بخش بزرگی از
اطلاعات کاربری تقریبا همه شرکتهایی که در مجله Forbes جزو ۱۰۰۰ شرکت
جهانی برتر آمدهاند به دلیل لورفتن اطلاعات کاربری، به صورت آنلاین منتشر
شده است.
به گزارش سافت گذر و به نقل اززومیت؛بسیاری از مدیران ارشد امنیت با
این ترس زندگی میکنند که روزی از خواب بیدار شوند و ایمیلی با محتوای لو
رفتن اطلاعات شرکتشان دریافت کنند، اما این تهدید تجاری، محدود به هک شدن
یک شرکت خاص نیست. یک گزارش جدید نشان میدهد که اطلاعات کاربری کارکنان
۹۷ درصد شرکتهای جهانی از طریق تخلف اشخاص ثالث به طور آنلاین لو رفته
است.
طی چند سال گذشته، در سایتها و شرکتهای مشهور مانند Adobe، MySpace و LinkedIn نفوذهای
غیرقانونی متعددی در مقیاسهای بزرگ اتفاق افتاده است و اکثر اطلاعات
کاربری مسروقه در این رخدادها، بهطور آنلاین به مکانهای مختلفی منتهی
میشود. کارمندان یک شرکت نیز مانند اکثر کاربران دیگر، اغلب اطلاعات
کاربری یکسانی را در جاهای مختلف استفاده میکنند.
Michael Marriott در Digital Shadow که اخیرا تحقیقی در این زمینه انجام داده در مطلبی عنوان کرد:
شاید کمی عجیب باشد که نفوذهای غیرقانونی روی ۱۰۰۰
شرکت جهانی و بیشتر از همه روی دو سرویس LinkedIn و Adobe تأثیر
میگذارند؛ دو سرویسی که انتظار میرود کارکنان آنها بتوانند با اکانتهای
خود وارد این سرویسها شوند. سطح بالای اطلاعات اکانتهای کارکنان، بهطور
مثال در شرکتی مثل MySpace بایستی موجب تأمل سازمانها شود. بدتر اینکه
همچنان سایتهای گیم نیز جزو سازمانهای تحت تأثیر هستند.
نتایج
بهدستآمده از تحقیق Digital Shadow نشان میدهد مهمترین نفوذ غیرقانونی
در میان ۱۰۰۰ شرکت جهانی موردبررسی، متعلق به اتفاق مربوط به LinkedIn
بوده است. این نفوذ در سال ۲۰۱۲ اتفاق افتاد، اما مجموعه بزرگی از اطلاعات
کاربری اوایل سال جاری بهطور آنلاین منتشر شد که موجب افزایش تأثیرات
چندجانبه این حمله شد. Digital Shadow برای ۱۰۰۰ شرکت جهانی موردتحقیق،
اطلاعات بیش از ۱.۶ میلیون کاربر را که بهطور آنلاین لو رفته بود پیدا
کرد. نفوذ به Adobe با بیش از ۱.۳ میلیون اطلاعات کاربری در جایگاه بعدی
این فهرست قرار دارد.
این شرکت در تحقیق منتشرشده گفت:
بهعنوان
نتیجه این نفوذهای غیرقانونی، واضح است که صرفنظر از اندازه، صنعت یا
موقعیت جغرافیایی انتشار آنلاین اطلاعات کاربری گریبانگیر بخش اعظمی از
سازمانها شده است. قبل از بازنویسی کلمههای عبور جدید، قدم اول یک سازمان
باید تشخیص لو رفتن اطلاعات کاربری آنها در گذشته باشد.
افرادی که حمله میکنند از اطلاعات لو رفته کاربران به روشهای مختلفی – معمولا spear phishing،
account takeover و extortion attempt - استفاده میکنند. متأسفانه تاریخ
انتشار اطلاعات لو رفته کاربران ممکن است مهم نباشد. حتی اگر کاربری بداند
اطلاعات کاربری او در یک سایت هک شده است شاید به فکر تغییر کلمه عبوری
یکسان خود در سایتهای دیگر نیفتد و اطلاعات اکانتهای دیگر خود را در معرض
هک شدن قرار دهد.