Держспецзв’язку закликало посилити захист акаунтів
Державна служба спеціального зв’язку та захисту інформації України наполегливо рекомендує органам влади, бізнесу та пересічним громадянам залишити застарілі методи захисту своїх облікових записів та запровадити стійку до фішингу багатофакторну автентифікацію. Раніше “Інформатор” надавав поради щодо створення надійного пароля, проте вже недостатньо простого набору символів для гарантування безпеки облікового запису. За даними служби, навіть популярні методи другого фактора, такі як SMS-коди та push-сповіщення, активно компрометуються зловмисниками.
Правила кіберзахисту від Держспецзв’язку
Відомство прямо наголошує на цьому у своєму повідомленні, підкреслюючи, що розвиток кіберзагроз та впровадження принципу нульової довіри вимагають модернізації політик безпеки як з боку державних установ, так і з боку приватних користувачів. Фахівці ідентифікують традиційну однофакторну автентифікацію, що базується виключно на статичному паролі, як найвразливішу ланку системи.
Правила кіберзахисту від Держспецзв’язку
У Держспецзв’язку окреслили кілька основних методів, якими зловмисники обходять застарілі захисні механізми:
- перехоплення SMS-повідомлень шляхом використання вразливостей у мережах мобільного зв’язку або здійснення шахрайської заміни SIM-карток;
- проведення атак посередника, коли зловмисники створюють ідентичні копії легітимних вебсайтів і після введення користувачем пароля та коду миттєво викрадають сесійні токени браузера;
- використання “втоми від автентифікації”, коли хакери, знаючи пароль жертви, надсилають численні запити на підтвердження входу, доки користувач інстинктивно не натисне “Схвалити”.
У службі детально роз’яснили природу сесійних токенів — це тимчасові “цифрові перепустки”, які вебсайт надає браузеру після успішного введення пароля, аби уникнути необхідності повторної ідентифікації. **Викравши такий токен**, хакери отримують можливість доступу до облікового запису без потреби введення пароля чи SMS-коду.
Правила кіберзахисту від Держспецзв’язку
Запропоновано перейти на технології без паролів
Сучасна архітектура систем автентифікації побудована на комбінації щонайменше двох незалежних факторів: знання, володіння та біометричні характеристики. Держспецзв’язку посилається на рекомендації Національного інституту стандартів і технологій США, який пропонує збільшити мінімальну довжину пароля з 8 до 64 символів та відмовитися від примусової регулярної зміни паролів за розкладом, якщо немає ознак компрометації.
Правила кіберзахисту від Держспецзв’язку
Найбільш надійними вважаються апаратно-прив’язані ключі безпеки FIDO2 та технології локальної біометричної верифікації, такі як Apple Face ID чи Windows Hello. Ці рішення криптографічно пов’язані з певним доменом, тому навіть якщо користувач потрапить на фішинговий сайт, пристрій виявить невідповідність і заблокує доступ.
Організаціям та громадянам запропоновано конкретні дії
Для мінімізації ризиків виникнення кіберінцидентів Держспецзв’язку підготувало перелік першочергових кроків для організацій та індивідуальних користувачів:
- перевести робочі та особисті облікові записи на обов’язкове використання апаратних ключів FIDO2, технології Passkeys або біометричної автентифікації;
- активувати режим зіставлення чисел у мобільних додатках-автентифікаторах замість простих кнопок “Схвалити/Відхилити”;
- замінити одноразові коди, що надходять через SMS чи дзвінки, на програмні TOTP-генератори або апаратні рішення;
- жорстко контролювати процедуру відновлення доступу до облікового запису, виключаючи верифікацію лише за анкетними даними чи “секретними запитаннями”;
- для бізнес-структур — інтегрувати багатофакторну автентифікацію з аналізом ризиків, що враховує геолокацію, тип пристрою та час входу.
Служба підсумувала, що безпека будь-якої інформаційної системи визначається міцністю її найменш захищеної ланки.
Шахраї раніше вже полювали на паролі українців
Раніше “Інформатор” повідомляв, що складний пароль уже не гарантує повного захисту облікового запису, оскільки фахівці Держспецзв’язку пояснювали, як кіберзлочинці змушують людей добровільно передавати свої дані за допомогою фішингових схем. Також ми інформували, що збережені у браузері паролі становлять вразливе місце, і кіберполіція застерігала українців від такого способу зберігання даних.