Ngày mật khẩu thế giới năm 2021: Sẽ có bao nhiêu bị đánh cắp

Bởi Sam Manjarres, Secplicity.org

Bạn biết họ nói gì về mật khẩu… Bạn chỉ còn cách 1 vụ tấn công chỉ với 1 mật khẩu. Bất chấp sự tinh vi ngày càng tăng của các công nghệ và công cụ của hacker, bước dễ dàng nhất của một vụ hack vẫn là bẻ khóa mật khẩu. Trên thực tế, nó dễ dàng đến mức nhiều khi nó thậm chí không liên quan đến việc đoán. Phần đáng sợ nhất của điều này là bất kể mật khẩu của bạn an toàn đến mức nào, chỉ cần một mật khẩu yếu của một đồng nghiệp là có thể khiến toàn bộ hệ thống của công ty bạn có nguy cơ bị vi phạm.

Các số liệu thống kê này giúp giải thích lý do tại sao mật khẩu là lỗ hổng hàng đầu đối với các công ty:

• 81% tổng số vụ vi phạm sử dụng mật khẩu bị đánh cắp hoặc yếu – Báo cáo điều tra vi phạm dữ liệu năm 2020 của Verizon
• 1 triệu mật khẩu bị đánh cắp mỗi tuần – Báo động vi phạm năm 2019
• 1,3 triệu đô la là chi phí trung bình của một vụ vi phạm dữ liệu – Nghiên cứu Chi phí Vi phạm Dữ liệu năm 2017 của Viện Ponemon
• Trình kết xuất mật khẩu là một trong những phần mềm độc hại phổ biến nhất – Báo cáo điều tra vi phạm dữ liệu năm 2020 của Verizon

Và đây là những phương pháp hack mật khẩu phổ biến nhất:

Keylogger

Keylogger là phần mềm cung cấp cho tin tặc quyền truy cập vào dữ liệu cá nhân bằng cách ghi lại tất cả các lần gõ phím trên bàn phím. Mật khẩu và số thẻ tín dụng bạn nhập, các trang web bạn truy cập – tất cả đều bằng cách ghi lại các lần gõ phím của bạn.

Kỹ thuật Social Engineering

Cách tiếp cận này có một số kiểu, tất cả đều bắt nguồn từ ý tưởng lừa dối hoặc lôi kéo mọi người tiết lộ thông tin của họ hoặc thực hiện một hành động nào đó. Các phương pháp kỹ thuật xã hội phổ biến được sử dụng để ăn cắp mật khẩu bao gồm lừa đảo và sử dụng cuộc tấn công bằng trojan. Một cách tiếp cận ít phổ biến hơn là xem lén, trong đó hacker chỉ cần xem người dùng nhập mật khẩu của họ.

Tấn công từ điển (Dictionary)

Tin tặc cố gắng đoán mật khẩu bằng cách nhập vào danh sách các từ phổ biến từ “từ điển” mật khẩu. Các từ điển mật khẩu nâng cao hơn bao gồm danh sách các từ được sử dụng phổ biến nhất trong mật khẩu. Đây là một phương pháp tương đối đơn giản, nhưng hiệu quả trong việc đoán các mật khẩu ít phức tạp hơn. Nếu bạn sử dụng các từ thực trong bất kỳ mật khẩu nào của mình, thông tin đăng nhập của bạn sẽ gặp rủi ro.

Tấn công Brute Force

Mặc dù không hiệu quả bằng tấn công từ điển, nhưng một cuộc tấn công brute force sẽ hiệu quả hơn trong việc đoán mật khẩu cuối cùng. Với phương pháp này, tin tặc sử dụng các công cụ để thử liên tục mọi tổ hợp mật khẩu có thể có của các chữ cái, số và ký hiệu cho đến khi mật khẩu bị bẻ khóa. Một cách tiếp cận tương tự là một cuộc tấn công brute force ngược, trong đó một tin tặc thử một mật khẩu đối với nhiều tên người dùng.

Rainbow Attack

Phương pháp này sử dụng một tài nguyên được gọi là bảng cầu vồng để bẻ khóa các hàm băm mật khẩu (về cơ bản là xáo trộn mật khẩu được lưu trữ trong cơ sở dữ liệu hệ thống) theo cách hiệu quả và hiệu quả hơn nhiều so với các cuộc tấn công brute force hoặc từ điển.

Credential Stuffing Attack

Vì có rất nhiều người sử dụng cùng một mật khẩu hoặc các biến thể của mật khẩu trên các tài khoản, tin tặc đã tìm ra cách tự động chạy danh sách cơ sở dữ liệu gồm các tổ hợp tên người dùng / mật khẩu bị vi phạm chống lại thông tin đăng nhập trang web mục tiêu. Theo Shape Security, 90% nỗ lực đăng nhập vào các nhà bán lẻ trực tuyến là từ kiểu tấn công này và phương pháp này có hiệu quả với tin tặc tốn khoảng 3% thời gian.

Vì vậy, để kỷ niệm Ngày Mật khẩu Thế giới, chúng tôi có thể đề xuất bạn xem những cách thông minh hơn để bảo vệ thông tin đăng nhập của người dùng? Xác thực đa yếu tố (MFA) phải là bước đầu tiên để kích hoạt tính năng bảo vệ xác thực cho người dùng. Nó thêm một lớp bảo mật cho các thông tin đăng nhập ngoài tên người dùng và mật khẩu đơn giản và giúp đảm bảo rằng tin tặc không thể truy cập vào hệ thống của bạn ngay cả khi một trong những mật khẩu của nhân viên của bạn bị xâm phạm.

Tự hỏi liệu thông tin đăng nhập email của nhân viên có bị lộ trên dark web không? Tìm kiếm miền công ty của bạn ở đây để tìm hiểu.

Giải pháp tường lửa thông minh của WatchGuard được xây dựng theo cấu trúc đa lớp, phân tầng kết hợp trí thông minh nhân tạo và máy học giúp kiểm soát và ngăn chặn tối đa các tác nhân gây hại cho hệ thống mạng một cách tự động. Kết hợp phiên bản end-point Panda Adaptive Defense 360 bảo vệ máy tính người dùng khõi các phần mềm độc hại gia tăng thêm khả năng chống chọi với các mối đe dọa ngày càng tăng.

Hơn nữa, tích hợp các công nghệ bảo mật hàng đầu trong một giải pháp duy nhất mang lại sự trải nghiệm tối ưu về mặt sử dụng và chi phí đầu tư.

Hỗ trợ các nền tảng từ phần cứng, ảo hóa đến cloud mang lại sự linh hoạt cho nhiều loại hình dịch vụ.

Nền tảng xác thực đa lớp MFA thông qua mobile là một bước tiến nổi bật của WatchGuard không chỉ giúp đảm bảo an toàn cho tài khoản người dùng khi sử dụng dịch vụ cloud, đăng nhập máy tính, kết nối VPN và nhiều dịch vụ khác.

Nhà phân phối giải pháp Firewall WatchGuard:

ITMAP ASIA JSC

555 Trần Hưng Đạo, P. Cầu Kho, Q.1, TP.HCM

Website: www.itmapasia.com | www.watchguard.itmapasia.com

Email: [email protected]

Đt: 028 5404 0717 – 5404 0799

2021 World Password Day: How Many Will Be Stolen This Year?

By Sam Manjarres, Secplicity.org

You know what they say about passwords… You’re only one weak password away from a breach. Despite the increasing sophistication of hacker technologies and tools, the easiest step of a hack is still cracking the password. In fact, it’s so easy that many times it doesn’t even involve guessing at all. The scariest part about this is that regardless of how secure your password is, all it takes is one colleague’s weak password to put your company’s entire system at risk for a breach.

These stats help explain why passwords are a top vulnerability for companies:

• 81% of the total number of breaches leveraged stolen or weak passwords – 2020 Verizon Data Breach Investigations Report
• 1 million passwords are stolen every week – 2019 Breach Alarm
• $1.3 million is the average cost of a data breach – 2017 Ponemon Institute Cost of Data Breach Study
• Password dumper is one of the most common malwares – 2020 Verizon Data Breach Investigations Report

And these are the most common password hacking methods:

Keyloggers

Keyloggers are software programs that give hackers access to personal data by recording all the keyboard keystrokes. The passwords and credit card numbers you type, the web pages you visit – all by logging your keystrokes.

Social Engineering

This approach comes in a number of styles, all of which are rooted in the idea of deceiving or manipulating people into divulging their information or taking a certain action. Common social engineering methods used to steal passwords include phishing and using a trojan horse attack. A less common approach is shoulder surfing, in which the hacker simply watches a user type in his or her password.

Dictionary Attack

Hackers try to guess a password by typing in a common list of words from a password “dictionary.” More advanced password dictionaries include lists of the most commonly used words in passwords. This is a relatively simple method, but one that is effective in guessing less-complex passwords. If you use real words in any of your passwords, your credentials are at risk.

Brute Force Attack

While not as efficient as a dictionary attack, a brute force attack is more effective in eventually guessing a password. With this method, hackers use tools to repeatedly try every possible password combination of letters, numbers, and symbols until the password is cracked. A similar approach is a reverse brute force attack, in which a hacker tries one password against many usernames.

Rainbow Attack

This method uses a resource called a rainbow table to crack password hashes (essentially scrambled up passwords stored in system databases) in a much more efficient and effective way than brute force or dictionary attacks.

Credential Stuffing Attack

Since so many people use the same passwords or variations of passwords across accounts, hackers found a way to automatically run database lists of breached username/password combinations against a target website login. According to Shape Security, 90% of login attempts at online retailers are from this type of attack and this method is effective for hackers about 3% of the time.

So, to celebrate World Password Day, may we suggest you look at smarter ways to protect user credentials? Multi-factor authentication (MFA) should be the first step into enabling authentication defense for users. It adds a security layer to logins beyond just a simple username and password and it helps ensure that hackers cannot access your systems even if one of your employee’s passwords becomes compromised.

Wondering if employee email credentials have been exposed to the dark web? Search your company domain here to find out.

#firewall #wifi #sophos #juniper #meraki #fortinet #mfa #pandasecurity #securewifi #ddos #cisco #MFA #authentication