Hakerzy włamują się nawet przez fotowoltaikę. Kradną setki tysięcy złotych

Jak włamać się na skrzynkę mailową? Loginem zazwyczaj jest adres poczty. To teraz jeszcze tylko hasło. Są programy do łamania haseł. Hasła do ośmiu znaków z dużą i małą literą, znakiem specjalnym i cyfrą łamie się do ośmiu godzin. Niektórzy ludzie mają na swoich kontach takie same hasła, jak przy zakładaniu skrzynki dwadzieścia lat temu: cztery cyfry, data urodzenia.

Aż policzyłem ile moje hasło ma znaków.

Do pięciu znaków jest łamane natychmiast. Osiem znaków – do ośmiu godzin. Dzisiaj moja rekomendacja jest taka: dwanaście znaków, duża i mała litera, znak specjalny, cyfra. Wtedy czas łamania wynosi do 34 tys. lat. I tego hasła wcale nie trzeba zmieniać co miesiąc, wystarczy raz w roku. A my po audytach wykrywamy, że organizacje potrafią mieć hasła: imię1 do routera, czy poczty. W nazwie hasła nie powinno być nic, co dotyczy ciebie bezpośrednio lub nazwy firmy. To jest moment i jesteśmy w sieci komputerowej poważnych przedsiębiorstw. Wystarczy się włamać i zmienić numer konta w umowie, czy fakturze.

Jak się więc przed tymi atakami bronić? Silne hasła, dzielenie sieci na podsieci, bycie ostrożnym. Coś jeszcze byś dodał do tej listy?

Dwupoziomowe uwierzytelnianie. Wprowadzamy hasło plus kod z smsa lub tokenu. Można też stosować menedżera haseł. To narzędzie, które przechowuje wszystkie nasze hasła. Ale nawet wtedy oszuści mogą się dostać do naszych kont. Na przykład poprzez fałszywe strony, które są identyczne ze stroną np. banku. Wpisujemy tam login i hasło oraz kod z smsa, haker to widzi i jednocześnie przepisuje na prawdziwej stronie, włamując się na nasze konto bankowe.

Dlatego ważne jest, by czytać smsy potwierdzające przelew albo logowanie, tam podane są szczegóły operacji. Problemem jest to, że ludzie nie czytają tych smsów. Śpieszą się, w biegu potwierdzają operacje. Uważność, uważność, uważność. Ale też rozumienie tych mechanizmów.

Czasem loginy i hasła wyciekają ze stron, na których się logujemy.

Można sprawdzić, czy nasze dane już nie wyciekły. Jest taka przydatna strona haveibeenpwned.com. A często jest tak, że jedno hasło pasuje do wszystkich naszych kont, szczególnie do adresu mailowego. Haker mając dostęp do skrzynki pocztowej może na każdej innej stronie wykorzystać opcję przypomnienia hasła. Robi tzw. biały wywiad, wchodzi na twoje konto FB, okazuje się, że twoja mama jest cool i też ma konto na FB. Już zna nazwisko panieńskie twojej mamy, czyli najbardziej popularny sposób weryfikacji w banku, czy telefonii komórkowej.

Trzeba oddzielać hasła z życia prywatnego od haseł biznesowych. Druga sprawa – hasła kluczowe np. do banku czy systemu operacyjnego Windows od haseł innych, mniej ważnych, np. do sklepów internetowych, których używamy raz na jakiś czas. Moje hasło do poczty ma dwanaście znaków i jest zmieniane raz na miesiąc. A ty kiedy zmieniałeś hasło do swojej poczty?

Gdy sprawdziłem na tej stronie, że wyciekło. Ale to już było z kilka lat temu.

Bardziej skomplikowane hasła powodują jednak, że ludzie chętniej je trzymają zapisane, np. w szufladzie w biurku, pod klawiaturami, w kalendarzykach. Dlatego pracodawca powinien nauczyć pracowników jak zapamiętywać długie i trudne do złamania hasła i jak nimi zarządzać.

Kolejny sposób to phishing, czyli podszywanie się pod instytucje, np. bank, allegro i wyłudzanie danych. Zdarzają się również fizyczne kradzieże notebooków. I to nie jest pan z dresem w paski, tylko przyjeżdża pan w garniturze, który wie, kiedy prezesa nie ma, bo wcześniej np. dzwoni do sekretariatu. Wchodzi i zabiera sprzęt. Znam kilkadziesiąt takich przypadków w Polsce w tym dwie firmy z naszego regionu. Kluczowe jest więc badanie swoich systemów i poszukiwanie luk. Nie ma jeszcze firmy, która przeszłaby nasze audyty bez żadnych rekomendacji na poprawę. Ponadto system informatyczny powinien być badany co jakiś czas poprzez audyty – tak jak stan zdrowia, czy sprawność samochodu.

Materiał powstał przy współpracy z partnerem – firmą CompNet Sp. z o.o.. Sebastian Strzech jest również członkiem Rady Konińskiej Izby Gospodarczej (KIG).

KIG zaprasza wszystkich przedsiębiorców na bezpłatne szkolenie/webinar z cyberbezpieczeństwa, który odbędzie się 18 marca o godz. 11.00. Ponadto KIG zaprasza przedsiębiorców na Konin Business Meeting, który odbędzie się 7 kwietnia w PWSZ w Koninie, gdzie również będzie poruszany temat cyberbezpieczeństwa.