これは、これまでに類を見ない「 最大の 」データベースです。 この記事では、見つかったデータベースの機能について説明し、ユーザーデータの同様のリークを思い出し、そのようなデータベースで「自分自身を見つけた」場合の状況で何をすべきかについて説明します。
/ Flickr / マグヌスd / cc
他の人の情報の最も「便利な」データベース
データベースを分析すると、基本的に252の個別のケースで盗まれたユーザー資格情報が含まれていることがわかりました。 これらは、5億個を超えるパスワードを保存するAnti Public Combo Listなど、他の銀行のコンテンツと交差しています。 専門家によると、新しいデータベースのアカウントの14％だけがオリジナルと呼ぶことができます-これらのユーザー名とパスワードのペアは、以前に復号化されていません。
他の検索と他の検索を区別するのは、その形式です。これは通常のリストではなく、インタラクティブなデータベースです。 コンテンツを簡単に見つけて使用することができます-選択を簡素化し、パスワードを選択する際のユーザー設定のパターンを表示します。
このようなデータベースの助けを借りれば、攻撃者が個人データの盗難を自動化することは難しくありません。 一方、データベースの完全性、「便利な」データ編成、およびナビゲーションにより、経験の浅いサイバー犯罪者でなくても違法な活動にアクセスできます。
近年の他の主要なリーク
2016年には、個人データの盗難に関連するインシデントの数が2015年と比較して40％ 増加しました。 12か月以内に、いくつかの大規模な「シンク」が一度に発生しました。
2016年5月（MySpaceのハッキングの疑いから8年後）に、アカウントへの3億6,000万の「アクセス」 が売りに出されました。 LinkedInソーシャルネットワークの1億6400万のメールアドレスとパスワードでも同じことが起こりました。情報は2012年に盗まれましたが、4年後には闇市場にしか現れませんでした。
同じシナリオで、 VKユーザーの1億のユーザーアカウントのデータベースがリリースされました 。 有名なセキュリティの専門家であるトロイ・ハントは 、攻撃者が盗まれたデータを何年も保持してから販売しようとする明白な理由はないと考えています。それはすべて個人の動機によるものです。
もう1つの「遅刻」は、Badooデートサービスの5,700万人のユーザーのメールアドレスとパスワードのデータベースです。 2016年5月に市場に登場しましたが、2015年にハックが発生したと言われています。
この年は、史上最大のリークの1つであるAnti PublicとExpoit.inで終わりました。 一緒に、彼らはユーザーアカウントへの10億を超える「アクセス」で共通基盤を補充しました。 両方のリストには、異なるオンラインシステムの同じユーザーの複数の異なるパスワードが含まれており、潜在的な「被害者」のパスワードをコンパイルするアプローチを分析することにより、貴重な情報へのアクセスを簡素化しました。
今年の結果はまだ要約されていませんが、今では2017年の注目の「プラム」を思い出すことができます。
今年3月、River City Mediaを代表して活動しているスパマーのグループが、「マーケティング」メールの13億4,000万人の受信者のデータを誤って「 漏洩 」させました。 これは、バックアップのセットアップが失敗したためです。 データベースは、受信者の電子メール、IPアドレス、さらには自宅や職場のアドレスを見つけました。
2017年半ば、1億500万人を超える個人データのリストがインターネット上で発見されました。 B2B USA Businessesと呼ばれ 、雇用者の電子メールアドレスと仕事情報、勤務先の電話番号と住所が含まれていました。
8月、 Onliner Spambotスパムボットの結果を含むカタログが発見されました 。 彼は、公式文書またはホテルからの予約確認を装った脆弱なコンピューターにマルウェアを送信し、パスワード、クレジットカード情報、およびその他の個人情報を盗みました。 合計で、 710百万件以上の資格情報が盗まれました 。
その後、盗まれた情報の重要性の観点から「最悪」 と呼ばれるリークについて知られるようになりました。 ハッカーは、5月中旬から7月にかけて米国の3大信用機関の1つであるEquifaxの拠点にアクセスし、社会保障番号や運転免許証などの1億4300万人の顧客のデータを「漏らし」ました。
秋には、Yahooユーザーからの大量のデータ流出に関する最悪の恐れが確認されました 。 同社を買収したVerizonは、盗まれたアカウントがTumblr、Fantasy、Flickrの30億アカウントにリンクされていると推定しています。
/ Flickr / アンジー害 / cc
「自分自身を見つけた」場合の対処方法
合併されたアカウントのアカウントがすでに数十億である場合、データが盗まれて売られた人々の数に入ることはそれほど難しくありません。 自分を守るためには、まず攻撃者が個人データをどのように使用できるかを理解する必要があります。
盗まれたPDの値は数十億単位で測定できます 。 まず第一に、価値は金融商品へのアクセスです（たとえば、オンラインバンキングサービスへ）。
このような情報は、オンラインストアでの購入や、ダークネット上の他のユーザーへの再販に使用されます。 多くの場合、異なるアカウントに同じパスワードを設定するため、あるサイトのアカウントのパスワードは、別のサイトにいる攻撃者にとってより価値のある情報へのアクセスを許可できます。
個人データを保護するには、次のものが必要です。
1.漏れを追跡する
オープンなデータベースのデータ侵害があり、どの組織がデータの「放電」を許可したかを知ることができます。 前述のトロイハントは、「 pwned are？ 」と呼ばれる同様のサービスをサポートしています。 「。 特定のリソースでアカウントが侵害されているかどうかを（電子メールアドレスで）確認し、重大なリークの通知を受信するのに役立ちます。 この情報により、関連するアカウントのパスワードをタイムリーに対応および変更できます。
2.明らかな安全性のヒントを無視しないでください。
新しいデータベースの14億の盗まれたアカウントのうち、123456が最も一般的なパスワードでした。 これは、ユーザーが基本的な安全規則を無視することをもう一度確認します。 単純な組み合わせを選択し、それらを一度に複数のリソースに使用します。 複雑なパスワードを設定して保存すると、特殊なアプリケーションやサービスに役立ちます 。
サービスが二要素認証を提供する場合、それを使用する価値があります。 さらに、クラウドに機密情報を配置する前に、サービスが高レベルのセキュリティを提供することを確認することが重要です：暗号化、二要素認証、アクセスポリシー管理、定期的なチェック、およびその他の手段1cloud-Habréの資料および当社のブログの1つ 。
3. PDが漏れた場合の対処方法を知る
金融商品が危険にさらされている場合は、すぐに銀行または他の組織に連絡し、起こりうる問題について専門家に通知する必要があります。
攻撃者があなたの名前でローンを借りようとしたかどうかを調べるために信用機関に連絡することも不必要ではありません 。 ロシアでは、そのような組織は国家信用履歴局です。 必要なすべての情報を確認できます 。 PDの盗難に関する疑いや事実については、法執行機関に連絡する必要があります。 将来の声明は、可能性のある訴訟で証拠の役割を果たします。
パスワードのないメールアドレスなどの「中立」情報を使用して金融商品にアクセスできることを覚えておくことが重要です。 攻撃者は 、 ソーシャルエンジニアリングの手法など、非技術的な攻撃手段を使用します。つまり、「被害者」との接触中に不足している情報を見つけます。 したがって、PDが「マージ」されたことを知るには、警戒心を失い、すべての電話と手紙に注意を払わないことが重要です。 この時点で、「電話で銀行員にパスワードを使用しない」などの基本的な推奨事項がこれまで以上に重要になります。
4.トピックに関する資料を学習する（小さなテーマダイジェスト）
- データ損失防止ソリューションの開発者であるDigitalGuardianは、個人情報を保護するための100以上のシンプルだが重要なヒントをまとめました。 特に重要なのは、PrivacyRightsなどのポータルやKaspersky Labなどの企業からの引用と便利なツールです。
- この記事では、データ保護製品会社であるTripwireのセキュリティ専門家が、パスワードを選択するためのガイドラインを提供しています。 重要なヒントは、定期的にパスワードを変更し、パスワードを選択することに関するものです。 これらのルールは陳腐なように見えるかもしれませんが、4iqの発見に戻ると、誰もが実際に保護の明白な方法を使用しているわけではないことがわかります。
- 別のセキュリティ会社、HeimdalSecurity は、 19人の専門家に3つの主要なセキュリティ対策について意見を求めました。 Eset、SecurityWatch、CSIS、およびその他の企業の従業員がコメントを共有しました。
- プロバイダーのインフラストラクチャのセキュリティをテストするプロセスをここで説明します 。 この例は、サービス会社のセキュリティ脆弱性が原因で顧客IDが盗まれる方法を示しています。 別の例ですが、銀行の脆弱性に関するものです。 この記事では、いくつかのハッキングシナリオについて説明します。
- そして、ソーシャルエンジニアリングが実際にどのように機能するかについてのストーリーがあります。 ソーシャルネットワークとメールのプロファイルにアクセスするには、偽のFacebookアカウントと偽のパスワード入力フォームのみが必要です。
- Troy Huntのもう1つのツールはPwned Passwordsです。 何百万もの「漏洩」パスワードへのアクセスを可能にします。 ハッカーはすでにそれらを誘toすることができたので、それらは使用に適さないと考えることができます。これは、攻撃者がそれらを利用できることを意味します。
- データの暗号化は、セキュリティの専門家からの多くのヒントで取り上げられています。 ここでは、関連ツールの選択を見つけることができます。
- 問題に対するより良い洞察を得るために、ハッカーがどのように考え、行動するかを説明するリソースに目を向けることができます。 Quoraユーザーは、このテーマに関する最高の資料を自分の意見で推奨しています。 いわゆる倫理的ハッキングに関する本もあります。 また、脆弱性の実践的な分析と適切なセキュリティバイパス方法の理解を通じて、身を守るのにも役立ちます。