ปัญหาเกี่ยวกับระบบการพิสูจน์ตัวตน
เศรษฐกิจออนไลน์ขึ้นอยู่กับชื่อผู้ใช้และรหัสผ่าน พวกเขา
ไม่น่าแปลกใจที่ธนาคารและดิจิทัลอื่น ๆบริการต่างๆได้พัฒนาระบบการพิสูจน์ตัวตนที่ซับซ้อนมากขึ้นซึ่งทำมากกว่าการพึ่งพาผู้ใช้ที่รู้รหัสผ่าน ตัวอย่างเช่นบุคคลหนึ่งมี eToken เป็นของตัวเอง
eToken (จากภาษาอังกฤษอิเล็กทรอนิกส์ - อิเล็กทรอนิกส์และภาษาอังกฤษโทเค็น - ลงชื่อโทเค็น) - เครื่องมือตรวจสอบความถูกต้องส่วนบุคคลในรูปแบบของคีย์ USB และสมาร์ทการ์ดรวมถึงโซลูชันซอฟต์แวร์ที่ใช้ โทเค็นดังกล่าวขายในรัสเซียด้วย
กระบวนการที่ผู้ใช้มีและรหัสผ่านและโทเค็นส่วนบุคคล เรียกว่าการรับรองความถูกต้องแบบหลายปัจจัย (MFA) ใช่ มันจำกัดความเป็นไปได้ของอาชญากรรมไซเบอร์อย่างมาก แต่ก็มีข้อเสียเช่นกัน เนื่องจากเกี่ยวข้องกับความยุ่งยากมากมาย ผู้ใช้จำนวนมากจึงไม่เต็มใจที่จะลงทะเบียนโทเค็น ซึ่งหมายความว่ามีคนใช้โทเค็นน้อยคน
มีทางเลือกอื่นไหม
เพื่อแก้ปัญหานี้เมื่อเร็ว ๆ นี้ระบบยืนยันตัวตนทางเลือกได้รับความนิยมในบริการต่างๆเช่น Amazon, Facebook, Google และ PayPal ระบบนี้เรียกว่า Risk Based Authentication (RBA) จะตรวจสอบลายนิ้วมือของผู้ใช้เพื่อยืนยันข้อมูลประจำตัวของผู้อื่น ซึ่งอาจรวมถึงข้อมูลทางเทคนิคพื้นฐานเช่นประเภทของเบราว์เซอร์หรือระบบปฏิบัติการตลอดจนพฤติกรรมของผู้ใช้ มันเกี่ยวกับการเคลื่อนไหวของเมาส์ตำแหน่งของมันและแม้แต่ความเร็วในการกดปุ่ม หากลายนิ้วมือตรงกับสิ่งที่ผู้ใช้คาดหวังตามพฤติกรรมก่อนหน้านี้เขาจะได้รับอนุญาตให้เข้าสู่ระบบได้ทันทีโดยใช้เพียงชื่อผู้ใช้และรหัสผ่าน มิฉะนั้นจะต้องมีการรับรองความถูกต้องเพิ่มเติมด้วยโทเค็น
แน่นอนว่าอาชญากรไซเบอร์เกิดขึ้นอย่างรวดเร็ววิธีหลีกเลี่ยง RBA โดยการพัฒนาชุดฟิชชิ่งที่มีลายนิ้วมือด้วย อย่างไรก็ตามพวกเขาพบว่าเป็นการยากที่จะเปลี่ยนให้เป็นธุรกิจที่มีประสิทธิภาพและทำกำไรได้ เหตุผลประการหนึ่งคือโปรไฟล์ผู้ใช้เหล่านี้มีการเปลี่ยนแปลงตลอดเวลาและขึ้นอยู่กับบริการและจำเป็นต้องรวบรวมผ่านการโจมตีแบบฟิชชิงเพิ่มเติม
สวมรอยเป็นบุคคลอื่นในฐานะบริการ
ล่าสุดนักวิทยาศาสตร์จากมหาวิทยาลัยเทคโนโลยีEindhoven พบหลักฐานของตลาดขนาดใหญ่และมีความซับซ้อนสูงซึ่งดูเหมือนว่าจะเอาชนะข้อจำกัดเหล่านี้ได้ ตลาดที่ตั้งอยู่ในรัสเซียนำเสนอโปรไฟล์ผู้ใช้โดยละเอียดมากกว่า 260,000 โปรไฟล์พร้อมกับข้อมูลประจำตัวอื่น ๆ เช่นที่อยู่อีเมลและรหัสผ่าน
“ความเป็นเอกลักษณ์ของเว็บไซต์ใต้ดินนี้ไม่เพียงแต่ขนาดของโปรไฟล์เท่านั้น แต่ยังรวมถึงโปรไฟล์ทั้งหมดที่ได้รับการอัปเดตอย่างต่อเนื่อง ซึ่งหมายความว่าโปรไฟล์เหล่านั้นยังคงคุณค่าไว้” Luca Allodi นักวิจัยในกลุ่มความปลอดภัยของคณะคณิตศาสตร์และวิทยาการคอมพิวเตอร์ ผู้ซึ่งร่วมกับปริญญาเอกอธิบาย . นักเรียน Michele Campobasso รับผิดชอบการวิจัย
ลูกค้าสามารถค้นหาฐานข้อมูลเพื่อเลือกผู้ใช้อินเทอร์เน็ตที่ต้องการกำหนดเป้าหมาย ซึ่งช่วยให้สามารถโจมตีแบบฟิชชิงแบบกำหนดเป้าหมายที่เป็นอันตรายได้ อย่างไรก็ตามผู้ซื้อในตลาดมืดนี้จะได้รับซอฟต์แวร์ที่ดาวน์โหลดโปรไฟล์ผู้ใช้ที่ซื้อไปยังเว็บไซต์เป้าหมายโดยอัตโนมัติ
ลูกา อัลโลดี นักวิจัยของ T U/e
เครดิต: มหาวิทยาลัยเทคโนโลยี Eindhoven
เพื่อเน้นย้ำถึงธรรมชาติที่เป็นระบบเว็บไซต์ Allodi และ Campobasso เป็นผู้บัญญัติศัพท์คำว่า การแอบอ้างเป็นบริการ (IMPaaS) ซึ่งสะท้อนถึงบริการคอมพิวเตอร์คลาวด์ที่มีชื่อเสียง เช่น SaaS (ซอฟต์แวร์เป็นบริการ) และ IaaS (โครงสร้างพื้นฐานเป็นบริการ)
"เท่าที่เราทราบนี่เป็นตลาดอาชญากรที่ใหญ่ที่สุดและซับซ้อนที่สุดซึ่งมีการนำเสนอบริการเหล่านี้อย่างเป็นระบบ"
การวิจัยตลาดไม่ใช่เรื่องง่ายพวกเขาเน้นย้ำนักวิจัย ในการเข้าถึงรายการโปรไฟล์ผู้ใช้ที่มีอยู่นักวิจัยต้องได้รับรหัสเชิญพิเศษที่ผู้ใช้ปัจจุบันใช้ การรวบรวมข้อมูลก็ทำได้ยากเช่นกันผู้ให้บริการแพลตฟอร์มติดตามบัญชีที่ "หลอกลวง" นักวิจัยยังตัดสินใจที่จะเก็บชื่อจริงของไซต์ไว้เป็นความลับเพื่อลดความเสี่ยงในการถูกตอบโต้จากผู้ประกอบการในตลาด
ราคาของ “บุคลิกภาพเสมือน”
ราคาของ "ข้อมูลประจำตัวเสมือน" ของผู้ใช้ชั้นการซื้อขายมีตั้งแต่ $ 1 ถึงประมาณ $ 100 การเข้าถึงโปรไฟล์ cryptocurrency และแพลตฟอร์มการโอนเงินทางอิเล็กทรอนิกส์ดูเหมือนจะมีค่ามากที่สุด “ การมีโปรไฟล์ cryptocurrency อย่างน้อยหนึ่งโปรไฟล์ก็จะเพิ่มขึ้นเป็นสองเท่าของโปรไฟล์โดยเฉลี่ย” Allodi กล่าว
ปัจจัยสำคัญอีกประการหนึ่งที่ทำให้ราคาเพิ่มขึ้นคือ...นี่คือความมั่งคั่งของประเทศที่ผู้ใช้อาศัยอยู่ “สิ่งนี้สมเหตุสมผล: ผู้โจมตีที่ต้องการแอบอ้างและสร้างรายได้จากโปรไฟล์ผู้ใช้จะให้ความสำคัญกับโปรไฟล์ที่สามารถสร้างผลประโยชน์ทางการเงินได้มากขึ้น และส่วนใหญ่มักพบในประเทศที่พัฒนาแล้ว”— Campobasso กล่าว
โปรไฟล์ผู้ใช้ยังมีมูลค่าสูงซึ่งให้การเข้าถึงบริการมากกว่าหนึ่งบริการและโปรไฟล์ที่มีลายนิ้วมือ "จริง" ซึ่งตรงข้ามกับลายนิ้วมือที่ "สังเคราะห์" โดยแพลตฟอร์ม
การใช้โปรไฟล์
ในบทความของพวกเขานักวิจัยยังอธิบายตัวอย่างบางส่วนของวิธีที่อาชญากร "แขน" โปรไฟล์เหล่านี้ซึ่งพบในช่อง Telegram ลับที่ลูกค้าของแพลตฟอร์มใช้ ในการโจมตีที่รู้จักกันผู้โจมตีจะอธิบายวิธีกำหนดค่าตัวกรองสำหรับกล่องจดหมายอีเมลของเหยื่อ เป้าหมายคือซ่อนการแจ้งเตือนจาก Amazon ที่เกี่ยวข้องกับการซื้อของผู้โจมตีโดยใช้บัญชีแพลตฟอร์มของเหยื่อ
ผลของการซื้อขาย "ข้อมูลประจำตัวดิจิทัล"
อย่างไรก็ตามตลาดที่คล้ายคลึงกันไม่ได้มีอยู่ในรัสเซียเท่านั้น
IntSights บริษัท ในนิวยอร์กThreat Intelligence มุ่งเป้าไปที่การเพิ่มขีดความสามารถให้ธุรกิจต่างๆในการ“ ป้องกันล่วงหน้า” ได้ประกาศในวันนี้ว่าจะเปิดตัวรายงานล่าสุดของ บริษัท Digital Browser Identification: ผลิตภัณฑ์ใหม่ที่ร้อนแรงที่สุดในตลาดมืด
รายงานระบุว่า “การเกิดขึ้นของตลาดGenesis ในเดือนพฤศจิกายน 2018 ดึงดูดความสนใจไปที่บริการ "ข้อมูลประจำตัวดิจิทัล" รูปแบบใหม่ ตลาดมืดประเภทนี้นำเสนอลายนิ้วมือที่สมบูรณ์ของเว็บเบราว์เซอร์ของผู้ใช้และคุณลักษณะของคอมพิวเตอร์ ทำให้ผู้โจมตีสามารถปลอมตัวเป็นเหยื่อได้เกือบจะไม่มีที่ติ “สิ่งนี้ทำให้ผู้ซื้อข้อมูลประจำตัวดิจิทัลสามารถเข้าถึงเว็บไซต์ในฐานะผู้ใช้รายอื่นและเลี่ยงบริการป้องกันข้อมูลประจำตัวขั้นสูง” การศึกษาระบุว่าซึ่งรวมถึงการเข้าถึงบัญชีอีเมล (เช่น Google, Yahoo, Microsoft) โปรไฟล์โซเชียลมีเดีย (เช่น Facebook, Twitter, LinkedIn) บัญชีธนาคารและบัตรเครดิต (รวมถึง PayPal) เว็บไซต์ค้าปลีกและอีคอมเมิร์ซ (เช่น eBay , Amazon, Best Buy), บริการเพลง (Spotify), แอพเคลื่อนที่ (Uber), บริการของรัฐบาล และแม้แต่หน้าเข้าสู่ระบบภายใน
“คิดว่ามันเป็นดิจิทัล“การจดจำใบหน้า แต่แทนที่จะสแกนใบหน้าเพื่อยืนยันตัวตนของคุณ พวกเขาใช้คุณสมบัติของอุปกรณ์ของคุณเพื่อท่องเว็บ” ผู้เขียนรายงานแนะนำ ผลกระทบนี้ช่างน่ากลัว เนื่องจากทำให้ทุกคนสามารถบุกรุกและเลียนแบบข้อมูลประจำตัวออนไลน์ของผู้ใช้ได้ เนื่องจากผู้ใช้มักจะจัดเก็บข้อมูลประจำตัวของตนไว้ในเบราว์เซอร์ แม้กระทั่งเว็บไซต์ทางการเงินและที่ทำงาน เพื่อความสะดวก
“การใช้กลยุทธ์ปลอมตัวเหล่านี้เกิดขึ้นนอกเหนือจากการฉ้อโกงและอาชญากรรมทางการเงิน แฮกเกอร์อาจกำหนดเป้าหมายไปที่บริษัทใดบริษัทหนึ่งโดยมองหาพนักงานของตน คนใคร่เด็กอาจกำหนดเป้าหมายและแอบอ้างเป็นเด็กโดยการค้นหาเหยื่อที่เยี่ยมชมเว็บไซต์สำหรับเด็กที่รู้จัก และหน่วยข่าวกรองสามารถค้นหาเจ้าหน้าที่ของรัฐต่างๆ ตามหน้าเข้าสู่ระบบภายในของพวกเขา”
IntSights ยังตั้งข้อสังเกตอีกว่า Richlogs ใหม่ผู้แข่งขันของ Genesis ได้เข้าร่วมการจัดอันดับแพลตฟอร์มการซื้อขายมืดชั้นนำ “เช่นเดียวกับตลาด Genesis Richlogs รวบรวมและขาย” ลายนิ้วมือดิจิตอลของอุปกรณ์ท่องเว็บที่ถูกขโมย (เช่น ที่อยู่ IP ข้อมูลระบบปฏิบัติการ โซนเวลา พฤติกรรมของผู้ใช้) ไซต์เหล่านี้อนุญาตให้ผู้ซื้อปลอมตัวเป็นผู้ใช้ออนไลน์ที่ถูกต้องตามกฎหมาย และหลีกเลี่ยงโปรโตคอลความปลอดภัยมาตรฐานโดยเสนอการเข้าถึงข้อมูลรับรองเต็มรูปแบบไปยังไซต์ใดๆ ที่ถูกจัดเก็บไว้ในเบราว์เซอร์ของเหยื่อ"
Ariel Einhoren หัวหน้าฝ่ายวิจัยIntSights เน้น:“ ระดับของการบุกรุกเข้าไปในชีวิตของเหยื่อจากข้อมูลประจำตัวดิจิทัลเป็นเรื่องที่น่าตกใจ ไม่ใช่แค่บัตรเครดิตบัญชีธนาคารหรือข้อมูลส่วนบุคคลเท่านั้นที่เสี่ยง ข้อมูลประจำตัวดิจิทัลช่วยให้อาชญากรไซเบอร์สามารถสกัดกั้นข้อมูลประจำตัวของบุคคลอื่นบนอินเทอร์เน็ตได้เกือบทั้งหมด ซึ่งรวมทุกอย่างตั้งแต่ค่าใช้จ่ายในการดูไปจนถึงการติดตามเส้นทางการเดินทางประจำวันและการดูข้อมูลภาษี” เธอเสริมว่ายิ่งรอยเท้าดิจิทัลของเหยื่อมีขนาดใหญ่เท่าใดผู้โจมตีก็สามารถปลอมตัวเป็นเธอได้มากขึ้นเท่านั้น "รหัสดิจิทัลที่ขายใน Richlogs และ Genesis นำเสนอลายนิ้วมือดิจิทัลที่สมบูรณ์ของบุคคลบนจานซึ่งมอบโอกาสที่ไม่มีที่สิ้นสุดสำหรับการฉ้อโกงการฉ้อโกงการโจรกรรมและการเข้าถึงความเป็นส่วนตัวของเหยื่อ"
คุณป้องกันตัวเองอย่างไร?
IntSights ให้คำแนะนำเพื่อช่วยปกป้ององค์กรของคุณจากการฉ้อโกงข้อมูลประจำตัวดิจิทัล:
- ตรวจสอบตลาดข้อมูลประจำตัวดิจิทัลอย่างต่อเนื่องการมองเห็นและการรับรู้เป็นกุญแจสำคัญในการทำงานเชิงรุกการป้องกัน. "การตรวจสอบตลาดเหล่านี้สามารถช่วยให้คุณระบุตัวบุคคลที่ถูกบุกรุกได้ในระยะเริ่มต้น (เช่นในหน้าการเข้าสู่ระบบภายในหน้าใดหน้าหนึ่งของคุณ) เพื่อให้คุณสามารถติดตามการเข้าชมหน้านั้นได้อย่างใกล้ชิดมากขึ้นและ / หรือปรับปรุงวิธีการยืนยันเมื่อผู้ใช้เข้าสู่ระบบ"
- เปิดใช้งานการรับรองความถูกต้องด้วยสองปัจจัย"ขอตัวแปรที่สอง (หรือแม้แต่สาม) สำหรับการตรวจสอบผู้ใช้ทำให้แฮกเกอร์แฮ็กบัญชีได้ยากขึ้น ซึ่งอาจรวมถึงการยืนยันทางมือถือหรือการให้คำตอบสำหรับคำถามเพื่อความปลอดภัยเพิ่มเติมซึ่งมีเพียงลูกค้าหรือพนักงานเท่านั้นที่จะรู้ "
- อัปเดตโปรโตคอลการพิมพ์ลายนิ้วมืออย่างสม่ำเสมอหาก บริษัท ของคุณใช้งานพิมพ์ดิจิทัลนิ้วเพื่อยืนยันไคลเอนต์หรือผู้ใช้อัปเดตโปรโตคอลเหล่านี้เป็นประจำและเพิ่มจุดตรวจสอบสิทธิ์เพิ่มเติมเพื่อให้ทันกับการอัปเดตเวอร์ชันขโมย
- ล้างคุกกี้และประวัติการเข้าชมของคุณอย่างสม่ำเสมอ"การล้างคุกกี้และประวัติการเข้าชมจำกัด ขอบเขตของ "ประวัติดิจิทัล" ของคุณดังนั้นจึงไม่ทำให้เว็บไซต์และ / หรือโปรไฟล์เพิ่มเติมตกอยู่ในความเสี่ยงหากอุปกรณ์ของคุณติดไวรัส "
- เปลี่ยนรหัสผ่านเป็นประจำนี่เป็นแนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยทางไซเบอร์เสมอ และแน่นอนว่าสิ่งนี้สามารถนำไปใช้ได้ที่นี่เช่นกัน การเปลี่ยนรหัสผ่านและการป้องกันการใช้รหัสผ่านซ้ำสามารถลดความเสี่ยงของการแฮ็กได้อย่างมาก
อ่านยัง
ภารกิจประจำปีในอาร์กติกสิ้นสุดลงแล้วและข้อมูลน่าผิดหวัง อะไรรอมนุษยชาติอยู่?
ดูภาพที่ใกล้ที่สุดของพื้นผิวดวงอาทิตย์
Coronaviruses ได้เรียนรู้ที่จะเลียนแบบโปรตีนภูมิคุ้มกันของมนุษย์และหลอกลวงร่างกาย