایشان مرتبط می‌کنند. این باعث می شود گیمرها به یک هدف جالب برای هکرها تبدیل شوند. با دسترسی به حساب بازی، آنها می توانند آیتم‌های با ارزش درون‌گیمی مانند پوسته، اقلام کمیاب یا ارز داخلی بازی را سرقت کنند یا از داده های کارت اعتباری قربانی سوء استفاده کنند.

پایگاه‌های اطلاعاتی فاش شده و اطلاعاتی که هنگام جستجو در حساب‌های شما به دست می‌آیند، می‌توانند نه تنها برای منافع مالی، بلکه برای آسیب‌های اعتباری و سایر انواع آسیب‌های اجتماعی، از جمله دکس کردن، استفاده شوند. اگر سلبریتی باشید ممکن است مورد باج گیری قرار بگیرید و با یک انتخاب روبرو شوید: افشای اطلاعات شخصی (که می‌تواند بر شهرت شما تأثیر بگذارد) یا از دست دادن پول. حتی اگر سلبریتی نباشید، می‌توانید قربانی داکسینگ شوید - عمل افشای اطلاعات هویتی شخصی آنلاین - مانند نام واقعی، آدرس خانه، محل کار، تلفن، اطلاعات مالی و سایر اطلاعات شخصی او. حملات Doxing می‌تواند از موارد نسبتاً بی‌ضرر، مانند ثبت‌نام گرفته تا لیست‌های پستی بی‌شماری یا سفارش‌های تقلبی تحویل پیتزا به نام شما، تا موارد بسیار خطرناک‌تر، مانند انواع مختلف آزار سایبری، سرقت هویت، یا حتی تعقیب حضوری متغیر باشد. . در نهایت، اگر از رمز عبور یکسانی برای حساب‌های شخصی و کاری استفاده می‌کنید، مجرمان سایبری می‌توانند ایمیل شرکت شما را تصاحب کرده و از آن برای طرح‌های به خطر انداختن ایمیل‌های تجاری یا حتی حملات هدفمند استفاده کنند.

راهکارهای امنیتی

اول از همه- همیشه بهداشت پسورد را جدی بگیرید!

•         از یک پسورد واحد برای کلی اکانت استفاده نکنید.
•         پسوردهایتان قوی و بلند باشند.
•         آن‌ها را بدرستی و امن ذخیره کنید.
•         اگر شنیدید نقض داده در سرویس یا وبسایتی که پسورد برای آن استفاده شده صورت گرفته فوراً آن را تغییر دهید.

نرم افزار مدیریت رمز عبور ما می‌تواند به شما در انجام تمام این وظایف کمک کند. این به عنوان بخشی از راهکارهای امنیتی ما برای SMB و برای مشتریان خانگی در دسترس است.

همچنین اپلیکیشن Kaspersky امنیت تمامی رمزهای عبور شما را به صورت بلادرنگ کنترل می‌کند. حتی سرویسی برای بررسی اینکه آیا نشت واقعاً رخ داده است یا خیر دارد. نام این سرویس  Data Leak Checker است که می‌توانید آن را زیر تب Privacy پیدا کنید. این به شما اجازه می‌دهد بررسی کنید آیا ایمیل‌تان جایی در پایگاه داده سرقتی شناسایی شده یا نه که اگر شناسایی شده باشد فهرستی دریافت خواهید کرد از سایت‌های نشتی، نام داده عمومی‌شده (شخصی، بانکی، تاریخچه فعالیت آنلاین و غیره) و نیز توصیه‌هایی در مورد اینکه چه کار باید بکنید.

و توصیه‌هایی دیگر:

•         تا حد امکان احراز هویت دوعاملی را فعالسازی کنید. این کار یک لایه اضافی به امنیت شما می‌دهد و نمی‌گذارد هکرها حتی اگر پسود و لاگین شما را هم داشته باشند باز به اکانت شما دسترسی پیدا کنند.
•         برای حریم خصوصی بهتر، شبکه‌های اجتماعی خود را تنظیم کنید. این کار پیدا کردن اطلاعات در مورد شما را سخت‌تر می‌کند و از این رو جستجوی فراگیر اکانت‌های شما برای مهاجمین به شدت پیچیده می‌شود.
•         اطلاعات شخصی خود را بیش از حد به اشتراک نگذارید حتی اگر فقط دوستانتان آن را می‌بینند. دوست امروز شما ممکن است دشمن فردایتان باشد!

منبع: کسپرسکی آنلاین (ایدکو)

کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.