Åh gud. Ikke dette igen . 68 millioner Tumblr-konti er blevet sprøjtet på det mørke web og sælges til den uhyggelige pris på 0, 452 bitcoins. På tidspunktet for skrivningen er det omkring 240 dollar.
Ved første øjekast kan du tegne en parallel mellem denne datalækage og LinkedIn-lækagen på to uger siden Hvad du behøver at vide om de massive LinkedIn-konti, lækker hvad du behøver at vide om de massive LinkedIn-konti, lækage En hacker sælger 117 millioner hackede LinkedIn credentials på Dark web for omkring $ 2.200 i Bitcoin. Kevin Shabazi, CEO og grundlægger af LogMeOnce, hjælper os med at forstå, hvad der er i fare. Læs mere . For det første er begge datasæt rigtig gamle; LinkedIn-overtrædelsen er fra 2012, og Tumblr-en er fra 2013. Begge datasæt er enorme, og de blev begge noteret på Dark web af samme person - Peace_Of_Mind .
Men det er her, der ligner hinanden, for mens LinkedIn ikke sikrede sine adgangskoder ordentligt, blev Tumblr beskyttet med (relativt) stærk SHA-1-kryptering. Det betyder, at der ikke er en lille chance for, at en angriber bryder ind i deres Tumblr-konti eller genbruger login-kombinationerne på andre tjenester, som Facebook, PayPal eller Twitter.
Der er dog en ulempe. En angriber, der køber dumpen, har nu en liste over 68 millioner aktive, verificerede e-mail-konti . Det betyder, at enhver bruger, der er fanget i den, har større risiko for phishing og e-mail-baserede angreb .
Så, hvordan ser phishing ud i 2016, og hvilke skridt kan du tage for at beskytte dig selv?
Phishing er ikke Passé
Hvis du ikke havde stødt på rapporten fra Vice's Motherboard, kunne du blive tilgivet for at tro, at phishing er en støvet relikvie af 1990'erne og begyndelsen af 2000'erne, og harkede tilbage til Internettets nye barndom, og ingen vidste rigtigt, hvordan tingene fungerer. Sikkert, du argumenterer, ingen falder til phishing e-mails mere.
Statistikkerne ville være uenige. For det første bliver phishing-e-mails stadig sendt i usandsynligt store tal. Ifølge den Kaspersky-ejede SecureList tegnede phishing- og spam-e-mails sig for 54, 2% af alle e-mails sendt i tredje kvartal 2015. Dette var et lille fald fra det foregående kvartal, men er stadig en bemærkelsesværdig mængde beskeder.
Q3 2015, procentdelen af #spam i e-mail-trafik tegnede sig for 54, 2% #KLreport #infosec https://t.co/nKGjX6CH3N pic.twitter.com/Sxs0wM7my7
- Kaspersky Lab (@kaspersky) 12. november 2015
Den største kilde til phishing-e-mails er USA, nøje fulgt af Vietnam, Kina og Rusland. Interessant nok er landet med de fleste brugere, der er ramt af phishing, Brasilien, som efterfølges af Japan, Kina og Vietnam. Hverken USA eller noget andet udviklet vestligt land er for den sags skyld i top ti.
Men mens antallet af overordnede ondsindede og spam-e-mails er faldet en smule, er antallet af phishing-e-mails steget. Ifølge Symantec steg andelen af phishing-e-mails i januar 2015 fra en i 1.517 e-mails, til en på 1.004.
Anti-spam bliver smartere, men det er også phishing-emails
Tilbage i 1990'erne og 2000'erne var anti-spam-software uophørlig og knap nok til formål. Mange programmer søgte også lidt efter søgeord - ligesom 'viagra' - og affald alle e-mails, der indeholdt dem. Spammere og phishere kom omkring dem ved at forsætligt stave de ord, der var på søgeordslisten. Så blev 'viagra' 'v1agra', som derefter blev 'v1agr4' og derefter 'v1a8r4'. Du får ideen.
Nogle blev endnu mere kreative og begyndte at gemme ordene blandt billeder og specielt farvede tabeller.
Slutresultatet var, at brugerne blev bogstaveligt oversvømmet med spam- og phishing-angreb. Men det ændrede sig mod slutningen af 2000'erne, da anti-spam endelig blev smart. Hurtigere computere betød, at online-e-mail-tjenester - som Gmail og Outlook - kunne gøre komplicerede beregninger i realtid, hvilket bestemte sig for, om en email skulle sendes til brugerens indbakke eller til spammappen.
I stedet for at bare søge efter søgeord begyndte spamfiltre at se på ting som e-mail-meddelelsens oprindelse og andre brugeres adfærd til e-mails af lignende art.
Spammerne har ikke givet op. Faktisk ifølge Securelist bliver de endnu mere kloge, og det bliver endnu sværere at få vist en phishing-email Sådan sporer du en phishing-mail Sådan sporer du en phishing-e-mail Det er svært at fange en phishing-email! Svindlere udgør som PayPal eller Amazon, forsøger at stjæle dit kodeord og kreditkortoplysninger, deres bedrageri er næsten perfekt. Vi viser dig, hvordan du finder bedrageri. Læs mere .
En af de ting, Securelist noterede i sin rapport, er, at spammere ofte tager en sæsonbestemt tilgang til spam og phishing. I løbet af sommeren bemærkede det, at antallet af phishing-e-mails med et rejsetema steg.
"I juli forsøgte svindlere at narre brugere ved at sende falske meddelelser på vegne af hoteller. Meddelelsen takkede modtagerne for at bo i deres hotel og bad dem om at se den vedhæftede regning. Det vedhæftede arkiv indeholdt faktisk Trojan-Downloader.Win32.Upatre.dhwi, som igen downloadede og kørte Trojan-Banker.Win32.Dyre (set som 98. ***. **. 39 / cv17.rar) ved at klikke på linkene skrevet i downloaderens krop. "
En taktik, der bruges til at omgå anti-spam-programmer, er at sætte alt i en PDF-fil, som brugeren derefter vil åbne. Dette er effektivt, fordi det er bemærkelsesværdigt svært at programmere 'læse' en PDF-fil.
phishing-PDF
hXXp: //dgreenwell.chytrak.cz/Label.html pic.twitter.com/eJl2RmImcJ- JaromirHorejsi (@JaromirHorejsi) 18. januar 2016
Da anti-spam-filtre gik op til dette trick, begyndte spammerne at bruge mediabox objekter i vedhæftede PDF-filer, elementer i PDF-dokumenter, der åbnes med et museklik. De kan bruges til at omdirigere brugeren til phishing-websteder.
En phishing-trampolin - integrering omdirigeringer i PDF-dokumenter http://t.co/E7lPSiB4q5 pic.twitter.com/BU97TpD1TK
- Mohtashim Nomani (@ mohtashim712) 18. september 2015
Dette spil med kat og mus viser intet tegn på slutning med en klar vinder. Faktisk kan krigen intensivere.
Legitime tjenester Tilpas deres e-mails, men det gør også angriberne
For at beskytte deres brugere mod phishing-e-mails har onlinetjenester - især online banktjenester - taget for at tilpasse deres e-mails med et lille "token", der er unikt for brugeren. En af de banker, jeg bruger, indeholder de sidste tre cifre i mit kontonummer på al elektronisk korrespondance. En anden sætter de tre første bogstaver i mit postnummer øverst på alle e-mails.
Dette skal du altid kigge efter.
Interessant nok har angriberne også begyndt at tilpasse deres e-mails til at være mere effektive. En ting jeg har bemærket er, at nogle phishing-e-mails er begyndt at tage den første del af en e-mail-adresse (alt før '@') og sætte det i hilsen. Mit arbejde email er '[email protected]', så disse e-mails begynder med 'Kære mhughes'.
Tekstbeskeder - Næste grænse for phishing
I stigende grad er de online-tjenester, vi bruger, forbundet med vores mobile enheder. Nogle tjenester beder om dit telefonnummer for at oprette tofaktorautentificering Hvad er tofaktorautentificering, og hvorfor du skal bruge det Hvad er tofaktorautentificering, og hvorfor du skal bruge det Tofaktorautentificering (2FA) er en sikkerhedsmetode, der kræver to forskellige måder at bevise din identitet på. Det er almindeligt anvendt i hverdagen. For eksempel at betale med et kreditkort kræver ikke kun kortet, ... Læs mere. Andre beder om det for at dele oplysninger med dig.
Websteder beskytter ikke mobilnumre på den måde, de gør adgangskoder til. Årsagen til det er, når du hash-and-salt et kodeord. Hver sikker hjemmeside gør dette med dit kodeord. Hver sikker hjemmeside gør dette med dit kodeord Har du nogensinde spekuleret på, hvordan websteder holder din adgangskode sikker mod data brud? Læs mere, det bliver umuligt at læse. For at websteder skal kunne sende beskeder eller ringe til et nummer, skal de forblive ubeskyttede.
Denne kendsgerning kombineret med ekstremt billige (helt legitime) tekstmeddelelsestjenester som Twilio, Nexmo og Plivo, (hvilket folk er mindre mistænkelige for) betyder, at angribere i stigende grad lænner sig til sms som angrebsvektor.
Denne type angreb har et navn: smishing, mens voice phishing kaldes vishing Nye phishing-teknikker for at være opmærksom på: Vishing og Smishing Nye phishing-teknikker for at være opmærksom på: Vishing og Smishing Vishing og smishing er farlige nye phishing-varianter. Hvad skal du kigge efter? Hvordan vil du vide et forsvindings- eller smishingforsøg, når det kommer? Og vil du sandsynligvis være et mål? Læs mere .
Få mistænkelig
Hvis du ikke ved, om du er i Tumblr-dumpet, kan du finde ud af ved at gå til Troy Hunt's Have I Been Pwned.
Hvis du er, er det en god ide at nulstille dine adgangskoder, og at oprette tofaktorautentificering på alle dine konti. Men endnu vigtigere, skal du dreje din mistænktemåler til elleve . Jeg har ingen tvivl om, at berørte brugere vil se en stigning i spam og phishing-e-mails i de kommende uger. De ser overbevisende ud. For at være sikker skal Tumblr-brugere begynde at behandle indgående e-mails med en sund dosis skepsis.
Har du været fanget i lækagen? Har du fået mistænkelige e-mails? Lad mig vide i kommentarerne nedenfor.
Foto Credits: HTML Tabel Bitmap (Niels Heidenreich)