إجمالي 500 مليون حساب Zoom للبيع على الويب المظلم بفضل “حشو أوراق الاعتماد”. إنها طريقة شائعة للمجرمين لاقتحام الحسابات عبر الإنترنت. إليك ما يعنيه هذا المصطلح فعليًا وكيف يمكنك حماية نفسك.
يبدأ بقواعد بيانات كلمات المرور المسربة
الهجمات ضد الخدمات عبر الإنترنت شائعة. غالبًا ما يستغل المجرمون الثغرات الأمنية في الأنظمة للحصول على قواعد بيانات لأسماء المستخدمين وكلمات المرور. غالبًا ما يتم بيع قواعد البيانات الخاصة ببيانات اعتماد تسجيل الدخول المسروقة عبر الإنترنت على شبكة الويب المظلمة، حيث يدفع المجرمون بعملة البيتكوين مقابل امتياز الوصول إلى قاعدة البيانات.
لنفترض أن لديك حسابًا في منتدى Avast، والذي كان تم اختراقها مرة أخرى في عام 2014. لقد تم اختراق هذا الحساب، ومن الممكن أن يكون لدى المجرمين اسم المستخدم وكلمة المرور الخاصين بك في منتدى Avast. اتصل بك Avast وطلب منك تغيير كلمة المرور الخاصة بالمنتدى، فما المشكلة؟
لسوء الحظ، تكمن المشكلة في أن العديد من الأشخاص يعيدون استخدام كلمات المرور نفسها على مواقع ويب مختلفة. لنفترض أن تفاصيل تسجيل الدخول إلى منتدى Avast كانت “you@example.com” و”AmazingPassword”. إذا قمت بتسجيل الدخول إلى مواقع ويب أخرى بنفس اسم المستخدم (عنوان بريدك الإلكتروني) وكلمة المرور، فيمكن لأي مجرم يحصل على كلمات المرور المسربة الخاصة بك الوصول إلى تلك الحسابات الأخرى.
حشو بيانات الاعتماد في العمل
يتضمن “حشو بيانات الاعتماد” استخدام قواعد البيانات هذه الخاصة بتفاصيل تسجيل الدخول المسربة ومحاولة تسجيل الدخول باستخدامها في خدمات أخرى عبر الإنترنت.
يأخذ المجرمون قواعد بيانات كبيرة من مجموعات أسماء المستخدمين وكلمات المرور المسربة — غالبًا ملايين من بيانات اعتماد تسجيل الدخول — ويحاولون تسجيل الدخول باستخدامها على مواقع ويب أخرى. يقوم بعض الأشخاص بإعادة استخدام نفس كلمة المرور على مواقع ويب متعددة، لذلك قد يتطابق بعضها. يمكن أتمتة هذا بشكل عام باستخدام البرامج، وتجربة العديد من مجموعات تسجيل الدخول بسرعة.
بالنسبة لشيء خطير جدًا يبدو تقنيًا للغاية، هذا كل ما في الأمر — تجربة بيانات الاعتماد المسربة بالفعل على الخدمات الأخرى ومعرفة ما ينجح. بمعنى آخر، يقوم “المتسللون” بحشو جميع بيانات اعتماد تسجيل الدخول هذه في نموذج تسجيل الدخول ويرون ما يحدث. ومن المؤكد أن بعضهم سيعمل.
هذه إحدى الطرق الأكثر شيوعًا التي يستخدمها المهاجمون “لاختراق” الحسابات عبر الإنترنت هذه الأيام. في عام 2018 وحده، شبكة توصيل المحتوى أكاماي سجلت ما يقرب من 30 مليار هجوم حشو بيانات الاعتماد.
كيف تحمي نفسك
تعد حماية نفسك من حشو بيانات الاعتماد أمرًا بسيطًا جدًا وتتضمن اتباع نفس ممارسات أمان كلمة المرور التي أوصى بها خبراء الأمان لسنوات. لا يوجد حل سحري — فقط النظافة الجيدة لكلمة المرور. إليك النصيحة:
- تجنب إعادة استخدام كلمات المرور: استخدم كلمة مرور فريدة لكل حساب تستخدمه عبر الإنترنت. وبهذه الطريقة، حتى إذا تسربت كلمة المرور الخاصة بك، فلا يمكن استخدامها لتسجيل الدخول إلى مواقع الويب الأخرى. يمكن للمهاجمين محاولة إدخال بيانات الاعتماد الخاصة بك في نماذج تسجيل دخول أخرى، لكنهم لن ينجحوا.
- استخدم مدير كلمات المرور: يعد تذكر كلمات المرور الفريدة القوية مهمة مستحيلة تقريبًا إذا كان لديك حسابات على عدد لا بأس به من مواقع الويب، والجميع تقريبًا يفعلون ذلك. نوصي باستخدام مدير كلمات المرور مثل 1كلمة المرور (المدفوعة) أو بيتواردن (مجاني ومفتوح المصدر) لتتذكر كلمات المرور الخاصة بك نيابةً عنك. ويمكنه أيضًا إنشاء كلمات المرور القوية هذه من الصفر.
- تمكين المصادقة الثنائية: باستخدام المصادقة المكونة من خطوتين، يتعين عليك تقديم شيء آخر — مثل الرمز الذي تم إنشاؤه بواسطة أحد التطبيقات أو إرساله إليك عبر الرسائل القصيرة — في كل مرة تقوم فيها بتسجيل الدخول إلى موقع ويب. حتى إذا كان المهاجم لديه اسم المستخدم وكلمة المرور الخاصة بك، فلن يتمكن من تسجيل الدخول إلى حسابك إذا لم يكن لديه هذا الرمز.
- احصل على إشعارات كلمة المرور المسربة: مع خدمة مثل هل تم Pwned؟، يمكنك الحصول على إشعار عند ظهور بيانات الاعتماد الخاصة بك في حالة تسرب.
كيف يمكن للخدمات أن تحمي من حشو بيانات الاعتماد
في حين يحتاج الأفراد إلى تحمل مسؤولية تأمين حساباتهم، هناك طرق عديدة للخدمات عبر الإنترنت للحماية من هجمات حشو بيانات الاعتماد.
- فحص قواعد البيانات المسربة بحثًا عن كلمات مرور المستخدم: الفيسبوك ونتفليكس تم فحصها قواعد بيانات مسربة لكلمات المرور، ومقارنتها ببيانات اعتماد تسجيل الدخول على خدماتهم الخاصة. إذا كان هناك تطابق، فيمكن لـ Facebook أو Netflix مطالبة المستخدم بتغيير كلمة المرور الخاصة به. هذه طريقة للتغلب على حشو أوراق الاعتماد.
- تقديم المصادقة الثنائية: يجب أن يكون المستخدمون قادرين على تمكين المصادقة الثنائية لتأمين حساباتهم عبر الإنترنت. يمكن للخدمات الحساسة بشكل خاص أن تجعل هذا إلزاميًا. يمكنهم أيضًا مطالبة المستخدم بالنقر فوق رابط التحقق من تسجيل الدخول في رسالة بريد إلكتروني لتأكيد طلب تسجيل الدخول.
- تتطلب اختبار CAPTCHA: إذا بدت محاولة تسجيل الدخول غريبة، فقد تتطلب الخدمة إدخال رمز CAPTCHA المعروض في صورة أو النقر فوق نموذج آخر للتحقق من أن الإنسان — وليس الروبوت — يحاول تسجيل الدخول.
- الحد من محاولات تسجيل الدخول المتكررة: يجب أن تحاول الخدمات منع الروبوتات من محاولة عدد كبير من محاولات تسجيل الدخول في فترة زمنية قصيرة. قد تحاول الروبوتات الحديثة المتطورة تسجيل الدخول من عناوين IP متعددة مرة واحدة لإخفاء محاولاتها لحشو بيانات الاعتماد.
ممارسات كلمة المرور السيئة — ولكي نكون منصفين، فإن الأنظمة عبر الإنترنت سيئة التأمين والتي غالبًا ما يكون من السهل جدًا اختراقها — تجعل حشو بيانات الاعتماد خطراً جسيمًا على أمان الحساب عبر الإنترنت. فلا عجب أن العديد من الشركات العاملة في مجال التكنولوجيا ترغب في بناء عالم أكثر أمانًا بدون كلمات مرور.
(العلامات للترجمة) الويب (ر) التكبير (ر) الميزات