ハッカーがDROPBOXとSNAPCHATのパスワードを取得する方法

昨夜所有していると主張する匿名のハッカー Dropboxアカウントへの700万のパスワードの。その主張はおそらく誤りでしたが、ハッカーがパスワードにアクセスするために使用する方法がますます一般的になっていることを示しています。

ハッカーは、メインリストの一連の「ティーザー」で匿名のメモサイトPastebinに約400のユーザー名とパスワードを投稿しました。一部のRedditユーザー会社が漏洩したすべてのパスワードを無効にする前に投稿された情報を使用して、Dropboxに正常にログインすることができました。

だが Dropboxはすぐにクレームに疑問を投げかけました、ハッキングされたことを否定し、ユーザー名とパスワードの多くがDropboxアカウントに関連していないと主張しました。

では、パスワードはどこから来るのでしょうか？結局のところ、彼らはしばらくの間働いた。

トッド・フィッシャーの身長

最も可能性の高い情報源は、セキュリティが不十分なサードパーティのサイトです。ハッカーは、ほとんどのインターネットユーザーがパスワードを再利用することを知っているため、アマチュア開発者が作成した小さなアプリを標的にすることがよくあります。これらの簡単なターゲットはセキュリティが低いため、ユーザー名、パスワード、またはファイルは、ハッカーが簡単に盗むことができる方法で保存される可能性があります。

最近のSnapchatハックアマチュアの開発者が自分のウェブサイトを安全に設定していなかったために、10万近くのプライベートな写真やビデオがオンラインで投稿されたのを見ました。 SnapsavedFacebookページへの投稿、サイトの匿名の創設者は、誤って構成されたApacheサーバーがファイルをハッカーに対して脆弱なままにしたと説明しています。

キャッシュ・ウォーレンの身長

ハッカーは、もはやハイテクの巨人を狙う必要はありません。構築が不十分なWebサイトを利用して同じ情報を取得できるのに、なぜわざわざGoogle、Apple、またはFacebookのサーバーをハッキングしようとするのでしょうか。

現在、ハッカーが新しいアプローチを使用しているのを目にしています。大規模なサイトの脆弱性を見つけるのに何ヶ月も費やす代わりに、アマチュアのサードパーティアプリから盗まれたログイン情報を再利用します。情報が複数のサイトで機能する可能性があるため、これらのデータのキャッシュを一緒にコンパイルすると、数百万のパスワードのリストをすばやく作成できます。

9月中、ロシアのハッカーがリストを公開 Gmailを含むさまざまな電子メールプロバイダーへの500万のパスワード。これは新しいリークではありませんでしたが、古いパスワードリークのコレクションがまとめられて新しいように見えました。確かに、多くの電子メールアカウントは閉鎖されていましたが、ハッカーが情報をダウンロードして使用し、他のアカウントに侵入する可能性がありました。

では、なぜハッカーは古い情報を再利用しているのでしょうか。彼らが実際にパスワードを使用してサイトにログインしているという証拠はめったにありません。代わりに、彼らは情報をオンラインで投稿しているようです。または少なくとも、彼らは情報の一部をオンラインで投稿します。前に述べたように、ハッカーはパスワードの部分的な収集を「ティーザー」として漏らします。これには、ビットコインの寄付のリクエストが伴うことがよくあります。

ビットコインアドレスの公開性を利用して、オンラインでパスワードを投稿することでハッカーがどれだけの利益を得るかを確認できます。多くの場合、彼らが期待するよりも少ないです。 Dropboxパスワードのコレクションを共有したハッカーわずか8セントを受け取りました。同様に、ハッキングされたiCloud有名人の写真の最初の波の背後にある匿名のフォーラムポスターであるOriginalGuyは、寄付の小さな細流に落胆を表明したそれが彼の道に来て、次のように述べています。

確かに、私はビットコインのアドレスで120ドルを手に入れましたが、このようなものを取得するのにどれだけの時間が費やされたか（私はハッカーではなく、単なるコレクターです）、そしてお金（私はビットコインを介して多くを支払いましたこのようなものが金曜日/土曜日に個人的に取引されていたときのセット）私は本当に私が望んでいたものに近づきませんでした。

オンラインでのパスワードの漏洩はますます増えています。アマチュアの開発者はパスワードのセキュリティを強化しておらず、既存のリークが再び表面化しています。公開される情報は数年前のものであることがよくありますが（Dropboxパスワードとともに投稿された電子メールの多くは2012年に非アクティブ化されました）、他のサイトへの攻撃に使用される電子メールアドレスとパスワードの大規模なリストを編集するハッカーにとっては依然として価値があります。

そして、それが明確でない場合に備えて、これもあなたのせいです。異なるアプリで同じパスワードを何度も使用している場合、ハッカーはそれらを見つけるためにAppleやFacebookのサーバーにアクセスする必要はありません。パスワードセキュリティが最も弱い小さなアプリを特定するだけです。