Przez wiele lat podstawowa rada dotycząca bezpieczeństwa w internecie brzmiała: ustaw trudne hasło. Nadal jest to dobry początek, ale współczesne zagrożenia pokazują, że samo hasło często nie wystarcza.
Przestępcy nie muszą odgadywać go znak po znaku. Mogą zdobyć je z wycieku danych, nakłonić użytkownika do wpisania na fałszywej stronie albo przejąć dostęp do źle zabezpieczonego urządzenia.
Dlatego ochrona konta powinna składać się z kilku warstw.
Najgorsze hasło to hasło używane wszędzie
Wyobraźmy sobie osobę, która korzysta z tego samego hasła do poczty, sklepu internetowego, serwisu społecznościowego i kilku innych usług.
Jeżeli jeden z mniej bezpiecznych serwisów dozna wycieku danych, przestępca może spróbować użyć zdobytego adresu e-mail i hasła na innych stronach.
Taki atak jest szczególnie skuteczny właśnie dlatego, że ludzie powtarzają hasła.
Dlatego znacznie ważniejsze od tworzenia jednego „idealnego” hasła jest używanie różnych haseł do różnych usług.
Długie hasło zwykle jest lepsze od skomplikowanego krótkiego
Wiele osób próbuje tworzyć hasła w rodzaju K0t!123, ponieważ zawierają małą literę, dużą literę, cyfrę i znak specjalny.
Problem polega na tym, że takie konstrukcje często są przewidywalne.
Znacznie lepszym rozwiązaniem może być dłuższe, unikalne hasło lub fraza, której nie używamy nigdzie indziej.
Nie oznacza to oczywiście, że warto umieszczać w haśle łatwe do odgadnięcia informacje, takie jak imię, data urodzenia czy nazwa firmy.
Menedżer haseł rozwiązuje praktyczny problem
Największą przeszkodą w używaniu różnych haseł jest ludzka pamięć. Trudno zapamiętać kilkadziesiąt przypadkowych ciągów znaków.
Menedżer haseł przechowuje dane logowania i może generować unikalne hasła dla każdej usługi.
Użytkownik musi wtedy dobrze zabezpieczyć przede wszystkim dostęp do samego menedżera.
To rozwiązanie jest wygodniejsze i bezpieczniejsze niż zapisywanie wszystkich haseł w jednym pliku tekstowym nazwanym „hasła.txt”.
Uwierzytelnianie dwuskładnikowe daje dodatkową warstwę ochrony
2FA oznacza, że do logowania potrzebny jest drugi element oprócz hasła.
Może to być kod z aplikacji, fizyczny klucz bezpieczeństwa albo inne potwierdzenie.
Jeżeli przestępca pozna samo hasło, nadal nie musi być w stanie zalogować się na konto.
Nie wszystkie formy dwuskładnikowego uwierzytelniania zapewniają identyczny poziom ochrony, ale nawet dodatkowy etap logowania potrafi znacząco utrudnić przejęcie konta.
Największym zagrożeniem często jest człowiek
Możemy posiadać bardzo bezpieczne hasło, a mimo to sami przekazać je oszustowi.
Phishing wykorzystuje właśnie tę słabość. Ofiara otrzymuje wiadomość wyglądającą jak powiadomienie od banku, serwisu społecznościowego, firmy kurierskiej albo administratora poczty.
Kliknięcie prowadzi do strony niemal identycznej z prawdziwą. Użytkownik wpisuje login i hasło, które trafiają bezpośrednio do przestępcy.
Technicznie system nie został złamany. Oszukano człowieka.
Adres strony ma znaczenie
Przed wpisaniem hasła warto spojrzeć na domenę.
Fałszywe witryny często wykorzystują adresy bardzo podobne do prawdziwych. Mogą zamieniać jedną literę, dodawać dodatkowe słowo albo używać nietypowej końcówki.
Sam wygląd strony nie jest wiarygodnym dowodem. Skopiowanie logo, kolorów i układu serwisu jest stosunkowo proste.
Znacznie trudniej podrobić prawidłowy adres domeny należącej do konkretnej firmy.
Kod SMS również można wyłudzić
Wiele osób zakłada, że jeśli bank lub serwis wysłał kod SMS, transakcja musi być bezpieczna.
Tymczasem oszust może próbować nakłonić użytkownika do przepisania właśnie tego kodu.
Dlatego warto czytać całą treść wiadomości, a nie tylko sześć cyfr znajdujących się na końcu.
Często SMS informuje dokładnie, czego dotyczy potwierdzenie. Jeśli użytkownik loguje się do serwisu, a wiadomość mówi o zatwierdzeniu nowego urządzenia albo przelewu, powinno to wzbudzić podejrzenia.
Aktualizacje również chronią konta
Bezpieczeństwo nie kończy się na stronie logowania.
Jeżeli komputer lub telefon ma poważną lukę w oprogramowaniu, przestępca może wykorzystać ją do przejęcia danych.
Aktualizacje systemu i przeglądarki często zawierają poprawki bezpieczeństwa. Odkładanie ich miesiącami może oznaczać dalsze korzystanie z błędu, który jest już publicznie znany.
Co zrobić po informacji o wycieku?
Najważniejsze jest ustalenie, jakich danych dotyczył incydent.
Jeżeli mogło wyciec hasło, należy je zmienić. Jeśli było używane również w innych serwisach, zmianę trzeba przeprowadzić także tam.
Warto również sprawdzić aktywne sesje i nieznane urządzenia zalogowane na konto. W wielu usługach istnieje możliwość wylogowania wszystkich pozostałych sesji.
Nie należy natomiast zakładać, że zmiana jednej cyfry na końcu starego hasła rozwiązuje problem.
Bezpieczeństwo to zestaw dobrych nawyków
Najskuteczniejsza ochrona kont nie polega na jednym magicznym ustawieniu.
Unikalne hasła, menedżer haseł, uwierzytelnianie wieloskładnikowe, aktualizacje i ostrożność wobec podejrzanych wiadomości wzajemnie się uzupełniają.
Każda warstwa może kiedyś zawieść. Dopiero kilka zabezpieczeń jednocześnie powoduje, że przejęcie konta staje się znacznie trudniejsze.
To dobra zasada nie tylko w cyberbezpieczeństwie. Najbezpieczniejszy system to taki, który nie zakłada, że człowiek nigdy się nie pomyli.
