Anuncio
¿Qué obtienes cuando cruzas una docena de hackers criminales rusos con 420,000 sitios web con una vulnerabilidad de inyección SQL? Obtiene 4.500 millones de registros de usuarios comprometidos en manos de esos piratas informáticos.
El martes New York Times informó que Hold Security de Milwaukee, Wisconsin, descubrió una base de datos llena de credenciales robadas. Alex Holden, director de seguridad de la información de Hold Security rastreó la fuente del robo credenciales para un pequeño anillo de pirateo de poco menos de una docena de hombres de 20 años, con sede en el centro sur Rusia. Él llamó al grupo "CyberVor".
Holden explicó que la "pandilla de piratas informáticos" consistía en un equipo de hombres jóvenes, cada uno con su propia función: algunos programas de escritura, otros trabajando para extraer las credenciales de los datos. Todo el conjunto funciona como un negocio real.
La pandilla rusa de piratería
Según Holden, CyberVor comenzó en 2011 como un equipo de spammers. El plan de negocios consistía entonces en comprar información de contacto robada del mercado negro para enviar correos electrónicos masivos de spam a los clientes. En los próximos años, el equipo de empresarios criminales creó una red de bots: una red masiva de computadoras infectadas con un virus que les permite ser utilizadas para enviar las explosiones de spam.
Con el tiempo, el equipo utilizó su red de bot para probar qué sitios web eran vulnerables a un ataque de piratería de inyección SQL. Una vez que se compiló una lista de sitios web, el equipo se puso a trabajar ejecutando el hack en el sitio y extrayendo el contenido completo de la base de datos almacenada allí.
Con acceso a la base de datos, el grupo pudo compilar los 4.500 millones de registros, que resultaron ser contiene un total de 1.200 millones de credenciales de nombre de usuario y contraseña únicos, y 542 millones de correos electrónicos únicos direcciones.
Lo que esto significa
Si cree que podría salir ileso de esta amenaza de seguridad en particular, piense de nuevo. Teniendo en cuenta que actualmente hay poco menos de 3.000 millones de usuarios de Internet en el mundo, una violación de 1.200 millones de nombres de usuario y contraseñas únicos Las credenciales representan un éxito récord por parte de los piratas informáticos criminales, y también significa que es muy probable que sus credenciales riesgo.
Orla Cox, directora de respuesta de seguridad de Symantec, dijo a NPR noticias que el enfoque más seguro para esto es asumir que sus credenciales están comprometidas.
"Creo que todos los usuarios de Internet deberían asumir que se han visto afectados por esto. Claramente, estos no son oportunistas, no son aficionados. Estos son ciberdelincuentes a tiempo completo que probablemente han estado llevando a cabo durante varios meses, tal vez incluso años ".
¿Cómo saber si alguna de sus credenciales se ha visto afectada? Desafortunadamente, no lo hace, no hasta que Hold Security publique su herramienta en línea que le permitirá probar si su propia información está en la base de datos.
Mientras tanto, Hold Security está capitalizando la brecha al construir un conjunto de servicios destinado a ayudar a los propietarios de sitios web y usuarios de Internet a gestionar la amenaza de esta pandilla de hackers. Esos servicios incluyen lo siguiente:
- Servicio de notificación de incumplimiento (BNS): le avisa si su sitio se ha visto afectado por este incumplimiento o cualquier otro incumplimiento de seguridad. Costo: $ 120 / año
- Pen Testing y servicios de auditoría: auditarán su sitio y encontrarán vulnerabilidades. No hay precio listado.
- Servicio de integridad de credenciales: le notifica si alguno de los usuarios de su sitio web ha visto comprometidas sus credenciales. No hay precio listado.
- Servicio de monitoreo de identidad electrónica: destinado a las personas que desean saber si su identidad electrónica es vulnerable o está comprometida. La preinscripción está disponible, ya que el servicio está en desarrollo.
Lo que debe hacer
Por supuesto, el método más económico para escribir un cheque en Hold Security para informarle si ha sido afectado, es simplemente cambiar todas sus contraseñas. Si bien esto puede ser molesto de hacer, tan cerca de los talones de la Fiasco desangrado hace solo unos meses Heartbleed: ¿qué puede hacer para mantenerse a salvo? Lee mas , es realmente la única apuesta segura que tiene para proteger sus cuentas. El problema, por supuesto, es que realmente no puede hacerlo hasta que sepa que los sitios web que utiliza no son vulnerables a la inyección de SQL.
Si desea determinar si los sitios web que utiliza para acceder a sus cuentas son seguros o no, necesitará un manera de saber si están a salvo de los ataques de inyección SQL: el arma de elección para este hacker ruso en particular pandilla.
Afortunadamente, es bastante fácil verificar si un sitio es vulnerable a ese truco en particular. Todo lo que necesita hacer es encontrar una página en el sitio que se cargue dinámicamente desde la base de datos de back-end. Esto es bastante fácil con un sitio basado en PHP al buscar URL estructuradas con la consulta, como esta: " http://www.website.com/page.php? id = 32 "
Una prueba rápida para la vulnerabilidad de inyección SQL es agregar una comilla simple al final de la línea. Si la página web todavía se carga bien, entonces el sitio está seguro de este ataque. Si devuelve un error "Error de consulta SQL", entonces el sitio es vulnerable, y debe suponer que sus datos almacenados allí se han visto comprometidos.
Al agregar un ‘ a la URL, está probando si podría agregar parámetros SQL adicionales para activar un comando SQL más invasivo.
Si descubre que el sitio web es seguro, continúe y cambie sus contraseñas allí. Si ve que todavía es vulnerable a un ataque de inyección SQL, evite cambiar sus credenciales y, en su lugar, comuníquese con el propietario del sitio web e infórmeles sobre la vulnerabilidad.
Mientras estás en eso ...
Mientras recorre y cambia sus contraseñas en todos los sitios seguros, tenga en cuenta las siguientes pautas.
- ¿Su contraseña es realmente única y segura? Asegúrese de revisar nuestros muchos artículos con consejos para generar contraseñas 13 maneras de inventar contraseñas que sean seguras y memorables¿Quiere saber cómo crear una contraseña segura? Estas ideas creativas de contraseñas lo ayudarán a crear contraseñas seguras y memorables. Lee mas .
- Utilizar una Administrador de contraseñas Use una estrategia de administración de contraseñas para simplificar su vidaMuchos de los consejos sobre las contraseñas han sido casi imposibles de seguir: use una contraseña segura que contenga números, letras y caracteres especiales; cámbielo regularmente; proponga una contraseña completamente única para cada cuenta, etc. Lee mas y asegúrese de que su contraseña sea diferente para cada sitio que use. Intenta usar un generador de contraseñas Los 5 mejores generadores de contraseñas en línea para contraseñas aleatorias seguras¿Busca una manera de crear rápidamente una contraseña irrompible? Pruebe uno de estos generadores de contraseñas en línea. Lee mas para cada sitio
- Repito: use una contraseña única para cada ¡sitio!
Más allá de la administración de contraseñas, existe otro enfoque creativo que le permite realmente "volver" a los piratas informáticos. Esto implica asegurarse de que todas sus cuentas en línea contengan información falsa: direcciones falsas, números de teléfono y direcciones de correo electrónico. De esta manera, cada vez que ocurre este tipo de violación, puede reírse, porque todo el contacto personal La información, especialmente el correo electrónico que generalmente se elimina para fines de spam, es un fracaso total para el hacker
Obviamente, ese enfoque no funcionaría para un sitio financiero que generalmente requiere una identificación confirmada, pero uno esperaría que los sitios web financieros están lo suficientemente por delante de la curva de seguridad para estar más que a salvo de algo como una inyección SQL cortar a tajos.
A la luz del tamaño y el alcance de este último ataque, ¿le preocupa su información privada?? ¿Tienes algún plan para lidiar con eso? ¡Comparte tus pensamientos en la sección de comentarios a continuación!
Fuente: New York Times
Créditos de imagen: Hombre invisible A través de Shutterstock, kentoh / Shutterstock
Ryan tiene una licenciatura en ingeniería eléctrica. Ha trabajado 13 años en ingeniería de automatización, 5 años en TI y ahora es ingeniero de aplicaciones. Ex editor jefe de MakeUseOf, ha hablado en conferencias nacionales sobre visualización de datos y ha aparecido en la televisión y radio nacionales.