Ένας ισχυρός κωδικός πρόσβασης δεν έχει καμία αξία αν το email σας είναι παραβιασμένο.

Το email είναι το κύριο κλειδί

Σχεδόν κάθε διαδικτυακή υπηρεσία προσφέρει ανάκτηση λογαριασμού μέσω email: «Ξεχάσατε τον κωδικό σας;». Όποιος ελέγχει τη διεύθυνση email σας ελέγχει επομένως δυνητικά τον λογαριασμό σας στο Amazon, την τραπεζική σας εφαρμογή, τα κοινωνικά σας δίκτυα, τον αποθηκευτικό σας χώρο στο cloud, το Apple ID ή τον λογαριασμό σας Google.

Ένας εισβολέας που αποκτά πρόσβαση στο Gmail ή το Outlook σας μπορεί να πυροδοτήσει επαναφορά κωδικού πρόσβασης σε οποιαδήποτε συνδεδεμένη υπηρεσία: χωρίς να γνωρίζει ούτε έναν από τους κωδικούς σας. Η ισχύς του κωδικού Gmail σας μετράει απείρως περισσότερο από την ισχύ του κωδικού Spotify σας.

Αυτό είναι που οι επαγγελματίες ασφάλειας αποκαλούν «πιο αδύναμο κρίκο»: οι εισβολείς δεν στοχεύουν την καλύτερα προστατευμένη υπηρεσία, στοχεύουν τη λιγότερο προστατευμένη υπηρεσία που μπορεί να φτάσει στις υπόλοιπες.

Συνήθεις επιθέσεις σε λογαριασμούς email

Τέσσερις φορείς επίθεσης ευθύνονται για τη συντριπτική πλειονότητα των παραβιάσεων email.

Το στοχευμένο phishing είναι το πιο συχνό: ένα email που μιμείται τις Google, Microsoft ή Apple σας καλεί να συνδεθείτε ξανά. Η σελίδα phishing καταγράφει τα διαπιστευτήριά σας σε πραγματικό χρόνο. Το credential stuffing εκμεταλλεύεται βάσεις δεδομένων με κωδικούς κλεμμένους από άλλες υπηρεσίες (το Have I Been Pwned καταγράφει πάνω από 15 δισεκατομμύρια εκτεθειμένους λογαριασμούς), αν επαναχρησιμοποιείτε τον ίδιο κωδικό, οι εισβολείς τον δοκιμάζουν αυτόματα στο email σας. Το SIM swapping υποκλέπτει τον αριθμό τηλεφώνου σας από τον πάροχό σας για να αναχαιτίσει τα μηνύματα επαλήθευσης. Η επίθεση brute force στοχεύει λογαριασμούς χωρίς 2FA που χρησιμοποιούν απλούς κωδικούς.

Πώς να προστατεύσετε το email σας

Πέντε συγκεκριμένες ενέργειες, κατά σειρά αντικτύπου:

• →Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων (2FA): κατά προτίμηση μέσω εφαρμογής authenticator (Google Authenticator, Authy, Aegis) αντί για SMS, που είναι ευάλωτο στο SIM swapping.
• →Χρησιμοποιήστε έναν μοναδικό, μακρύ κωδικό (20+ χαρακτήρες) που δημιουργείται από έναν διαχειριστή κωδικών (Bitwarden, 1Password): μην τον επαναχρησιμοποιείτε ποτέ αλλού.
• →Ελέγχετε τακτικά τις ενεργές συνεδρίες: στο Gmail, κάντε κλικ στο «Δραστηριότητα λογαριασμού» στο κάτω μέρος της σελίδας για να δείτε και να κλείσετε κάθε ύποπτη σύνδεση.
• →Ενεργοποιήστε τις ειδοποιήσεις σύνδεσης για νέες συσκευές: το Gmail και το Outlook στέλνουν email ή ειδοποίηση για κάθε νέα σύνδεση.
• →Αποφύγετε να χρησιμοποιείτε την κύρια διεύθυνση email σας ως στοιχείο σύνδεσης σε άγνωστους ιστότοπους: χρησιμοποιήστε μια διεύθυνση-ψευδώνυμο (SimpleLogin, Apple Hide My Email).

Η ψηφιακή ασφάλεια είναι μια αλυσίδα. Ο πιο αδύναμος κρίκος της είναι συχνά το email, όχι η υπηρεσία που προσπαθείτε να προστατεύσετε. Αφιερώστε πέντε λεπτά σήμερα για να ενεργοποιήσετε το 2FA στον κύριο λογαριασμό email σας: είναι η μοναδική ενέργεια με τον υψηλότερο λόγο προστασίας προς προσπάθεια στην προσωπική ψηφιακή ασφάλεια.

1. Have I Been Pwned — aggregated data-breach database (Troy Hunt), homepage account count
2. Google Security Team, with New York University & UC San Diego — “New research: How effective is basic account hygiene at preventing hijacking,” Google Security Blog, 2019
3. Kevin Lee, Ben Kaiser, Jonathan Mayer, Arvind Narayanan — “An Empirical Study of Wireless Carrier Authentication for SIM Swaps,” SOUPS 2020, Princeton University
4. NIST Special Publication 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management (§5.1.3.3)