Por que o vazamento de dados de usuário do Facebook é tão perigoso e como descobrir se sua conta foi roubada

Índice:

Por que o vazamento de dados de usuário do Facebook é tão perigoso e como descobrir se sua conta foi roubada
Por que o vazamento de dados de usuário do Facebook é tão perigoso e como descobrir se sua conta foi roubada
Anonim

Nas últimas semanas, a Internet mais uma vez esteve repleta de relatos de vazamentos de dados pessoais, e desta vez é mais massivo do que nunca: o Facebook foi incapaz de proteger mais de meio bilhão de seus usuários de intrusos. E embora muitos já estejam acostumados com tais problemas, na verdade, eles são muito mais sérios do que parecem. Diremos a você como verificar a presença de seus dados nos bancos de dados dos hackers e o que fazer se eles forem encontrados lá.

Por que o vazamento de dados de usuários do Facebook é tão perigoso e como descobrir se sua conta foi roubada
Por que o vazamento de dados de usuários do Facebook é tão perigoso e como descobrir se sua conta foi roubada

Por outro lado, nada impede que um fraudador faça o mesmo portal e simplesmente colete credenciais para posterior seleção de senhas. Afinal, os usuários verificarão se há vazamentos exatamente nos endereços de e-mail que serão usados para registro em vários portais. Bem, o golpe usual não deve ser descartado: exibição de publicidade durante uma "verificação" fictícia do login em certas "bases". No entanto, existem recursos nos quais a confiança é bastante elevada.

Um dos mais famosos - eu fui pwned? ("Eles me foderam?"). Este site foi verificado repetidamente por conscienciosidade pelos principais especialistas em segurança cibernética e não foi criado pela última pessoa nesta área. O portal possui informações detalhadas sobre todas as bases de dados utilizadas, incluindo a qualidade de cada uma (confiabilidade, relevância) e tipos de dados (logins, senhas, números de telefone, nomes, idade, etc.) nas mesmas. Além disso, o recurso contém informações detalhadas sobre os princípios básicos de segurança na Internet e as primeiras etapas que devem ser tomadas se houver vazamento de dados pessoais para a Internet. Há apenas uma desvantagem: não há idioma russo (mas ele lida perfeitamente com os vazamentos de Runet).

Para utilizá-lo, basta digitar na página principal da caixa de pesquisa o e-mail que você teme. Após alguns segundos (o tempo depende da carga no servidor), aparecerá uma resposta contendo o número total de bancos de dados onde o endereço inserido foi encontrado, as datas desses vazamentos e o que foi roubado deles. Surpresas: o correio que praticamente não é utilizado pode acabar em vários desses arquivos.

Por que o vazamento de dados de usuário do Facebook é tão perigoso e como descobrir se sua conta foi roubada
Por que o vazamento de dados de usuário do Facebook é tão perigoso e como descobrir se sua conta foi roubada

Por que é mesmo perigoso

Um leitor cético pode dizer: “Bem, me vi em um vazamento, e daí? Minha conta no Facebook ou VK não foi a lugar nenhum, ninguém sequestrou meu e-mail e, em geral, tudo isso é escrito com um forcado na água. " Em certo sentido, esse raciocínio é justo, o princípio “se ninguém precisa de você, ninguém vai procurar por você” funciona perfeitamente. Na maioria dos casos.

Em primeiro lugar, vamos delinear o quadro geral. A maioria desses bancos de dados não são apenas tabelas com pares de senha de login. Esses são conjuntos de perfis completos de pessoas reais, ou melhor, moldes de suas "personalidades da Internet". Eles contêm não apenas dados para autenticação, mas também uma grande quantidade de dados pessoais: sexo, idade, nome, número de telefone, geolocalização com vários graus de precisão. E também pode haver impressões digitais puramente técnicas, como navegador preferido, resolução de tela, sistema operacional, endereço IP, IDs de dispositivo de hardware e um monte de rótulos específicos para vários serviços.

Com essas informações detalhadas, mesmo dispersas, é fácil combinar bancos de dados em arquivos completos. Rastreie pessoas, mesmo que elas mudem alguns hábitos ou "mudem" completamente para outras redes sociais. Aplicado a cada pessoa específica, isso parece um tanto rebuscado, mas eis uma pergunta interessante: qual é a garantia de que a importância da sua personalidade (para qualquer pessoa) não crescerá acentuadamente no futuro?

Você pode ganhar inesperadamente na loteria, obter uma herança ou apenas ganhar dinheiro com um carro ou apartamento novo e caro. É banal - inadvertidamente irritar alguém vingativo. Existem muitas razões para "cavar" o "homenzinho", e ninguém está imune a elas. Graças a esses bancos de dados de sombra com vazamentos, torna-se muito fácil para um invasor encontrar pontos problemáticos. Em alguns casos, o orçamento para a criação de um perfil detalhado para uma finalidade específica não excede 20-50 mil rublos completamente razoáveis.

É relativamente fácil proteger-se de fraudes não personalizadas: não dê a ninguém o número do cartão ou o seu código CVC, não responda números desconhecidos - mas o que está aí, basta ter sempre cuidado. Quando um criminoso conhece quase todos os hábitos da vítima, tem acesso às suas contas e pode calcular rotas de movimento, o escopo para travessuras torna-se verdadeiramente ilimitado. Obviamente, não há cem por cento de proteção, mas é sempre bom reduzir as chances de sucesso de um invasor.

Finalmente, mesmo sem esses cenários apocalípticos, ninguém está seguro do fato de que, anos após o vazamento, alguns hackers não precisarão de outra porção de contas de mídia social de aparência realista. Para manipular a opinião pública antes das eleições ou desacreditar a política social de alguém, por exemplo. Eles não hackearão perfis aleatórios, mas examinarão os bancos de dados coletados há muito tempo. E se uma determinada pessoa ainda não foi "usada", ela tem todas as chances de ser incluída na nova amostra.

Além disso, o processo é automatizado e bastante simples para um especialista especializado. Primeiro, as credenciais já conhecidas são verificadas - de repente, uma pessoa não muda a senha há anos. Se isso falhar, as alterações conhecidas na palavra secreta necessária para a entrada são analisadas. Sim, as pessoas, infelizmente, são criaturas preguiçosas e muito previsíveis. Raramente mudamos as senhas completamente, normalmente apenas adicionamos um caractere, reorganizamos as letras ou usamos uma caixa diferente. Isso significa que, olhando o que uma pessoa fez com suas senhas, se elas estão em outros bancos de dados, pode-se prever a existente. Por fim, mesmo sem essa informação, dada a fraca variabilidade da palavra secreta, sua seleção se limita nem mesmo a milhares ou centenas de opções, mas literalmente a algumas.

O que devo fazer?

Infelizmente, a Rússia não possui ferramentas tão poderosas para influenciar a legislação como na Europa ou nos Estados Unidos. Portanto, temos poucas oportunidades de acelerar o próximo endurecimento das "leis da Internet", como o GDPR e o CCPA. Para ser justo, mesmo na terra natal desses documentos, há sérios problemas com sua implementação, e mais dois desses artigos podem ser escritos sobre tentativas de responsabilizar corporações de TI desordenadas pela não execução. Portanto, resta ser guiado pelo bom e velho princípio "a salvação do afogamento é obra do próprio afogamento".

A primeira coisa a fazer é alterar todas as senhas. Sim, todos, porque se não mudarem há mais de um ano, as chances de ficarem comprometidos são grandes. Mesmo se eu tiver sido pwned? afirma que os vazamentos não contêm as credenciais necessárias. Afinal, os especialistas em segurança cibernética encontram longe de todos esses tesouros darknet, muitos deles simplesmente não são negociados em fóruns especializados, mas estão armazenados nos depósitos do grupo de hackers que os roubou. E para o futuro - estabeleça uma regra para alterar as senhas a cada poucos meses. No início você terá que trabalhar muito, mas será capaz de colocar as coisas em ordem na sua “personalidade da Internet”.

Esse, aliás, é o ponto mais importante da segurança cibernética: manter todas as credenciais em um local seguro, onde o proprietário possa gerenciá-las rapidamente. Parece contra-intuitivo, pois é como colocar todos os ovos em uma cesta. No entanto, ao hackear, um cibercriminoso espera que a vítima não tenha essa base própria.

Ou seja, o dono da conta hackeada vai passar muito tempo procurando um email de backup para recuperação de senha, tentativas de entrar nele, lembre-se da resposta à pergunta secreta e outras medidas de segurança bastante óbvias, mas não menos irritantes. Demora alguns minutos para drenar todos os e-mails do e-mail, enviar spam para amigos nas redes sociais, colocar curtidas no conteúdo direcionado ou deletar um perfil para que a vítima fique completamente ausente da Web por algum tempo.

Para o armazenamento confiável de todas as credenciais, os gerenciadores de senhas foram inventados há muito tempo. Esses são aplicativos úteis que, quando usados corretamente, aumentam drasticamente a segurança. Não recomendaremos soluções específicas, para não ofender os fãs de programas concorrentes e não ser acusados de publicidade. Mas aqui estão alguns critérios de seleção críticos:

  • Código aberto. Esses aplicativos estão sempre sob a mira de especialistas em segurança cibernética, portanto, uma solução de código aberto supera uma solução proprietária - é simplesmente mais fácil verificar se há falhas;
  • Pago é melhor do que grátis. À primeira vista, uma contradição com o primeiro ponto, mas nem sempre é o caso. Primeiro, uma solução de código aberto pode não funcionar e você terá que escolher mais. Em segundo lugar, alguns desenvolvedores de produtos proprietários fornecem seu código para revisão a especialistas terceirizados. E o motivo pelo qual você nunca deve escolher uma solução gratuita de código fechado é simples e semelhante a VPNs e proxies. A probabilidade de que tenha sido desenvolvido com puro entusiasmo é sempre menor do que o fato de seus criadores ganharem dinheiro com os usuários de forma oculta (explorando seus dados). Com uma solução de código aberto, você pode pelo menos verificar isso;
  • Falta de serviços de rede. A troca de dados é o ponto mais fraco de qualquer sistema, se quisermos segurança, ela terá que ser eliminada;
  • Plug-ins de navegador e outras amenidades são desencorajados. Sim, eles tornam a vida muito mais fácil, mas são sempre partes separadas de código que funcionam em diferentes áreas da memória e passam credenciais entre aplicativos. Os medos são os mesmos da troca de dados na web, só que a escala é um pouco menor, já que tudo acontece em um computador;
  • Nenhuma solução integrada em navegadores ou produtos de terceiros. Por mais atraentes que pareçam, essas "funções de segurança" dependem direta ou indiretamente da confiabilidade de todo o pacote de software do qual fazem parte. Principalmente se forem aplicativos desenvolvidos por empresas que exploram os dados pessoais dos usuários para fins publicitários;
  • Possibilidade de autenticação de dois fatores. Esta é uma ferramenta de segurança poderosa: um gerenciador de senhas fornecerá acesso ao seu banco de dados apenas se for "mostrada" uma chave de hardware na forma de uma unidade flash USB ou um leitor de impressão digital (ou dois em um) ao mesmo tempo como inserir a senha mestra. Algumas aplicações permitem a criação de um arquivo secreto disfarçado de outro, cuja localização apenas o dono da base de dados conhece. Esta última não é a melhor opção, mas é sempre mais confiável do que uma senha.

Com um gerenciador de credenciais, a vida na web é um pouco complicada, mas a segurança aumentou radicalmente. Apenas uma senha é mais fácil de lembrar e, muitas vezes, também é fácil alterá-la. E o programa monitorará as mudanças regulares de senhas em todos os serviços de Internet. Além disso, ele sempre gerará combinações de caracteres verdadeiramente confiáveis e imprevisíveis. Mas nunca devemos esquecer que o nível principal de segurança nem sempre está na Internet ou no computador, mas olha para a tela e lê essas linhas agora.

Popular pelo tópico