Где я?
ББ-Home > Новости > 1/52 > О бесплатном дорогом сыре

О бесплатном дорогом сыре

Находчивость и всеядность киберпреступников поражают воображение. Предлагаем вам перевод статьи с сайта WEF с несколькими примерами, на что им могут сгодиться украденные у вас логины и пароли.

9 из 10 онлайн шопперов на самом деле киберпреступники

Джон Детрие, репортер Future of Finance

9 out of 10 online shoppers are actually cyber criminals

John Detrixhe, Future of Finance Reporter

23 ноября 2018 года

Для хакеров продажа украденных персональных данных составляет большой бизнес: где-то в «темной паутине» ваш адрес электронной почты и несколько паролей, возможно, выставлены на продажу (хотелось бы верить, что устаревшие). Киберпреступники покупают такие информационные сокровища, чтобы попробовать зайти на вебсайты, где бы они могли ухватить что-либо ценное вроде денег, бонусы от авиакомпаний или просто прикупить дорогого сыра. Да, сыра.

Согласно докладу фирмы по кибербезопасности Shape Security, онлайн ритейлеры сильнее других страдают от таких атак. Хакеры используют программы, автоматически подставляющие украденные данные, требуемые для авторизации; это называется ‘credential stuffing‘. В наши дни более 90% глобального трафика, связанного с авторизацией на сайтах электронной торговли, исходит от подобного рода атак. Авиакомпании и потребительские банки также находятся на осадном положении, но уже с 60% попыток авторизации, исходящих от преступников.

Такие атаки, как правило, оказываются успешны в 3% случаев, и для бизнеса затраты быстро суммируются, говорится в докладе. Этот вид мошенничества обходится ритейлерам около 6 млрд. дол в год, в то время как потери потребительских банков составляют 1,7 млрд. дол ежегодно. Гостиничный бизнес и авиаперевозчики также в числе главных мишеней – кража бонусных баллов стоит того, – каждый год теряют совокупно 700 млн дол.

Замахнуться на «маленьких монстров»

«Утечки данных дают преступникам имена и пароли, которые те тестируют на любых сайтах и мобильных приложениях, которые себе только можно помыслить», – сообщает в своем докладе Шейп. Калифорнийская компания The Mountain View говорит, что она отслеживает 1,6 млрд аккаунтов на предмет ‘credential stuffing‘. Фирме 7 лет, ее основатели были советниками Пентагона и работали в военном подрядчике Raytheon.

Процесс начинается, когда хакеры проникают в базы данных и крадут имена и пароли пользователей. Некоторые из наиболее известных утечек данных имели место в Equifax и Yahoo, но они случаются довольно регулярно – согласно Шейпу в прошлом году было заявлено о 51 утечке, приведших к утрате данных 2,3 млрд аккаунтов. Хакеры часто «посещают» веб форумы: как сообщается, в прошлом году сайт фанатов Леди Гаги «Little Monster» дал «протечку», в результате которой пострадало около одного миллиона аккаунтов с данными дней рождений, паролей и адресов электронной почты.

В противоположность, взрослые и порносайты в прошлом году не сообщали об утечках данных. Потребуется некоторое время, чтобы выяснить, действительно ли эти сайты успешно блокировали хакеров или они просто еще не осознали (не заявили), что данные их пользователей могли быть скомпрометированы. База данных AdultFriendFinder.com была одним из крупнейших источников данных учетных записей в 2016 году.

Обычно к моменту, когда вы узнали о вторжении хакеров, бывает уже слишком поздно; в среднем проходит 15 месяцев с момента кражи данных до момента, когда вторжение обнаруживается. Этого времени более чем достаточно, чтобы позволить преступникам развернуть полученные данные ничего не подозревающих людей в тысячах атак, использующих ‘credential stuffing‘.

Первосортный чеддер

Преступники крадут персональные данные из плохо защищенных мест, а затем используют полученные логины и пароли на сайтах и в приложениях, имеющих более высокую ценность и лучше защищенных. Завладение банковским счетом является одним из способов монетизации украденной учетной информации – в США местные банки атакуются намного чаще, чем любые другие группы отраслей. Согласно данным Shape Security этот сектор ежедневно подвергается атакам более 200 млн раз.

Еще один способ превратить украденную информацию в деньги – покупка товаров – от подарочных карт до физических товаров, таких как электроника, которые могут быть с легкостью перепроданы. Оказалось, что дорогой сыр, наподобие чеддера Wyke Farms за 200 дол за фунт, иногда также используется в криминальных схемах. Хакеры использовали украденные данные учетных записей, чтобы авторизоваться на сайте бакалейного магазина, чтобы купить там дорогой сыр и затем перепродать его ресторанам за наличные, – говорит Шейп.

Мили от авиакомпаний, предоставляемые часто летающим пассажирам, также представляют интерес. Шейп отмечает, что эти мили или бонусы не защищаются столь же надежно, как финансовые счета, и часто у пользователей уходит гораздо больше времени на осознание, что их счет взломали и «обнесли».

Украденные мили помогли зарождению серого рынка таких вознаграждений. Преступники продают их специальным брокерам, которые скупают бонусные баллы от отелей и авиакомпаний. Шейп говорит, что после того, как мили переведены на счет брокера, кибермошенник обычно получает плату через PayPal. Затем торговцы милями продают такие бонусы электронным туристическим агентствам, которые те используют для продажи билетов на перелеты бизнес или первым классом со скидкой. Некоторые такие онлайн сделки на самом деле бывают слишком хороши, чтобы быть правдой.

Меняйте свои пароли

Киберпреступники становятся все более изобретательными, обмениваясь успешными техниками и инструментами с другими хакерами в «темной паутине». Но не все потеряно. «Число заявленных утечек учетных данных осталось относительно стабильным на уровне 51 в прошлом году по сравнению с 52 в 2016», – говорит Шейп. Размер утечек данных также сокращается. Это наводит на мысль, что кибербезопасность улучшается даже с учетом нарастающих угроз. В то же время, меняя свои пароли, потребители могут внести свою лепту в дело сокращения таких атак.

Top