Google objevil 760 935 kompromitovaných webů v roce 2015. O rok později ještě více

Varování v Google Webmaster Tools (nyní Google Search Console) se navíc ukazují jako užitečné k odstraňování napadení. Ale nejenom, vice například v K čemu je dobré používat Google Search Console. A jak tam přidat blog na WordPress.com a proč to vlastně chtít

Continue reading „Google objevil 760 935 kompromitovaných webů v roce 2015. O rok později ještě více“

15 nejúspěšnějších etických hackerů na světě (infografika)

15 nejúspěšnějších etických hackerů na světě vám představí white-hat hackery, kteří když už se věnuji hackingu, tak proto aby pomohli. Via The 15 Most Successful Ethical Hackers In The World a pokud si chcete něco přečíst o hackerech, tak viz Co, kdo je to hacker? A kdo není hacker?

Continue reading „15 nejúspěšnějších etických hackerů na světě (infografika)“

Objevuje se ve vašich tweetech odkaz ln.is? Máte napadený účet a ohrožujete další lidi

Linkis se tváří jako užitečná služba, na kterou se lidé snadno nechají nachytat. Tvrdí něco o brandingu odkazů, ale skutečnost je ta, že jde o velmi agresivní záležitost, která při sdílení odkazů na váš Twitter odkazy prohání skrz jejich vlastní ln.is „zkracovač“. Ten ale vedle zkracování dělá to, že zabaluje cizí obsah do vlastní stránky, přidává horní pruh a snaží se ovládnout účty těch, kdo přes váš odkaz kliknou.

Continue reading „Objevuje se ve vašich tweetech odkaz ln.is? Máte napadený účet a ohrožujete další lidi“

10 způsobů jak hackeři mohou hacknout váš účet na Facebooku (infografika)

…  a taky pár způsobů jak se chránit. Z nichž některé nepomohou ani trochu. A ze zcela záhadných důvodů nejmenují přímo dvoufaktorové ověření, ale schovávají to pod  „Activate Login Approvals„. Proč to nazvat obvyklým a rozšířením termínem, že? Byť, samozřejmě, ano Facebook tomu tak říká v Nastavení účtu. A pokud chcete něco číst, tak třeba Jak ochránit účet na Facebooku proti hacknutí? Dvoufaktorovým ověřením přihlášení a Dvoufaktorové ověření použijte všude tam, kde chcete lépe zabezpečit účet Continue reading „10 způsobů jak hackeři mohou hacknout váš účet na Facebooku (infografika)“

Evropské firmy netuší, zda je kybernetický útok nějak poškodil

Nevědí zda byli napadeni, když už se to dozvědí, nevědí zda jim byla odcizena nějaká data, firmy v EU se musí ještě hodně učit

Podle výsledků průzkumu společnosti Quocirca a Trend Micro z loňského roku to vypadá, že firmy v EU jsou v kybernetické bezpečnosti dost bezradné. 31 z 251 společnosti, které byly napadeny kyberútokem, například netuší, jestli jim byla odcizena nějaká data. Šest dalších sice o útoku vědělo, ale neví jak hodně dat bylo zasaženo.

Kybernetické útoky jsou přitom běžné a časté. Výzkumníci logicky upozorňují, že „evropští podnikatelé jsou nepřipraveni na cílené útoky a jak na ně reagovat poté co k nim dojde„.

Cílené útoky jsou podle dotazovaných nevyhnutelné a 26 % dotazovaných je přesvědčeno, že jde o rostoucí záležitost a 44 % je přesvědčeno, že jde o záležitost dlouhodobou. Pouze 5 % dotazovaných se domnívá, že objem útoků klesá.

V případě kybernetických útoků je riziko úniku dat či poškození reputace společnosti.  Cílem útoku se navíc společnosti nestávají pouze jednou a podle 70 % z 369 dotazovaných objem útoků stoupá.

Co najdete v Google při hledání e-vašeho e-mailu? Co když to bude některé z vašich hesel?

Psal dnes Roman, že ho zajímalo, co se ve vyhledávání v Google objeví, když tam dá vlastní e-mail. Očekával, že by se nic moc objevit nemělo, nikde ho nemá veřejný, není nijak známé. Překvapením pro něj bylo, že se objevil v textovém souboru na vk.com (V-Kontakte, ruská obdoba Facebooku). A když si ten veřejně dostupný soubor stáhl, našel v něm e-mail a heslo. Jak sám říká, mělo by to být jeho heslo právě k VK.com staré pár let (a už neplatné).

x2016-05-30 16_06_25 – Poznámkový blok

V textovém souboru je 100 000 e-mailů i s hesly v čistě textové podobě. 1002 kousků je z .cz domény, z toho 749 je @seznam.cz. A při pohledu na tisíce hesel je dost jasné, že jsou to i automaticky generované hesla pro automaticky zakládané účty, včetně záplavy e-mailů, co jsou automaticky generované coby jasné fake účty. Nicméně, jsou tam množství zcela reálných účtů, ze kterých lze zjistiti i jména a příjmení lidí. A celé to působí jako pouze část nějakého úniku, pravděpodobně z nějaké větší služby.

Zajímavé na tom souborů může být to, že jsou v něm i maily, které haveibeenpwned.com nezná. Přitom je tam poměrně značné množství uniklých hesel. V www.leakedsource.com je to dost podobné. Takže to trochu vypadá na to, že tohle je únik, který ještě není zcela známý.

Ale tohle není podstatné, necháme povolanějším zkoumání tohoto vzorku, budou-li totiž chtít, tak přes Google najdou desítky dalších souborů s hesly, které jsou všechny volně dostupné na VK.COM. K nalezení v nich jsou stovky tisíc dalších hesel s e-maily. A jak už jsem spekuloval výše, je možné, že jsou všechny dohromady nějaký podstatně větší únik.

Je dobré se čas od času dívat, co se najde na váš e-mail

Jeden z dobrých bezpečnostních návyků je, zkoumat vlastní digitální stopu. Do vyhledávačů hodit e-mail a podívat se, kde všude se vyskytuje. Případně pak pokračovat s jménem a příjmením (pokud ho máte dostatečně unikátní, samozřejmě). Neobjevíte tím věci co kolují někde v „dark“ části Internetu (kde řada souborů s hesly koluje), ale může se vám stát, že objevíte přesně to, co se ukázalo Romanovi.

Bylo by samozřejmě možné zkusit najít výskyt vlastního hesla, které máte jistě tak unikátní, že unikátnější už být nemůže, ale to bych asi do vyhledávače jen tak nedával. Snad jedině v okamžiku, kdy je jasné, že to heslo je zcela proláklé. Jedno z mých velmi prastarých hesel, používaných tehdy pro zbytečně věci, je takto například nalezitelné – dostanu se hned na krásný seznam 2 151 220 unikátní ASCII hesel (kde vám poradí i ještě lepší UNIQPASS), tedy ideální databází pro brute force pokusy.

TIP: Ověřovat únik zrovna toho vašeho e-mailu a hesla je vcelku jednoduché, viz Jak ověřím, jestli můj e-mail a heslo není v nějakém úniku hesel?. Stejně jako je v zásadě jednoduché to, co musíte udělat, pokud vám někdo heslo ukradl, o tom je řeč v Co udělat, když se někomu podařilo získat moje heslo do nějaké online služby

Nejpoužívanější hesla na MySpace? Klasika, 12345/6 je stále na přední příčce

Nedávný únik stovek milionů hesel z MySpace (viz Hacker Tries To Sell 427 Milllion Stolen MySpace Passwords For $2,800) umožnil zjistit žebříček nejpoužívanějších hesel. Pokud vynecháte homelesspa (patří k stovkám tisíc automaticky vygenerovaných účtů), tak asi žádné překvapení nenajdete. 123456 i další tolik oblíbené varianty jsou stále na předních příčkách. Včetně té české, kdy si někdo jako heslo hodí „heslo“.

800-2016-05-28 08_03_43-Featured Content on Myspace

Pokud budete přemýšlet nad tím proč má tolik hesel na konci jedničku, tak nejspíše proto, že MySpace v určité době vyžadovalo, aby heslo vedle písmen obsahovalo i číslici. Jak vidíte, požádat o něco takové uživatele znamená, že prostě na konec svého obvyklého hesla přidají právě jedničku. Poslední co je dobré dodat je, že jde o únik 427 milionů hesel. Nejvíce použité password1 je tak použito v 0.13 procentech případů.

Heslo Výskyt
1 homelesspa 855,478
2 password1 585,503
3 abc123 569,825
4 123456 487,945
5 myspace1 276,915
6 123456a 244,641
7 123456789 191,016
8 a123456 165,132
9 123abc 159,700
10 (POSSIBLY INVALID) 158,462
11 qwerty1 141,110
12 passer2009 130,740
13 fuckyou1 125,302
14 iloveyou1 123,668
15 princess1 114,107
16 12345a 111,818
17 monkey1 106,424
18 football1 101,149
19 babygirl1 90,685
20 love123 88,756
21 a12345 85,874
22 iloveyou 85,001
23 jordan23 81,028
24 hello1 80,218
25 jesus1 78,075
26 bitch1 78,015
27 password 77,913
28 iloveyou2 76,970
29 michael1 75,878
30 soccer1 74,926
31 blink182 73,145
32 29rsavoy 71,551
33 123qwe 70,476
34 angel1 70,271
35 myspace 69,019
36 fuckyou2 68,995
37 jessica1 67,644
38 number1 65,976
39 baseball1 65,400
40 asshole1 63,078
41 1234567890 62,855
42 ashley1 62,611
43 anthony1 62,295
44 money1 61,639
45 asdasd5 60,810
46 123456789a 60,441
47 superman1 59,565
48 sunshine1 57,522
49 nicole1 56,039
50 password2 55,754
51 charlie1 54,432
52 shadow1 54,398
53 jordan1 54,004
54 1234567 51,131
55 50cent 50,719

Únik hesel z Linkedin znamená, že byste měli neprodleně změnit heslo pokud …

Přihlašovací údaje 117 milionů účtů z Linkedin sice pocházejí z roku 2012 (viz Na prodej je 117 milionů hesel z LinkedIn, za 2 200 dolarů), ale pokud jste v té době používali Linkedin, tak to znamená, že vaše heslo je dostupné útočníkům. Jakkoliv je to heslo roky staré, stále to znamená, že ho možná používáte – což byste od teď už nikde neměli, protože je příliš snadné ho vyzkoušet, pokud někdo bude chtít hacknout nějakou vámi používanou službu.

2016-05-21 12_19_31-Start

Linkedin by měl účty, jejichž heslo se v úniku objevilo, sám přinutit ke změně hesla. Což ale neznamená, že si ho nemůžete změnit sami a případně i lépe nastavit, ideálně včetně dvoufaktorového ověření. Pochopitelně, pokud jste si už v roce 2012 (či později) nastavili bezpečné nové heslo, tak tohle řešit nemusíte.

Nejde jenom o hesla, ale jsou podstatná

Vedle hesel unikly i e-maily, takže je velmi pravděpodobné, že v průběhu příštích měsíců se objeví řada phishingových kampaní, které budou využívat právě toho, že útočníci budou vědět, že daný e-mail je uživatele Linkedin. Je tedy potřeba si dávat pozor na maily, které se „tváří“ jako pocházející od Linkedin. Bohužel Linkedin je proslulé tím, že uživatele zaplavuje maily už roky a případná phishingová kampaň má velmi velkou šanci na úspěch.

Připomenu i to, že se vyplatí používat správce hesel (jako je třeba LastPass či další). Velmi mohou pomoci v tom, že si můžete zjistit, jestli někde toto uniklé heslo náhodou nepoužíváte. A také řeší dva zásadní problémy hesel, tedy jak vytvářet nová a nová unikátní složitá hesla i jak si je vlastně pamatovat.lupa