Che cosa ottieni quando incroci una dozzina di hacker criminali russi con 420.000 siti Web con una vulnerabilità di SQL injection? Ottieni 4, 5 miliardi di record utente compromessi nelle mani di quegli hacker.
Martedì, il New York Times ha riferito che Hold Security di Milwaukee, nel Wisconsin, ha scoperto un database pieno di credenziali rubate. Alex Holden, responsabile della sicurezza delle informazioni di Hold Security, ha rintracciato la fonte delle credenziali rubate a un piccolo anello di hacking di appena una dozzina di uomini di 20 anni, con sede al di fuori della Russia centro-meridionale. Ha soprannominato il gruppo "CyberVor".
Holden ha spiegato che la "banda hacker" consisteva in una squadra di giovani uomini, ognuno con il proprio ruolo: alcuni programmi di scrittura, altri che lavoravano per estrarre le credenziali dai dati. L'intero vestito funziona come un vero affare.
La banda hacker russa
Secondo Holden, CyberVor è iniziato nel 2011 come un gruppo di spammer. Il business plan era quindi quello di acquistare informazioni rubate dal mercato nero al fine di inviare e-mail spam di massa per i clienti. Nel giro di pochi anni, il team di imprenditori criminali ha costruito una bot-net: una massiccia rete di computer infettati da un virus che consente loro di essere utilizzati per inviare le esplosioni di spam.
Nel corso del tempo, il team ha utilizzato la sua bot-net per verificare quali siti Web fossero vulnerabili a un attacco di hacking di SQL injection. Una volta che un elenco di siti Web è stato compilato, il team si è quindi messo al lavoro eseguendo l'hack sul sito ed estraendo l'intero contenuto del database ivi memorizzato.
Con l'accesso al database, il gruppo è stato in grado di compilare i 4, 5 miliardi di record, che risultavano contenere un totale complessivo di 1, 2 miliardi di credenziali univoche per nome utente e password e 542 milioni di indirizzi email unici.
Cosa significa
Se pensi di poterti lasciare illeso da questa particolare minaccia alla sicurezza, ripensaci. Considerando che al momento ci sono poco meno di 3 miliardi di utenti Internet nel mondo, una violazione di 1, 2 miliardi di credenziali uniche di username e password rappresenta un successo da record da parte degli hacker criminali, e significa anche che le tue credenziali sono molto probabili a rischio.
Orla Cox, il direttore di Security Response per Symantec, ha dichiarato alla NPR che l'approccio più sicuro è quello di presumere che le proprie credenziali siano compromesse.
"Penso che tutti gli utenti di Internet debbano ritenere che siano stati influenzati da questo. Chiaramente questi non sono opportunisti, non sono hobbisti. Questi sono criminali informatici a tempo pieno che probabilmente lo hanno portato avanti per un certo numero di mesi, forse persino anni. "
Come fai a sapere se qualcuno delle tue credenziali è stato interessato? Sfortunatamente, non lo farete - non prima che Hold Security pubblichi il suo strumento online che vi permetterà di verificare se le vostre informazioni sono nel database.
Nel frattempo, Hold Security sta capitalizzando la violazione creando una suite di servizi destinati ad aiutare i proprietari di siti Web e gli utenti di Internet a gestire la minaccia da questa banda di hacker. Questi servizi includono quanto segue:
- Breach Notification Service (BNS) - Ti avvisa se il tuo sito è stato interessato da questa violazione o da qualsiasi altra violazione della sicurezza. Costo: $ 120 / anno
- Servizi di verifica e controllo delle penne: controllerà il tuo sito e troverà tutte le vulnerabilità. Nessun prezzo elencato.
- Servizio di integrità delle credenziali - Notifica se uno qualsiasi degli utenti del tuo sito web ha avuto delle credenziali compromesse. Nessun prezzo elencato.
- Servizio di monitoraggio dell'identità elettronica - Indicato per le persone che vogliono sapere se la loro identità elettronica è vulnerabile o compromessa. La pre-registrazione è disponibile, poiché il servizio è in fase di sviluppo.
Cosa dovresti fare
Ovviamente, l'approccio più economico per scrivere un assegno di Hold Security per dirti se sei stato interessato, è semplicemente cambiare tutte le tue password. Mentre questo può essere fastidioso da fare, così vicino ai piedi del fiasco Heartbleed pochi mesi fa Heartbleed - Che cosa puoi fare per rimanere al sicuro? Heartbleed: cosa puoi fare per restare al sicuro? Per saperne di più, è davvero l'unica scommessa sicura che devi proteggere i tuoi account. Il problema, naturalmente, è che non puoi farlo davvero finché non sai che i siti web che usi non sono vulnerabili a SQL Injection.
Se vuoi determinare se i siti web che utilizzi per accedere ai tuoi account sono sicuri o meno, allora avrai bisogno di un modo per sapere se sono al sicuro dagli attacchi SQL Injection - l'arma preferita per questa particolare banda di hacker russi.
Per fortuna, è abbastanza facile controllare se un sito è vulnerabile a quel particolare trucco. Tutto quello che devi fare è trovare una pagina sul sito che carichi dinamicamente dal database di back-end. Questo è abbastanza facile con un sito basato su PHP cercando URL strutturati con la query, come questo: "http://www.website.com/page.php?id=32"
Un test rapido per la vulnerabilità di SQL Injection aggiunge una virgoletta singola alla fine della riga. Se la pagina web continua a funzionare correttamente, il sito è protetto da questo attacco. Se restituisce un errore "Query SQL non riuscita", il sito è vulnerabile e si deve presupporre che i dati archiviati siano stati compromessi.
Aggiungendo un ' all'URL, stai testando se potresti aggiungere ulteriori parametri SQL per attivare un comando SQL più invasivo.
Se scopri che il sito web è sicuro, vai avanti e cambia le tue password lì. Se si nota che è ancora vulnerabile a un attacco di SQL Injection, quindi evitare di modificare le credenziali e contattare il proprietario del sito Web e informarlo della vulnerabilità.
Mentre sei a ...
Mentre stai andando in giro e modificando le tue password su tutti i siti protetti, considera le seguenti linee guida.
- La tua password è davvero unica e forte? Assicurati di dare un'occhiata ai nostri numerosi articoli con suggerimenti per la generazione di password 7 modi per creare password sicure e memorabili 7 modi per creare password sicure e memorabili Avere una password diversa per ogni servizio è un must nel mondo online di oggi, ma c'è una terribile debolezza nelle password generate a caso: è impossibile ricordarle tutte. Ma come puoi ricordare ... Per saperne di più.
- Utilizzare un gestore di password Utilizzare una strategia di gestione delle password per semplificare la vita Utilizzare una strategia di gestione delle password per semplificare la vita Gran parte dei consigli sulle password è stata quasi impossibile da seguire: utilizzare una password complessa contenente numeri, lettere e caratteri speciali; cambiarlo regolarmente; creare una password completamente unica per ogni account, ecc. Leggi di più e assicurati che la tua password sia diversa per ogni singolo sito che utilizzi. Prova a utilizzare un generatore di password 5 Generatori di password gratuiti per password quasi non accessibili 5 Generatori di password gratuiti per password quasi non accessibili Ulteriori informazioni per ciascun sito.
- Ripeto: usa una password unica per ogni sito!
Oltre alla gestione delle password, esiste un altro approccio creativo che consente di "tornare" agli hacker. Ciò implica che tutti i tuoi account online contengano informazioni false: indirizzi fasulli, numeri di telefono e indirizzi e-mail. In questo modo, ogni volta che si verifica questo tipo di violazione, puoi semplicemente deriderlo, perché tutte le informazioni di contatto personali, in particolare l'e-mail che di solito viene eliminata a scopo di spam, sono un vero disastro per l'hacker.
Ovviamente, questo approccio non funzionerebbe per un sito finanziario che di solito richiede un'identificazione confermata, ma si spera che i siti Web finanziari siano abbastanza avanti rispetto alla curva di sicurezza per essere più che sicuri da qualcosa come un hack di SQL Injection.
Alla luce delle dimensioni e della portata di questo ultimo attacco, sei preoccupato per le tue informazioni private ? Avete qualche piano per affrontarlo? Condividi i tuoi pensieri nella sezione commenti qui sotto!
Fonte: New York Times
Crediti immagine: Invisible man Via Shutterstock, kentoh / Shutterstock