Еще один день, еще одно серьезное нарушение безопасности. Следуя по стопам Twitter и Experian, в четверг PayPal начал уведомлять почти 35 000 пользователей о том, что их учетные записи были взломаны в период с 6 по 8 декабря. Что здесь отличается, так это метод, который злоумышленники использовали для взлома учетных записей. Сам PayPal не был взломан. Вместо этого злоумышленники использовали атаку, известную как вброс учетных данных, используя ранее просочившуюся регистрационную информацию, которую люди повторно использовали для своих учетных записей PayPal.
“В течение двух дней хакеры имели доступ к полным именам владельцев учетных записей, датам рождения, почтовым адресам, номерам социального страхования и индивидуальным налоговым идентификационным номерам”, ’ сообщает Bleeping Computer. “Истории транзакций, данные подключенных кредитных или дебетовых карт и данные о выставлении счетов PayPal также доступны на счетах PayPal”.
Это серьезная утечка личной информации. PayPal остановила вторжение в течение двух дней, сбросила пароли для пострадавших пользователей и заявляет, что попыток несанкционированных транзакций предпринято не было. Это также дает затронутым пользователям два бесплатных года мониторинга кредитоспособности от Equifax для каждого компьютера, который подает сигнал.
Но эта атака не должна была произойти. Еще раз: PayPal не был взломан, и ни одна из этих учетных записей не была бы скомпрометирована, если бы их владельцы соблюдали некоторые фундаментальные правила онлайн-безопасности.
Не используйте повторно пароли для разных учетных записей, особенно для тех, которые содержат сверхчувствительную личную или банковскую информацию (например, PayPal). Хороший менеджер паролей упрощает это, и доступны бесплатные опции. Включение двухфакторной аутентификации также предотвратило бы эти атаки с использованием учетных данных. PayPal предлагает опцию безопасности в меню настроек своей учетной записи. Наше руководство по правильной настройке двухфакторной аутентификации может помочь, если вы не знакомы с этим термином.
Пожалуйста, сделайте и то, и другое сейчас, если вы еще этого не сделали. Это первые два совета из 5 простых задач, которые помогут повысить вашу безопасность по определенной причине.
Возможно, PayPal и не был взломан, но и здесь не совсем без вины. Бабер Амин, исполнительный директор Veridium, прислал по электронной почте следующие соображения:
“Как надежные поставщики, PayPal и другие должны установить здесь более высокую планку. Поставщики должны внедрять:
Процессы для мониторинга и выявления аномального поведения, такого как огромное количество сбоев при входе в систему в результате атаки с использованием учетных данных. Сейчас существует множество инструментов и служб, которые могут это сделать. Для PayPal требуется несколько дней, чтобы поймать это, не должно быть приемлемым.
Активно поощряйте клиентов использовать двухфакторную аутентификацию, а не просто предоставлять ее в качестве опции.
Активно удаляйте пароли из своих пользовательских систем, быстро отслеживая внедрение Fido Passkey.”
Последняя часть немного корыстна, поскольку Veridium – это фирма по кибербезопасности, специализирующаяся на аутентификации без пароля, но это все равно хороший совет для PayPal. Мы видели, как крупные технологические компании, такие как Apple, Google и Microsoft, недавно перешли на будущее без пароля.
Однако до тех пор, пока мы не достигнем этого момента, защита ваших паролей и учетных записей остается критически важной, поскольку это нарушение правил PayPal приводит к успеху. Соберите своих охранников в ряд и оставайтесь там в безопасности, ребята.