نشرت Google دراسة حول "مدى فعالية النظافة الأساسية للحساب لمنعه من السرقة" حول ما يمكن لصاحب الحساب القيام به لمنع سرقته بواسطة المهاجمين. نقدم انتباهكم ترجمة لهذه الدراسة.
صحيح أن الطريقة الأكثر فعالية التي استخدمتها Google نفسها لم يتم تضمينها في التقرير. كان علي أن أكتب عن هذه الطريقة بنفسي في النهاية.
كل يوم ، نحمي المستخدمين من مئات الآلاف من محاولات القرصنة. تأتي
معظم الهجمات من برامج الروبوت الآلية التي يمكنها الوصول إلى أنظمة تكسير كلمات المرور الخاصة بالجهات الخارجية ، ولكن هناك أيضًا هجمات تصيّد وهجمات موجهة. في وقت سابق ، تحدثنا عن كيف يمكن
لخمس خطوات بسيطة فقط ، مثل إضافة رقم هاتف ، أن تساعدك على حماية نفسك ، لكننا نريد الآن إثبات ذلك في الواقع العملي.
هجوم التصيد الاحتيالي هو محاولة لخداع مستخدم بطريقة ينقل معلوماته طوعًا إلى مهاجم سيكون مفيدًا في عملية القرصنة. على سبيل المثال ، عن طريق نسخ واجهة التطبيق القانوني.
الهجمات باستخدام برامج الروبوت التلقائية - محاولات القرصنة الضخمة التي لا تستهدف مستخدمين محددين. وعادة ما يتم تنفيذها باستخدام برامج متاحة للجمهور ومتاحة للاستخدام حتى من قبل "المفرقعات" غير المدربين. لا يعرف المهاجمون أي شيء عن ميزات مستخدمين محددين - فهم يقومون ببساطة بتشغيل البرنامج و "التقاط" جميع السجلات العلمية التي لا تتمتع بالحماية الكافية.
الهجمات المستهدفة هي عمليات اختراق لحسابات محددة ، حيث يتم جمع معلومات إضافية حول كل حساب ومالكه ، ومحاولات لاعتراض وتحليل حركة المرور ، فضلاً عن استخدام أدوات اختراق أكثر تعقيدًا.
(ملاحظة المترجم)
لقد تعاوننا مع باحثين من جامعة نيويورك وجامعة كاليفورنيا لمعرفة مدى فعالية النظافة الأساسية للحساب دون تعرضهم للاختطاف.
تم تقديم دراسة لمدة سنة واحدة حول
الهجمات واسعة النطاق والموجهة يوم الأربعاء في اجتماع للخبراء والسياسيين والمستخدمين الذين يطلق عليهم
The Web Conference .
يظهر بحثنا أن إضافة رقم هاتف إلى حسابك في Google يمكن أن يؤدي إلى حظر ما يصل إلى 100٪ من الهجمات من برامج الروبوت الآلية ، و 99٪ من هجمات التصيد الشامل ، و 66٪ من الهجمات المستهدفة التي حدثت أثناء تحقيقنا.
الحماية التلقائية الاستباقية من Google ضد سرقة الحسابات
نحن نطبق حماية تلقائية استباقية لحماية جميع مستخدمينا بشكل أفضل من اختراق حساب. إليك الطريقة التي تعمل بها: إذا وجدنا محاولة تسجيل دخول مشبوهة (على سبيل المثال ، من موقع أو جهاز جديد) ، فسوف نطلب أدلة إضافية على أنها حقًا أنت. قد يكون هذا التأكيد هو التحكم في إمكانية وصولك إلى هاتف موثوق به أو إجابة لسؤال تعرفه فقط عن الإجابة الصحيحة.
إذا قمت بتسجيل الدخول إلى هاتفك أو قمت بإدخال رقم الهاتف في إعدادات الحساب ، فيمكننا توفير نفس مستوى الحماية كما هو الحال في عملية التحقق المكونة من خطوتين. لقد وجدنا أن رمز الرسائل القصيرة المرسلة إلى رقم هاتف الاسترداد ساعد في حظر 100٪ من برامج الروبوت الآلية و 96٪ من هجمات التصيد الجماعي و 76٪ من الهجمات المستهدفة. وقد ساعدت الطلبات على الجهاز مع طلب تأكيد العملية ، والتي تعد بديلاً أكثر أمانًا للرسائل القصيرة ، على منع عمليات الروبوت التلقائية بنسبة 100٪ و 99٪ من هجمات التصيد الشامل و 90٪ من الهجمات المستهدفة.
تساعد الحماية القائمة على امتلاك أجهزة معينة ، وكذلك معرفة بعض الحقائق ، على مقاومة برامج الروبوت التلقائية ، كما أن الحماية القائمة على امتلاك أجهزة معينة تساعد على منع التصيد الاحتيالي وحتى الهجمات المستهدفة.
إذا لم يتم تكوين رقم هاتفك في حسابك ، فيمكننا اللجوء إلى طرق حماية أضعف استنادًا إلى المعرفة عنك ، مثل المكان الذي سجلت فيه آخر مرة في حسابك. يعمل هذا بشكل جيد ضد برامج الروبوت ، ولكن يمكن أن ينخفض مستوى الحماية ضد التصيد إلى 10٪ ، ولا يوجد عملياً أي حماية ضد الهجمات المستهدفة. وذلك لأن صفحات الخداع والمهاجمين المستهدفين يمكنهم إجبارك على الكشف عن أي معلومات إضافية قد تطلبها Google للتحقق منها.
بالنظر إلى مزايا هذه الحماية ، قد يسأل المرء لماذا لا نطلب استخدامها لكل تسجيل دخول. الجواب هو أن هذا سيخلق صعوبات إضافية للمستخدمين (
خاصة بالنسبة للمستخدمين
غير المستعدين - الترجمة تقريبًا .) وسيزيد من خطر حظر الحساب. أثناء التجربة ، تبين أن 38٪ من المستخدمين لم يتمكنوا من الوصول إلى هواتفهم عند تسجيل الدخول إلى حساباتهم. لم يتمكن 34٪ من المستخدمين من تذكر عنوان بريدهم الإلكتروني البديل.
إذا فقدت الوصول إلى هاتفك أو لم تتمكن من تسجيل الدخول ، يمكنك دائمًا الرجوع إلى الجهاز الموثوق الذي قمت بتسجيل الدخول منه للوصول إلى حسابك.
فهم اختراق الهجمات المستأجرة
عندما تمنع معظم الدفاعات التلقائية معظم برامج الروبوت والهجمات ، فإن الهجمات المستهدفة تصبح أكثر ضررًا. كجزء من جهودنا المستمرة
لرصد تهديدات القرصنة ، نحدد باستمرار مجموعات جرائم "القرصنة" الجديدة التي تطلب حسابًا لاختراقه بمبلغ 750 دولارًا في المتوسط. غالبًا ما يعتمد هؤلاء المهاجمون على رسائل البريد الإلكتروني المخادعة التي تنتحل شخصية أفراد الأسرة أو الزملاء أو المسؤولين الحكوميين أو حتى Google. إذا لم يتخل الهدف عن المحاولة الأولى للتصيد ، فإن الهجمات اللاحقة تستمر لأكثر من شهر.
مثال على هجوم تصيد داخلي يقوم بفحص كلمة المرور الصحيحة في الوقت الفعلي. بعد ذلك ، تدعو صفحة الخداع الضحايا إلى إدخال رموز مصادقة الرسائل القصيرة للوصول إلى حساب الضحية.وفقًا لتقديراتنا ، هناك واحد من بين كل مليون مستخدم معرض لمثل هذه المخاطر العالية. لا يستهدف المهاجمون أشخاصًا عشوائيًا. على الرغم من أن الدراسات تشير إلى أن الحماية التلقائية الخاصة بنا يمكن أن تساعد في تأخير وحتى منع ما يصل إلى 66٪ من الهجمات المستهدفة التي درسناها ، إلا أننا نوصي بأن يسجل المستخدمون المعرضون لمخاطر عالية التسجيل في
برنامج الحماية الإضافي الخاص بنا. كما لوحظ خلال التحقيق الذي أجريناه ، فإن المستخدمين الذين يستخدمون مفاتيح الأمان بشكل حصري (
أي المصادقة المكونة من خطوتين باستخدام الرموز المرسلة إلى المستخدمين - الترجمة تقريبًا ) ، أصبحوا ضحايا للتصيد المستهدف.
يستغرق بعض الوقت لحماية حسابك.
يمكنك استخدام أحزمة الأمان لحماية حياتك وصحتك عند السفر بالسيارة. ومع
النصائح الخمس لدينا
، يمكنك ضمان أمان حسابك.
كما يوضح بحثنا ، فإن أحد أسهل الأمور التي يمكنك القيام بها لحماية حسابك في Google هو تعيين رقم هاتف. بالنسبة للمستخدمين المعرضين لمخاطر عالية مثل الصحفيين والناشطين المجتمعيين وقادة الأعمال وفرق الحملات السياسية ، يساعد برنامج
الحماية المتقدمة الخاص بنا على ضمان أعلى مستوى من الأمن. يمكنك أيضًا حماية حسابات خدمة الجهات الخارجية (وليس Google) من تكسير كلمة المرور عن طريق تثبيت
ملحق فحص كلمة مرور
Chrome .
ومن المثير للاهتمام ، أن Google لا تتبع النصائح التي يقدمها هو نفسه لمستخدميه. تستخدم Google رموز الأجهزة للمصادقة ثنائية العامل لأكثر من 85000 من موظفيها. وفقًا لممثلي الشركة ، منذ بداية استخدام رموز الأجهزة ، لم يتم تسجيل سرقة واحدة من الحساب. قارن مع الأرقام الواردة في هذا التقرير. وبالتالي ، يمكن ملاحظة أن استخدام الرموز المميزة للمصادقة ثنائية العوامل هو الطريقة الموثوقة الوحيدة لحماية كل من الحسابات والمعلومات (وفي بعض الحالات أيضًا المال).
لحماية حسابات Google ، يتم استخدام الرموز المميزة التي تم إنشاؤها وفقًا لمعيار FIDO U2F ، على سبيل المثال ، هذا . وللمصادقة الثنائية ، يتم استخدام الرموز المشفرة في أنظمة تشغيل Windows و Linux و MacOS.
(ملاحظة المترجم)