Hackere har som kjent blitt svært sofistikerte, men det finnes også mange hackerangrep som muliggjøres kun gjennom latskap fra brukernes side. Nå foreligger det et nytt eksempel på hvor enkel jobben til en hacker kan være.
Sikkerhetsselskapet Malwarebytes rapporterer at hackere fikk tilgang til over 1,1 millioner brukerkontoer – simpelthen ved å benytte brukernavn og passord som allerede er stjålet og lekket på nettet, og resirkulert av brukere.
Automatiserte angrep
Det var myndigheter i den amerikanske delstaten New York som nylig rapporterte at de hadde gjennomført en etterforskning av miljøer på nettet som spesialiserer seg på det som på engelsk kalles «credential stuffing»-angrep.
«Credential stuffing»-angrep innebærer å forsøke å logge seg inn på brukerkontoer med lekkede brukernavn og passord på en automatisert måte via bot-er.
Etterforskningen, som ble gjennomført av generaladvokatkontoret i New York, endte med at det ble funnet innloggingsdata tilhørende 1,1 millioner brukerkontoer på diverse fora, hvorav samtlige tilsynelatende har blitt kompromittert.
Innloggingene stammet fra til sammen 17 velkjente bedrifter, deriblant store nettbutikker, restaurantkjeder og leveringstjenester. Etterforskerne kontaktet samtlige av bedriftene for å informere om de kompromitterte kundekontoene, og ba om at selskapene etterforsket saken og iverksatte tiltak for å beskytte kundene – noe alle skal ha gjort.
Ifølge generaladvokatkontoret er det først og fremst den farlige tilbøyeligheten til å gjenbruke passord som legger til rette for denne typen angrep.
Lett å gjennomføre
– Det utnytter den naturlige menneskelige tendensen til å bruke passord om igjen for å hanskes med det stadig økende antallet kontoer på nettet som må administreres. Angripere vet at brukernavnet og passordet som brukes på én nettside kan også bli brukt på et halvt dusin andre, heter det i rapporten.
Det hevdes i rapporten at rundt 15 milliarder stjålne innlogginger sirkulerer på nettet, og angrepsmetoden krever svært lite teknisk innsikt eller ekspertise å gjennomføre.
– Angripere bruker typisk gratis, lettilgjengelig programvare som er i stand til å utføre hundrevis av innloggingsforsøk samtidig, uten menneskelig inngripen. Én enkelt angriper kan enkelt sende flere hundre tusen, eller til og med millioner, av innloggingsforsøk hos en enkelt nettjeneste, skriver etterforskerne.
Gjenbruk av passord er dessverre svært utbredt. Som digi.no skrev om i høst har den kjente passordtjenesten Lastpass laget en rapport som viser at 65 prosent benytter det samme passordet i alle eller mesteparten av tjenestene de bruker på nettet. Tallet er basert på en spørreundersøkelse sendt ut til et utvalg på 3750 profesjonelle aktører i syv land.
Et annet oppsiktsvekkende funn i den samme rapporten var at hele 92 prosent av de spurte svarte at de er klar over at gjenbruk av passord representerer en betydelig sikkerhetsrisiko, men velger altså å gjøre det likevel – mye på grunn av at de fleste kun baserer seg på hukommelsen når det gjelder å holde orden på passord.
E-post og Zoom kan være hackernes inngang til hele systemet
