Microsoft: 1,2 mln kont firmowych każdego miesiąca pada łupem przestępców
– Jeśli pracujesz w organizacji zatrudniającej 10 tys. osób, dane 50 z nich zostaną w tym miesiącu wykradzione – mówił Alexander Weinert, dyrektor ds. bezpieczeństwa tożsamości Microsoft, na lutowej konferencji RSA. Według danych przedstawionych przez spółkę, każdego miesiąca łupem przestępców pada 0,5 proc. kont firmowych, czyli łącznie ponad 1,2 mln osób.
Alexander Weinert wystąpił przed publicznością zgromadzoną w Moscone Center w San Francisco, aby zobrazować konieczność wykorzystywania weryfikacji dwuetapowej. Jak stwierdził, w tej chwili z tego zabezpieczenia korzysta zaledwie 1 na 10 użytkowników biznesowych. Tymczasem, jego zdaniem, aż 80 proc. ze wspomnianych 1,2 mln udanych ataków można byłoby uniknąć, gdyby tylko rzeczony mechanizm został aktywowany.
Microsoft uważa, że zdecydowana większość ataków na konta firmowe, głównie pocztowe, bazuje na technice password spraying, czyli wpisywaniu kilku najpopularniejszych haseł (np. zaq!@#WSX) dla setek milionów kont. Z pewnością nie jest to najbardziej wyszukana metoda, jednak przy odpowiednio szerokiej bazie kont docelowych pozwala łatwo osiągnąć zamierzony cel.
Niska świadomość zagrożeń
– Nie ma wątpliwości, że weryfikacja dwuetapowa zapobiegłaby większości ataków (...) cyberzłodzieje kochają archaiczne metody uwierzytelniania – kontynuował Weinert. Nadmienił, że raptem piąta część udanych ataków to efekt bardziej skomplikowanych kampanii, kiedy istotnie dodatkowa weryfikacja mogłaby nie pomóc. Jak w przypadku bezpośredniego wyłudzenia hasła dostępu czy fizycznej kradzieży firmowego urządzenia.
Dowodem na potwierdzenie tych słów ma być fakt, że lwia część przejętych przez crackerów kont działa na starszych protokołach, takich jak SMTP, IMAP czy POP. W opinii Weinterta, są to konta postawione na prymitywnych serwerach, w firmach gdzie panuje niska świadomość zagrożeń, a poziom wykorzystania weryfikacji dwuetapowej jest tam bliski zera.
Co zaleca Microsoft?
Odpowiedź jest prosta: włączyć weryfikację dwuetapową wszędzie, gdzie jest to możliwe. (Poniżej możesz zobaczyć nasz poradnik na ten temat). To jednak, przynajmniej nikogo w miarę zaznajomionego ze sprawą, szokować nie powinno. Weinert przedstawił jednak jeszcze jedno spostrzeżenie. – Zarządzając firmą, koniecznie uświadom swoich pracowników – zalecił. – Mimo że metody zabezpieczeń są coraz doskonalsze, udanych ataków wcale nie ubywa, a to może wynikać tylko z powszechnej niewiedzy – podsumował przedstawiciel Microsoftu.