לקראת יום הגנת הפרטיות הבינלאומי: כך תגנו על הארגון שלכם מפני גניבת סיסמאות
מאמר של ג'ונאס ווקר, אסטרטג אבטחה ב-FortiGuard Labs, גוף המחקר של פורטינט
הגנה לישראל
| 26/01/2023
ג'ונאס ווקר, אסטרטג אבטחה ב-FortiGuard Labs, גוף המחקר של פורטינט | קרדיט: פורטינט
ב-28 בינואר נציין את יום הגנת הפרטיות הבינלאומי, הנועד כדי לקדם מודעות לשיטות ולטיפים הטובים ביותר לשמירה על המידע והנתונים האישיים שלנו ברשת. לפי הדוח Data Breach Investigations של Verizon לשנת 2022, גניבה של מידע אישי הובילה לכ-50% ממתקפות הסייבר בשנת 2021. ההאקרים שלא נחים לרגע, מחפשים אחר נקודות תורפה קלות לניצול, כאשר סיסמאות חלשות נמצאות בראש הרשימה שלהם.
כיצד ההאקרים משיגים את הסיסמאות?
ההאקרים משתמשים במספר שיטות כדי לגנוב סיסמאות, כאשר אחת מהן היא הנדסה חברתית או Phishing – באמצעותה הם מרמים את המשתמשים לספק להם את פרטיהם האישיים באמצעות הודעות דוא"ל או הודעות טקסט מזויפות, לחיצה על קישורים זדוניים או ביקור באתרים זדוניים. שיטה נוספת היא יירוט תעבורה, כאשר ההאקרים משתמשים בניטור תעבורת רשת (Packet sniffers) על מנת לקבל מידע אודות סיסמאות ופרטים אישיים.
בנוסף לכך, דליפת תוכנת הכופר Conti חשפה את הדרך שבה קבוצת הכופר המצליחה ביותר בשנת 2021 השתמשה בטכניקות של גניבת מידע ומילוי פרטים אישיים (בCredential stuffing), כאשר הגורמים העוינים רכשו במגוון שווקים ברשת האפלה פרטים אישיים שדלפו ממאגרי נתונים.
לרוע המזל, אנשים רבים משתמשים באותה הסיסמה ואותה כתובת דוא"ל עבור אתרים רבים. מספיק שאחד מהשילובים הללו יימצא במאגר נתונים שכזה כדי שההאקרים יעשו שימוש במידע רגיש זה כדי לקבל גישה לסביבת המשתמש.
התוקפים כל הזמן מוצאים שיטות חדשות להשגת פרטי המשתמשים, מה שמקשה מאוד ליצור רשימה מקיפה של הדרכים שבהן הם עלולים לגנוב את הסיסמאות. לכן, אנחנו מוכרחים ללמוד כיצד להגן על עצמנו ועל הנתונים שלנו באינטרנט. מקום טוב להתחיל הוא באמצעות יצירת סיסמאות חזקות שיקשו על ההאקרים לגנוב אותן.
כך תגנו על הארגון שלכם מפני גניבת סיסמאות
כאשר מדובר בחברות וארגונים, צוותי ה-IT והאבטחה צריכים לנקוט במספר צעדים חיוניים כדי להגן על הארגון ועובדיו מפני גניבת סיסמאות. אם אתם מומחי אבטחה, עליכם לשקול לאמץ וליישם את הפעולות הבאות:
אימות כפול (MFA): אימות כפול מוודא את זהות המשתמשים באמצעות הוספת שלב נוסף לתהליך האימות באמצעות טוקנים (Tokens) פיזיים או ניידים מבוססי יישום. הוספת שלב שני לאימות זהות המשתמש מבטיח כי פושעי הסייבר לא יצליחו לגשת לחשבון גם במקרה שבו הסיסמה נחשפה.
התחברות חד-פעמית (SSO): שיטת הזדהות המאפשרת להשתמש באותו שם משתמש וסיסמה עבור כלל היישומים בארגון. שימוש בסט אחד של פרטי התחברות משפרת את האבטחה כיוון שלפושעי הסייבר יש פחות הזדמנויות לפרוץ לחשבון המשתמש.
הדרכה וחינוך לאבטחת סייבר: ככל שאיומי הסייבר מתפתחים והתוקפים מציגים טכניקות חדשות לגניבת נתונים, כל עובד חייב להכיר את איומי הסייבר העדכניים ביותר ואת הדרכים להגן על עצמו. ישנם קורסי הדרכה חינמיים אשר יכולים לסייע לחנך משתמשים לגבי שמירה על האבטחה שלהם.
שירות הגנה מפני סיכונים דיגיטליים (DRP): שירותי DRP אשר כוללים ניהול של שטח התקיפה החיצוני (EASM), הגנה על המותג ומודיעין המתמקד בגורמים עוינים (ACI), חיוניים כדי לעצור את התוקפים בשלב מוקדם בפעילות שלהם.
הכותב הוא ג'ונאס ווקר, אסטרטג אבטחה ב-FortiGuard Labs, גוף המחקר של פורטינט.
מאמר של ג'ונאס ווקר, אסטרטג אבטחה ב-FortiGuard Labs, גוף המחקר של פורטינט
ג'ונאס ווקר, אסטרטג אבטחה ב-FortiGuard Labs, גוף המחקר של פורטינט | קרדיט: פורטינט
ב-28 בינואר נציין את יום הגנת הפרטיות הבינלאומי, הנועד כדי לקדם מודעות לשיטות ולטיפים הטובים ביותר לשמירה על המידע והנתונים האישיים שלנו ברשת. לפי הדוח Data Breach Investigations של Verizon לשנת 2022, גניבה של מידע אישי הובילה לכ-50% ממתקפות הסייבר בשנת 2021. ההאקרים שלא נחים לרגע, מחפשים אחר נקודות תורפה קלות לניצול, כאשר סיסמאות חלשות נמצאות בראש הרשימה שלהם.
כיצד ההאקרים משיגים את הסיסמאות?
ההאקרים משתמשים במספר שיטות כדי לגנוב סיסמאות, כאשר אחת מהן היא הנדסה חברתית או Phishing – באמצעותה הם מרמים את המשתמשים לספק להם את פרטיהם האישיים באמצעות הודעות דוא"ל או הודעות טקסט מזויפות, לחיצה על קישורים זדוניים או ביקור באתרים זדוניים. שיטה נוספת היא יירוט תעבורה, כאשר ההאקרים משתמשים בניטור תעבורת רשת (Packet sniffers) על מנת לקבל מידע אודות סיסמאות ופרטים אישיים.
בנוסף לכך, דליפת תוכנת הכופר Conti חשפה את הדרך שבה קבוצת הכופר המצליחה ביותר בשנת 2021 השתמשה בטכניקות של גניבת מידע ומילוי פרטים אישיים (בCredential stuffing), כאשר הגורמים העוינים רכשו במגוון שווקים ברשת האפלה פרטים אישיים שדלפו ממאגרי נתונים.
לרוע המזל, אנשים רבים משתמשים באותה הסיסמה ואותה כתובת דוא"ל עבור אתרים רבים. מספיק שאחד מהשילובים הללו יימצא במאגר נתונים שכזה כדי שההאקרים יעשו שימוש במידע רגיש זה כדי לקבל גישה לסביבת המשתמש.
התוקפים כל הזמן מוצאים שיטות חדשות להשגת פרטי המשתמשים, מה שמקשה מאוד ליצור רשימה מקיפה של הדרכים שבהן הם עלולים לגנוב את הסיסמאות. לכן, אנחנו מוכרחים ללמוד כיצד להגן על עצמנו ועל הנתונים שלנו באינטרנט. מקום טוב להתחיל הוא באמצעות יצירת סיסמאות חזקות שיקשו על ההאקרים לגנוב אותן.
כך תגנו על הארגון שלכם מפני גניבת סיסמאות
כאשר מדובר בחברות וארגונים, צוותי ה-IT והאבטחה צריכים לנקוט במספר צעדים חיוניים כדי להגן על הארגון ועובדיו מפני גניבת סיסמאות. אם אתם מומחי אבטחה, עליכם לשקול לאמץ וליישם את הפעולות הבאות:
אימות כפול (MFA): אימות כפול מוודא את זהות המשתמשים באמצעות הוספת שלב נוסף לתהליך האימות באמצעות טוקנים (Tokens) פיזיים או ניידים מבוססי יישום. הוספת שלב שני לאימות זהות המשתמש מבטיח כי פושעי הסייבר לא יצליחו לגשת לחשבון גם במקרה שבו הסיסמה נחשפה.
התחברות חד-פעמית (SSO): שיטת הזדהות המאפשרת להשתמש באותו שם משתמש וסיסמה עבור כלל היישומים בארגון. שימוש בסט אחד של פרטי התחברות משפרת את האבטחה כיוון שלפושעי הסייבר יש פחות הזדמנויות לפרוץ לחשבון המשתמש.
הדרכה וחינוך לאבטחת סייבר: ככל שאיומי הסייבר מתפתחים והתוקפים מציגים טכניקות חדשות לגניבת נתונים, כל עובד חייב להכיר את איומי הסייבר העדכניים ביותר ואת הדרכים להגן על עצמו. ישנם קורסי הדרכה חינמיים אשר יכולים לסייע לחנך משתמשים לגבי שמירה על האבטחה שלהם.
שירות הגנה מפני סיכונים דיגיטליים (DRP): שירותי DRP אשר כוללים ניהול של שטח התקיפה החיצוני (EASM), הגנה על המותג ומודיעין המתמקד בגורמים עוינים (ACI), חיוניים כדי לעצור את התוקפים בשלב מוקדם בפעילות שלהם.
הכותב הוא ג'ונאס ווקר, אסטרטג אבטחה ב-FortiGuard Labs, גוף המחקר של פורטינט.
