Studiu de caz: cum ti se poate fura identitatea in sapte pasi simpli

[bogdi19]

Multi se simt in siguranta online, gandindu-se ca nu va da un hacker priceput tocmai peste ei. Din pacate, nu este nevoie sa fii hacker pentru a reusi sa furi date importante si chiar identitatea altuia in mediul online.

Kevin Mitnick, celebrul hacker american care a fost condamnat de doua ori la inchisoare pentru crime informatice, a popularizat termenul de "social engineering".

Mitnick, care a reusit sa sparga sistemele IBM, Nokia, Motorola, Fujitsu Siemens si multe altele, a laudat intotdeauna aceasta metoda drept cea mai eficienta pentru a obtine acces la date in mediul online. Ce este social engineering? O sarlatanie simpla, manipularea unei persoane sau a unui sistem pentru a obtine date ce ar trebuie sa ramana secrete.

Fara abilitati de hacker si in scop pur demonstrativ, Herbert Thompson, un software developer american, a explicat cum se poate fura identitatea unei persoane in zilele noaste, in sapte pasi simpli, prezentati de SmartPlanet.com.

Pornind de la numele victimei "Kim", locul ei de munca si banca ei, Thompson a reusit sa afle online fara mari probleme toate informatiile necesare pentru a obtine acces la contul bancar.

Cautare pe Google. Blogul victimei este foarte folositor si contine informatii despre rude, animale de companie, dar cel mai important, doua adrese de mail: cea Gmail si cea de pe serverul facultatii unde a studiat Kim.

"Hackerul", folosind doar metode disponibile oricui, incepe prin a intra pe site-ul bancii pentru a reseta parola, care ajunge insa in contul de Gmail.

Incearca sa reseteze parola de Gmail, care il trimite la adresa de email a facultatii. In 2008, cand a fost realizat experimentul, Gmail iti dadea informatii cu privire la domeniul adresei de email folosita pentru resetarea parolei.

Intrebarile de securitate de pe site-ul de webmail al facultatii nu sunt problematice, deoarece victima a fost generoasa cu informatiile personale pe blog. Exista insa un obstacol: data exacta a nasterii.

Folosind sistemul de arhive publice, "hackerul" cauta numele victimei in arhiva politiei rutiere pentru a afla data nasterii, dar nu are noroc.

Thompson revine la blogul lui Kim si, cautand cu mai multa atentie, afla data nasterii, insa fara an.

Intors la site-ul de webmail al facultatii care ii cere data exacta a nasterii, "hackerul" incearca sa o ghiceasca. Prima incercare este gresita, dar site-ul ii mai da cinci sanse. Deoarece stie varsta aproximativa a victimei, reuseste sa ghiceasca.

Odata ce a obtinut accesul la prima adresa de email, Thompson reseteaza parola de Gmail, apoi de acolo pe cea a bancii.

Ambele sisteme au intrebari de verificare a identitatii, dar informatiile de pe blog au fost suficiente. Acum, "hackerul" are acces la contul bancar si la istoricul ei fiscal.

Chiar daca in Romania exista mai putine informatii oficiale in mediul online, utilizatorii reletelor de socializare publica singuri informatii pretioase care pot fi folosite pentru furtul de identitate.

Cei mai multi romani nu au o adresa de email creata pe serverele facultatii, dar veriga slaba poate fi intrebarea de securitate a unui cont de email Hotmail sau Yahoo, CV-ul publicat pe un site de joburi, contul Facebook sau contul, de mult uitat, Hi5.

Tu esti sigur ca nu ai o veriga slaba?

Sursa: Hit.ro - Stiri IT, Jocuri, Gadgeturi, Download programe

Mare majoritate din cei de aici stiu deja foarte bine chestiile astea,dar se pare ca inca tine.

Edited January 15, 2012 by bogdi19

[StrXt]

Intradevar, inca tine...

Si informatiile chiar daca nu exista in mediul online se pot obtine relativ usor.

Lumea ar trebui sa fie mai atenta...

Faceti-va email special pentru paypal / contul bancar / etc.

[3v1lM1nD]

Cred ca mai simplu este sa faci un cont cu numele unui fost coleg de facultate sau liceu si de acolo incepi sa aflii mult mai multe cu discutii de genul:

1 ce banca sa imi aleg ca in acest moment sunt tare nemultumit de brd ?

2 tu la ce banca ai cont ?

3 mai spune-mi inca odata cand este ziua ta ca am uitat.

4 stiam ca ai un animalut ... ce mai face ?

Bineinteles toate aceste intrebari se pun in timp si nu in ordinea aceasta si nicidecum intr-o singura discutie. Dar se pot strange date importante foarte usor cu vorba buna.

Una din intrebarile care trebuie sa le pui in sinea ta este:

are rost sa iti risti libertatea pentru cateva mii de ron ? asta presupunand ca vrei sa intrii pe cont si ca ai cum sa generezi un cod unic ce il genereaza numai acel token doar pentru acea persoana la acea banca. dupa care mai generezi un cod pentru tranzactia care urmeaza sa se desfasoare functie de un numar afisat pe ecran in acel moment (asa patesc eu cu ING). Guess not !

Sincer cred ca faza cu furatul de identitate prezentat mai sus este usor "spalat pe dinti" si tine de "gargara" de parca poti sa intrii pe vreo banca doar cu o parola si sa duci bani dintr-un cont in altul fara un cod de siguranta sau altceva.

Singurul mod de a face rost de bani este mai simplu: ii stii adresa de email cu care face plati pe paypal si incerci acolo o parola doua dupa care iti faci tie o plata doua. cred ca e mai simplu decat sa incepi sa resetezi parole si alte cele. Cu un keylogger se rezolva acest aspect instant mai ales acum unde Ardamax si multe altele au optiunea de "meltdown" si instalare instantanee pachet special creat cu setari de trimitere pe email "deploy pack". Dar revine intrebarea de mai sus: se merita libertatea ta pentru o suma de cateva sute sau mii de € ?

Salutare.

Edited February 4, 2012 by 3v1lM1nD

[eu0800]

Intradevar, inca tine...

Si informatiile chiar daca nu exista in mediul online se pot obtine relativ usor.

Lumea ar trebui sa fie mai atenta...

Faceti-va email special pentru paypal / contul bancar / etc.

Folositi oameni buni gmail, activati verificarea in doi pasi si poate ala sa fie la tine in casa, de pe pc-ul tau si tot nu prinde acces la datele de pe email.Peace .

[ZeroCold]

Majoritatea persoanelor care folosesc internetul nu dau 2 bani pe datele personale, nici nu se gandesc ca cineva le-ar putea fura datele. Gandesc la modu "Nu are ce sa faca y cu datele mele (data nasterii, nume, adresa etc)" si nu acorda atentie.

Referitor la articol, personal mi se pare slab... Am auzit povestea cu kevin de nspe ori in nspe variante, nu mai scrie nimeni un articol bun in ziua de azi?

Folosind sistemul de arhive publice, "hackerul" cauta numele victimei in arhiva politiei rutiere pentru a afla data nasterii, dar nu are noroc.

Arhiva politiei nu era mai simplu sa intrebe o cunostiinta de-a ei? (ruda, prieten, coleg etc.)

...

[bogdi19]

Referitor la articol, personal mi se pare slab... Am auzit povestea cu kevin de nspe ori in nspe variante, nu mai scrie nimeni un articol bun in ziua de azi?

...

Cum e securitatea asa sunt si articolele.

[em]

Gmail ?i Facebook au op?iunea s? î?i dea un SMS cu confirmare la fiecare autentificare de pe un PC nou. Pân? ?i Yahoo Mail nu î?i d? acces la întreb?rile secrete decât dup? 48 de ore.

Lucrurile s-au mai schimbat de atunci.