Διαφήμιση

Τόσες πηγαίνουν κάθε μήνα στον κόσμο της ασφάλειας του κυβερνοχώρου, της ιδιωτικής ζωής στο διαδίκτυο και της προστασίας των δεδομένων. Είναι δύσκολο να συμβαδίσει!

Η μηνιαία ανασκόπηση ασφαλείας σας θα σας βοηθήσει να παρακολουθείτε τις πιο σημαντικές ειδήσεις ασφάλειας και ιδιωτικότητας κάθε μήνα. Εδώ είναι τι συνέβη τον Νοέμβριο.

1. Η Marriott International υποφέρει από την παραβίαση δεδομένων των 500 μέτρων

Όπως πάντα, ένα από τα μεγαλύτερα κομμάτια ειδήσεων ασφαλείας χτυπά στο τέλος του μήνα.

Τον Νοέμβριο ολοκληρώθηκε με το ξενοδοχειακό συγκρότημα Marriott International αποκαλύπτοντας τεράστια παραβίαση δεδομένων. Πιστεύεται ότι έως και 500 εκατομμύρια αρχεία πελατών επηρεάζονται καθώς ο εισβολέας είχε πρόσβαση στο δίκτυο διαίρεσης Marriott International Starwood από το 2014.

Η Marriott International απέκτησε το Starwood το 2016 για να δημιουργήσει τη μεγαλύτερη ξενοδοχειακή αλυσίδα στον κόσμο, με περισσότερα από 5.800 ακίνητα.

Η διαρροή σημαίνει διαφορετικά πράγματα για διαφορετικούς χρήστες. Ωστόσο, οι πληροφορίες για κάθε χρήστη περιέχουν έναν συνδυασμό:

instagram viewer
  • Ονομα
  • Διεύθυνση
  • Τηλεφωνικό νούμερο
  • Διεύθυνση ηλεκτρονικού ταχυδρομείου
  • Αριθμός διαβατηρίου
  • Πληροφορίες λογαριασμού
  • Ημερομηνια γεννησης
  • Γένος
  • Πληροφορίες άφιξης και αναχώρησης

Ίσως να έχει μεγάλη σημασία η αποκάλυψη του Marriott μερικοί τα αρχεία περιλάμβαναν κρυπτογραφημένες πληροφορίες για την κάρτα, αλλά επίσης δεν μπορούσαν να αποκλείσουν ότι τα ιδιωτικά κλειδιά είχαν επίσης κλαπεί.

Το μακρύ και το σύντομο από αυτό είναι: εάν παραμείνατε σε οποιοδήποτε ξενοδοχείο Marriott Starwood, συμπεριλαμβανομένων των ιδιοκτησιών χρονομεριστικής μίσθωσης, πριν από τις 10 Σεπτεμβρίου 2018, οι πληροφορίες σας ενδέχεται να έχουν παραβιαστεί.

marriott διεθνής εγγραφή ξενοδοχείων webwatcher ομάδα

Η Marriott λαμβάνει μέτρα για την προστασία των δυνητικά επηρεασμένων χρηστών, προσφέροντας δωρεάν συνδρομή ενός έτους στο WebWatcher. Οι Αμερικανοί πολίτες θα λάβουν δωρεάν δωρεάν διαβούλευση και επιστροφή εξόδων. Κατά την τρέχουσα περίοδο, υπάρχουν τρεις τοποθεσίες εγγραφής:

  • Ηνωμένες Πολιτείες
  • Καναδάς
  • Ηνωμένο Βασίλειο

Διαφορετικά, ελέγξτε τα τρεις απλοί τρόποι για την προστασία των δεδομένων σας Πώς να αντιμετωπίσετε παραβιάσεις δεδομένων: 3 απλοί τρόποι για την προστασία των δεδομένων σαςΟι παραβιάσεις δεδομένων δεν πλήττουν μόνο τις τιμές των μετοχών και τους προϋπολογισμούς της κυβέρνησης. Τι πρέπει να κάνετε όταν χτυπήσουν τα νέα της παραβίασης; Διαβάστε περισσότερα μετά από μια μεγάλη παραβίαση.

2. Βιβλιοθήκη JavaScript με ροή συμβάντων που εισήχθη με κακόβουλο λογισμικό κρυπτογράφησης

Μια βιβλιοθήκη JavaScript που λαμβάνει πάνω από 2 εκατομμύρια λήψεις την εβδομάδα εγχύθηκε με κακόβουλο κώδικα που σχεδιάστηκε για να κλέψει κρυπτοσυχνότητες.

Το αποθετήριο Event-Stream, ένα πακέτο JavaScript που απλοποιεί τη λειτουργία με τις ενότητες συνεχούς ροής Node.js, βρέθηκε ότι περιέχει κώδικα που δεν είναι κωδικοποιημένος. Όταν οι ερευνητές αποκάλυψαν τον κώδικα, κατέστη σαφές ότι ο στόχος του ήταν η κλοπής bitcoin.

Η ανάλυση προτείνει τις βιβλιοθήκες κωδικών στόχων που σχετίζονται με το πορτοφόλι Bitpein Copay για κινητά και επιτραπέζιους υπολογιστές. Εάν το πορτοφόλι Copay υπάρχει σε ένα σύστημα, ο κακόβουλος κώδικας επιχειρεί να κλέψει τα περιεχόμενα του πορτοφολιού. Προσπαθεί στη συνέχεια να συνδεθεί με μια Μαλαισιανή διεύθυνση IP.

Ο κακόβουλος κώδικας μεταφορτώθηκε στο χώρο αποθήκευσης του Event-Stream αφού ο αρχικός προγραμματιστής, ο Dominic Tarr, έδωσε τον έλεγχο της βιβλιοθήκης σε έναν άλλο προγραμματιστή, right9ctrl.

Το Right9ctrl ανέβασε μια νέα έκδοση της βιβλιοθήκης σχεδόν αμέσως μόλις δόθηκε ο έλεγχος, η νέα έκδοση που περιέχει τον κακόβουλο κώδικα που στοχεύει τα πορτοφόλια Copay.

Ωστόσο, από τότε, το right9ctrl έχει ανεβάσει μια νέα έκδοση της βιβλιοθήκης - χωρίς κακόβουλο κώδικα. Η νέα μεταφόρτωση συμπίπτει επίσης με την ενημέρωση του Copay για τα πακέτα πορτοφολιών κινητής και επιφάνειας εργασίας για την κατάργηση της χρήσης των βιβλιοθηκών JavaScript που στοχεύει ο κακόβουλος κώδικας.

3. Το Amazon υποφέρει από τις ημερομηνίες παραβίασης δεδομένων πριν από την μαύρη Παρασκευή

Λίγες μέρες πριν από τη μεγαλύτερη ημέρα των αγορών του έτους (bar Single Day της Κίνας, φυσικά), Amazon υπέστη μια παραβίαση δεδομένων.

"Σας επικοινωνούμε μαζί σας για να σας ενημερώσουμε ότι ο ιστότοπός μας αποκάλυψε ακούσια το όνομά σας και τη διεύθυνση ηλεκτρονικού ταχυδρομείου σας λόγω τεχνικού σφάλματος. Το ζήτημα έχει διορθωθεί. Αυτό δεν είναι αποτέλεσμα οτιδήποτε έχετε κάνει και δεν χρειάζεται να αλλάξετε τον κωδικό πρόσβασής σας ή να κάνετε οποιαδήποτε άλλη ενέργεια. "

Είναι δύσκολο να μετρήσουμε τις ακριβείς λεπτομέρειες της παραβίασης επειδή, καλά, το Amazon δεν λέει. Ωστόσο, οι χρήστες του Amazon στο Ηνωμένο Βασίλειο, στις ΗΠΑ, στη Νότια Κορέα και στις Κάτω Χώρες ανέφεραν ότι έλαβαν ένα μήνυμα ηλεκτρονικού ταχυδρομείου από την Amazon σχετικά με την παραβίαση, επομένως ήταν ένα αρκετά παγκόσμιο ζήτημα.

Οι χρήστες μπορούν να πάρουν κάποια παρηγοριά επειδή ήταν ένα τεχνικό ζήτημα του Αμαζονίου που οδήγησε στην παραβίαση των δεδομένων, παρά μια επίθεση εναντίον του Amazon. Η απελευθέρωση των πληροφοριών δεν περιέχει ούτε τραπεζικές πληροφορίες.

Ωστόσο, το μήνυμα του Amazon ότι δεν υπάρχει λόγος να αλλάξουν οι κωδικοί πρόσβασης οι χρήστες που τους έχουν επηρεαστεί είναι λάθος. Εάν έχετε επηρεαστεί από την παραβίαση δεδομένων του Αμαζονίου, αλλάξτε τον κωδικό πρόσβασης του λογαριασμού σας.

4. Αυτο-κρυπτογράφηση της Samsung και Crucial SSD ευπάθειες

Οι ερευνητές της ασφάλειας αποκάλυψαν πολλαπλές κρίσιμες ευπάθειες στη Samsung και Crucial αυτο-κρυπτογραφημένα SSD. Η ερευνητική ομάδα εξέτασε τρία βασικά SSD και τέσσερα SSD της Samsung, βρίσκοντας κρίσιμα ζητήματα με κάθε μοντέλο δοκιμαστεί.

Ο Carlo Meijer και ο Bernard van Gastel, ερευνητές της ασφάλειας στο Πανεπιστήμιο Radboud των Κάτω Χωρών, εντοπίζονται τρωτά σημεία [PDF] στην εφαρμογή των οδηγών της ασφάλειας ATA και της TCG Opal, οι οποίες είναι δύο προδιαγραφές για την εφαρμογή κρυπτογράφησης σε SSD που χρησιμοποιούν κρυπτογράφηση βασισμένη σε υλικό.

αυτο κρυπτογράφηση ssd ευπάθειες

Υπάρχουν διάφορα θέματα:

  • Η έλλειψη κρυπτογραφικής δέσμευσης μεταξύ του κλειδιού κρυπτογράφησης κωδικού πρόσβασης και δεδομένων σημαίνει ότι ο εισβολέας μπορεί να ξεκλειδώσει δίσκους τροποποιώντας τη διαδικασία επικύρωσης του κωδικού πρόσβασης.
  • Το Crucial MX300 έχει έναν κύριο κωδικό πρόσβασης καθορισμένο από τον κατασκευαστή - αυτός ο κωδικός πρόσβασης είναι μια κενή συμβολοσειρά, π.χ., δεν υπάρχει κανένας.
  • Ανάκτηση των κλειδιών κρυπτογράφησης δεδομένων της Samsung μέσω της εκμετάλλευσης της ισοστάθμισης φθοράς SSD.

Συναρπαστικά, οι ερευνητές δήλωσαν ότι αυτά τα τρωτά σημεία θα μπορούσαν να ισχύουν πολύ και για άλλα μοντέλα καθώς και για διαφορετικούς κατασκευαστές SSD.

Αναρωτιέστε πώς να προστατεύσετε τους δίσκους σας; Εδώ είναι πώς εσείς προστατεύστε τα δεδομένα σας χρησιμοποιώντας το εργαλείο κρυπτογράφησης ανοιχτού κώδικα VeraCrypt Πώς να κρυπτογραφήσετε και να προστατεύσετε τα δεδομένα και τα αρχεία σας χρησιμοποιώντας το VeraCryptΤο VeraCrypt είναι ένα δωρεάν εργαλείο κρυπτογράφησης ανοικτού κώδικα που μπορείτε να χρησιμοποιήσετε για την κρυπτογράφηση και την προστασία των πολύτιμων προσωπικών σας δεδομένων στα Windows. Διαβάστε περισσότερα .

5. Η καμπάνια Malvertising Mal Pay Payments απευθύνεται στους χρήστες iPhone

Οι χρήστες του iPhone είναι ο στόχος μιας συνεχούς καμπάνιας κακοποίησης που αφορά την Apple Pay.

Η καμπάνια προσπαθεί να ανακατευθύνει και να εξαπατήσει τους χρήστες των διαπιστευτηρίων πληρωμής της Apple Pay χρησιμοποιώντας δύο phishing pop-ups, με την επίθεση που προήλθε από μια σειρά από εφημερίδες και περιοδικά υψηλής ποιότητας όταν έχουν πρόσβαση μέσω iOS.

Το κακόβουλο λογισμικό, γνωστό ως PayLeak, προσφέρει ανυποψίαστους χρήστες iPhone που κάνουν κλικ σε μια κακόβουλη διαφήμιση σε έναν τομέα εγγεγραμμένο στην Κίνα.

Όταν ο χρήστης φτάσει στον τομέα, το κακόβουλο πρόγραμμα ελέγχει μια σειρά διαπιστευτηρίων, συμπεριλαμβανομένης της συσκευής κίνηση, τον τύπο της συσκευής (Android ή iPhone) και αν το πρόγραμμα περιήγησης της συσκευής είναι το Linux x86_64, το Win32 ή το MacIntel.

Επιπλέον, το κακόβουλο λογισμικό ελέγχει τη συσκευή για εφαρμογές antivirus ή antimalware.

το μήλο πληρώνει ψεύτικη ενημερωμένη έκδοση pop up malware

Εάν πληρούνται οι σωστές προϋποθέσεις, οι χρήστες Android μεταφέρονται σε έναν ιστότοπο ηλεκτρονικού "ψαρέματος" που ισχυρίζεται ότι ο χρήστης έχει κερδίσει μια κάρτα δώρων Amazon.

Ωστόσο, οι χρήστες iPhone λαμβάνουν δύο αναδυόμενα παράθυρα. Το πρώτο είναι μια ειδοποίηση ότι το iPhone χρειάζεται ενημέρωση, ενώ το δεύτερο ενημερώνει το χρήστη ότι η εφαρμογή Apple Pay χρειάζεται και ενημέρωση. Η δεύτερη ειδοποίηση μοιράζεται τις πληροφορίες της πιστωτικής κάρτας Apple Pay με ένα διακομιστή απομακρυσμένης εντολής και ελέγχου.

6. Ένα εκατομμύριο παιδικά ρολόγια Tracker ευάλωτα

Τουλάχιστον ένα εκατομμύριο ρολόγια παρακολούθησης παιδιών με δυνατότητα GPS πωλούνται σε γονείς με τρωτά σημεία.

Η έρευνα για τους συνεργάτες του Pen Test Partners αναλύεται λεπτομερώς πολυάριθμα ζητήματα ασφάλειας με το εξαιρετικά δημοφιλές ρολόι ασφαλείας παιδιών MiSafe. Τα ρολόγια με δυνατότητα GPS έχουν σχεδιαστεί για να επιτρέπουν σε έναν γονέα να παρακολουθεί πάντα τη θέση του παιδιού του.

Ωστόσο, οι ερευνητές της ασφάλειας διαπίστωσαν ότι οι αριθμοί αναγνωριστικών συσκευών -και κατά συνέπεια ο λογαριασμός χρήστη- θα μπορούσαν να έχουν πρόσβαση.

Η πρόσβαση στον λογαριασμό επέτρεψε στην ομάδα ασφάλειας να εντοπίσει το παιδί, να προβάλει μια φωτογραφία του παιδιού, ακούστε τις συνομιλίες μεταξύ του παιδιού και του γονέα του ή απομακρυσμένης κλήσης ή μηνύματος του παιδιού τους εαυτούς τους.

"Η έρευνά μας διεξήχθη σε ρολόγια με την επωνυμία« παιδικός παρατηρητής Misafes »και φαίνεται να επηρεάζει έως και 30.000 ρολόγια. Ωστόσο, ανακάλυψαμε τουλάχιστον 53 άλλα σήματα παρακολούθησης ρολογιών παιδιών που επηρεάζονται από πανομοιότυπα ή σχεδόν όμοια ζητήματα ασφάλειας. "

Χαρακτηριστικά ευπάθειας στο οι έξυπνες συσκευές που απευθύνονται σε παιδιά δεν αποτελούν νέο ζήτημα Νέες περιπτώσεις χάκερ που στοχεύουν συνδεδεμένα παιχνίδια αποδεικνύουν ότι παραμένουν ανασφαλείς Διαβάστε περισσότερα . Ωστόσο, παραμένει ανησυχητική.

"Πώς λοιπόν αγοράζετε ασφαλή έξυπνα παιχνίδια για τα παιδιά σας; Δεν το κάνετε ", λέει ο Aaron Zander, μηχανικός πληροφορικής στο Hacker One. "Αν όμως πρέπει, μην πάτε για τις φτηνότερες επιλογές και προσπαθήστε να ελαχιστοποιήσετε τις δυνατότητες όπως το βίντεο, το Wi-Fi και το Bluetooth. Επίσης, εάν διαθέτετε μια συσκευή και έχετε κάποιο ελάττωμα ασφαλείας, απευθυνθείτε στους εκπροσώπους της κυβέρνησής σας, γράψτε τα ρυθμιστικά σας όργανα, κάντε ένα βρωματισμό για αυτό, είναι ο μόνος τρόπος για να βελτιωθεί. "

Νοέμβριος Ασφάλεια News Roundup

Αυτές είναι έξι από τις κορυφαίες ιστορίες ασφαλείας από τον Νοέμβριο του 2018. Αλλά πολλά περισσότερα συνέβησαν. δεν έχουμε χώρο για να τις αναφέρουμε λεπτομερώς. Εδώ είναι πέντε ακόμη ενδιαφέρουσες ιστορίες ασφαλείας που εμφανίστηκαν τον περασμένο μήνα:

  • Ο ιαπωνικός αναπληρωτής επικεφαλής της στρατηγικής για την ασφάλεια στον κυβερνοχώρο αποκάλυψε ότι δεν έχει χρησιμοποιήσει ποτέ υπολογιστή.
  • Stuxnet κακόβουλο κράτος κατάστασης επιθέσεις και οργανώσεις στο Ιράν (και πάλι).
  • Οι χάκερ να βρεθούν εκμεταλλεύσεις μηδενικής ημέρας σε συσκευές iPhone X, Samsung Galaxy S9 και Xiaomi Mi6.
  • Microsoft επιδιόρθωσε μια εκμετάλλευση μηδενικών παραθύρων των Windows που χρησιμοποιούνται σε πολλαπλές επιθέσεις από διάφορες ομάδες hacking.
  • Χρησιμοποιείται το προηγμένο λογισμικό κατασκόπων τύπου Pegasus στόχος δημοσιογράφων έρευνας στο Μεξικό.

Ένα άλλο σφύριγμα των ειδήσεων στον κυβερνοχώρο. Ο κόσμος της ασφάλειας στον κυβερνοχώρο αλλάζει διαρκώς, και η ενημέρωση για τις τελευταίες παραβιάσεις, το κακόβουλο λογισμικό και τα ζητήματα ιδιωτικής ζωής είναι ένας αγώνας.

Αυτός είναι ο λόγος για τον οποίο συγκεντρώνουμε τα πιο σημαντικά και πιο ενδιαφέροντα κομμάτια ειδήσεων για εσάς κάθε μήνα.

Ελέγξτε ξανά στις αρχές του επόμενου μήνα - την αρχή ενός νέου έτους, όχι λιγότερο - για το ραντεβού ασφαλείας του Δεκεμβρίου του 2018. Τον επόμενο μήνα θα δείτε επίσης το MakeUseOf 2018 έτος στην υπηρεσία roundup, επίσης. Εν τω μεταξύ, ελέγξτε τα πέντε συμβουλές και κόλπα για την εξασφάλιση των έξυπνων συσκευών σας 5 Συμβουλές για τη διασφάλιση των έξυπνων συσκευών και των συσκευών IoTΤο έξυπνο οικιακό υλικό είναι μέρος του Διαδικτύου των Πράξεων, αλλά πόσο ασφαλές είναι το δίκτυό σας με αυτές τις συσκευές συνδεδεμένες; Διαβάστε περισσότερα .

Image Credit: Karlis Dambrans /Flickr

Ο Gavin είναι ανώτερος συγγραφέας για το MUO. Είναι επίσης ο Editor και ο Διαχειριστής SEO για την κρυπτο-εστιασμένη περιοχή αδελφών της MakeUseOf, Αποκωδικοποιημένα μπλοκ. Έχει ένα σύγχρονο γράψιμο BA (Hons) με ψηφιακές καλλιτεχνικές πρακτικές που λεηλάτησαν από τους λόφους του Ντέβον, καθώς και πάνω από μια δεκαετία επαγγελματικής γραφής. Απολαμβάνει άφθονες ποσότητες τσαγιού.