對於我們大多數人來說，密碼只是無數在線服務最常用的身份驗證方法。但對於網路犯罪分子而言，它的意義遠不止於此——進入他人生活的捷徑、至關重要的工作工具以及可以出售的商品。知道密碼後，騙子不僅可以獲取您的帳戶、數據、金錢，甚至身份；他們還可以將您作為薄弱環節來攻擊您的在線朋友、親戚，甚至您工作或管理/擁有的公司。為防止這種情況，您首先需要了解外人如何獲取您的密碼。

 

您的密碼如何落入網路罪犯之手？

有一種普遍的誤解認為，要將您的密碼提供給網路騙子，您需要犯一個錯誤——從 Internet 下載並運行未經檢查的文件，打開來自未知發件人的文檔，或者在某些可疑網站上輸入您的憑據。誠然，所有這些行為模式都可以讓攻擊者的生活更輕鬆，但也有其他情況。以下是獲取帳戶訪問權限的最常見網路犯罪方法。

 

網路釣魚

這確實是主要依賴人為錯誤的憑證收集方法之一。每天都會出現數百個網路釣魚站點，在數以千計通向它們的郵件的幫助下。但是，如果您出於某種原因認為您永遠不會上當網路釣魚的把戲——那您就錯了。該方法幾乎與互聯網本身一樣古老，因此網路犯罪分子有足夠的時間來開發大量的社會工程技巧和偽裝策略。即使是專業人士，有時也無法一眼就辨別出釣魚郵件和真實郵件。

 

惡意軟體

竊取憑據的另一種常見方法是使用惡意軟體。根據我們的統計，很大一部分活躍的惡意軟體由木馬竊取程式組成，其主要目的是等待用戶登錄某個站點或服務，然後復制他們的密碼並將其發回給其作者。如果您不使用保護性解決方案，特洛伊木馬可能會在您的計算機上隱藏多年而不被發現 — 您不會知道出了什麼問題，因為它們不會造成任何明顯的傷害，只是默默地執行它們的工作。

竊取者特洛伊木馬並不是唯一尋找密碼的惡意軟體。有時，網路犯罪分子會在網站上註入網路瀏覽器並竊取用戶輸入的任何內容，包括憑據、姓名、銀行卡詳細信息等。

 

 

第三方洩密

但是，您不必自己犯同樣的錯誤。成為一些不安全的互聯網服務的用戶或洩露包含其客戶數據的數據庫的公司的客戶就足夠了。當然，認真對待網路安全的公司根本不會存儲您的密碼，或者至少以加密形式存儲。但你永遠無法確定是否採取了足夠的措施。例如，今年SuperVPN洩露的信息包含 2100 萬用戶的個人詳細信息和登錄憑據。

此外，有些公司根本無法避免存儲您的密碼。是的，我說的是臭名昭著的 LastPass 密碼管理實用程式黑客攻擊。根據最新信息，一個未知的威脅行為者使用一些客戶數據訪問了基於雲的存儲，包括客戶保險庫的備份。是的，這些保險庫已正確加密，LastPass 從未存儲甚至不知道解密密鑰。但是，如果 LastPass 客戶使用已經從其他來源洩露的密碼鎖定了他們的保險庫怎麼辦？如果他們重複使用不安全的密碼，那麼現在網路犯罪分子將能夠一次訪問他們的所有帳戶。

 

初始訪問代理

在這裡，我們來到了另一個被盜密碼的來源——黑市。現代網路犯罪分子更喜歡專注於某些領域。他們可能會竊取您的密碼，但不一定會使用它們：批發銷售它們更有利可圖。購買此類密碼數據庫對網路犯罪分子特別有吸引力，因為它為他們提供了一個多合一的功能：用戶傾向於在多個平台和帳戶中使用相同的密碼，通常將它們全部綁定到同一封電子郵件。因此，有了來自一個平台的密碼，網路犯罪分子就可以訪問受害者的許多其他帳戶——從他們的遊戲帳戶到他們的個人電子郵件，甚至是成人網站上的私人帳戶。

洩露的公司數據庫可能包含也可能不包含憑據，也在同一個黑市上出售。此類數據庫的價格因數據量和組織所在行業而異：一些密碼數據庫可能售價數百美元。

暗網上的某些服務會聚合洩露的密碼和數據庫，然後啟用付費訂閱或一次性訪問它們的集合。2022 年 10 月，臭名昭著的勒索軟體組織 LockBit入侵了一家醫療保健公司，並竊取了其包含醫療信息的用戶數據庫。他們不僅在暗網上出售對這些信息的訂閱——大概他們在同一個黑市上購買了初始訪問權。

暴力攻擊

在某些情況下，網路罪犯甚至不需要竊取數據庫就可以找到您的密碼並侵入您的帳戶。他們可以使用暴力攻擊，換句話說，嘗試數千種典型的密碼變體，直到其中一種有效。是的，這聽起來不太可靠。但他們不需要遍歷所有可能的組合——有某些工具（Wordlist Generators）可以根據受害者的個人信息生成可能的常用密碼列表（所謂的暴力字典）。

這些程式看起來像是一份關於受害者的迷你問卷。他們詢問姓名、姓氏、出生日期、伴侶、孩子甚至寵物的個人信息。攻擊者甚至可以添加他們知道的關於目標的額外關鍵字，這些關鍵字可以被添加到組合中。使用這種相關詞、名稱、日期和其他數據的組合，詞表生成器創建了數千個密碼變體，攻擊者稍後在登錄時嘗試使用這些變體。

要使用這種方法，網路犯罪分子首先需要進行研究——這時那些洩露的數據庫可能會派上用場。它們可能包含出生日期、地址或“秘密問題”的答案等信息。數據的另一個來源是社交網路中的過度分享。一些看起來絕對微不足道的東西，比如一張 12 月 6 日的照片，上面寫著“今天是我心愛的小狗的生日”。

 

密碼洩露或暴力破解的可能後果

有一些明顯的後果：網路犯罪分子可以接管您的帳戶並持有它以勒索贖金，用它來欺騙您的聯繫人和在線朋友，或者，如果他們能夠獲得您的銀行網站或應用程式的密碼，則清空您的帳戶。然而，有時他們的意圖並不那麼直接。

例如，隨著越來越多的遊戲引入遊戲內貨幣和微交易，越來越多的用戶將他們的支付方式與他們的帳戶相關聯。這使遊戲玩家成為黑客的有趣目標。通過獲得對遊戲帳戶的訪問權限，他們可以竊取遊戲中的貴重物品，如皮膚、稀有物品或內部遊戲貨幣，或濫用受害者的信用卡數據。

在搜索您的帳戶時可以獲得的洩露的數據庫和信息不僅可以用於經濟利益，還可以用於聲譽損害和其他類型的社會損害，包括doxing。如果您是名人，您可能會被勒索並面臨選擇：洩露個人信息（這可能會影響您的聲譽）或損失金錢。

即使您不是名人，也可能成為 doxing 的受害者——在網上洩露某人的身份信息的行為——例如他們的真實姓名、家庭住址、工作場所、電話、財務和其他個人信息。Doxing 攻擊的範圍從相對無害的攻擊，例如以您的名義註冊到無數的郵件列表或偽造的比薩外賣訂單，到更危險的攻擊，例如各種形式的網路欺凌、身份盜用，甚至是當面跟蹤.

最後，如果您對個人帳戶和工作帳戶使用相同的密碼，網路犯罪分子可以接管您的公司電子郵件並將其用於商業電子郵件洩露計劃甚至有針對性的攻擊。

 

如何保護您的帳戶免受不必要的訪問

首先 – 始終牢記密碼衛生：

• 不要為多個帳戶重複使用相同的密碼；
• 讓你的密碼又長又強；
• 安全地存放它們；
• 在第一次聽到有關使用此密碼保護的服務或網站發生數據洩露的消息時，立即更改密碼。

我們的密碼管理器軟體可以幫助您完成所有這些任務。它作為我們面向SMB和家庭客戶的安全解決方案的一部分提供。

此外，卡巴斯基應用程式實時監控您所有密碼的安全性。它甚至提供檢查洩漏是否真的發生的服務。稱為數據洩漏檢查器，它位於“隱私”選項卡下。它可以讓您檢查您的電子郵件是否已在某處被盜的數據庫中被發現。如果是這樣，您將收到一份洩漏站點列表、公開數據的類型（個人、銀行、在線活動歷史記錄等），以及如何處理的建議。

這裡有一些額外的建議：

1. 盡可能啟用雙步驟身份驗證。它提供了額外的安全層，可以防止駭客訪問您的帳戶——即使有人設法獲取了您的登錄名和密碼。
2. 設置您的社交網路以獲得更好的隱私。這將使查找有關您的信息變得更加困難，因此使用暴力字典來攻擊您的帳戶變得更加複雜。
3. 停止過度分享個人信息，即使只有朋友可以看到。今天的朋友可能會成為明天的敵人。