E-pasts ir galvenā atslēga
Gandrīz katrs tiešsaistes pakalpojums piedāvā konta atkopšanu pa e-pastu: “Aizmirsi paroli?”. Tas, kurš kontrolē tavu e-pasta adresi, tādējādi potenciāli kontrolē tavu Amazon kontu, tavu bankas lietotni, tavus sociālos tīklus, tavu mākoņkrātuvi, tavu Apple ID vai Google kontu.
Uzbrucējs, kas piekļūst tavam Gmail vai Outlook, var sākt paroles atiestatīšanu jebkuram ar to saistītam pakalpojumam: nezinot nevienu no tavām parolēm. Tava Gmail paroles stiprums ir bezgalīgi svarīgāks nekā tavas Spotify paroles stiprums.
Tieši to drošības profesionāļi dēvē par “vājāko posmu”: uzbrucēji netēmē uz vislabāk aizsargāto pakalpojumu, viņi tēmē uz vissliktāk aizsargāto pakalpojumu, kas var sasniegt pārējos.
Biežākie uzbrukumi e-pasta kontiem
Četri uzbrukuma vektori veido lielāko daļu e-pasta kompromitāciju.
Mērķtiecīga pikšķerēšana ir visbiežākā: e-pasts, kas atdarina Google, Microsoft vai Apple, aicina tevi vēlreiz pieteikties. Pikšķerēšanas lapa reāllaikā notver tavus akreditācijas datus. Akreditācijas datu izmēģināšana (credential stuffing) izmanto no citiem pakalpojumiem nozagtu paroļu datubāzes (Have I Been Pwned uzskaita vairāk nekā 15 miljardus atklātu kontu), ja tu atkārtoti izmanto vienu un to pašu paroli, uzbrucēji to automātiski izmēģina tavā e-pastā. SIM apmaiņa (SIM swapping) nolaupa tavu tālruņa numuru no operatora, lai pārtvertu verifikācijas ziņas. Brutālais spēks (brute force) tēmē uz kontiem bez 2FA, kas izmanto vienkāršas paroles.
Kā aizsargāt savu e-pastu
Piecas konkrētas darbības, sakārtotas pēc ietekmes:
- →Ieslēdziet divfaktoru autentifikāciju (2FA): vēlams ar autentifikatora lietotni (Google Authenticator, Authy, Aegis), nevis SMS, kas ir neaizsargāts pret SIM apmaiņu.
- →Izmantojiet unikālu, garu paroli (20+ rakstzīmes), ko ģenerējis paroļu pārvaldnieks (Bitwarden, 1Password): nekad neizmantojiet to atkārtoti citur.
- →Regulāri pārbaudiet aktīvās sesijas: Gmail lapas apakšā noklikšķiniet uz „Konta aktivitāte“, lai apskatītu un pārtrauktu jebkuru aizdomīgu savienojumu.
- →Ieslēdziet pieteikšanās brīdinājumus jaunām ierīcēm: Gmail un Outlook nosūta e-pastu vai paziņojumu par katru jaunu pieteikšanos.
- →Izvairieties izmantot savu galveno e-pasta adresi kā pieteikšanās vārdu nepazīstamās vietnēs: izmantojiet aizstājējadresi (SimpleLogin, Apple Hide My Email).
Digitālā drošība ir ķēde. Tās vājākais posms bieži vien ir e-pasts, nevis pakalpojums, ko tu centies aizsargāt. Veltī šodien piecas minūtes, lai ieslēgtu 2FA savā galvenajā e-pasta kontā: tā ir viena darbība ar augstāko aizsardzības un pūļu attiecību personiskajā digitālajā drošībā.
- Have I Been Pwned — aggregated data-breach database (Troy Hunt), homepage account count
- Google Security Team, with New York University & UC San Diego — “New research: How effective is basic account hygiene at preventing hijacking,” Google Security Blog, 2019
- Kevin Lee, Ben Kaiser, Jonathan Mayer, Arvind Narayanan — “An Empirical Study of Wireless Carrier Authentication for SIM Swaps,” SOUPS 2020, Princeton University
- NIST Special Publication 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management (§5.1.3.3)
Pārbaudi sava konta drošību