Компания ESET рекомендует использовать безопасные менеджеры паролей для защиты личных данных. В связи с ростом числа онлайн-аккаунтов, средний пользователь имеет около 168 паролей, что делает менеджеры паролей незаменимыми инструментами кибербезопасности. Однако их популярность также превратила их в главную цель для киберпреступников.
ESET анализирует шесть ключевых рисков, связанных с менеджерами паролей, и предлагает рекомендации по их минимизации:
-
Компрометация главного пароля. Если злоумышленник получает доступ к главному паролю, он получает полный контроль над всеми сохраненными учетными данными. Это может произойти в результате атак методом подбора (брутфорс), эксплуатации уязвимостей или фишинговых атак.
-
Фальшивые приложения. Киберпреступники создают поддельные приложения для управления паролями, которые маскируются под официальные программы. Такие приложения могут появляться даже в официальных магазинах приложений, таких как App Store, и предназначены для кражи главного пароля или установки вредоносного программного обеспечения.
-
Вредоносное ПО для кражи паролей. Злоумышленники разрабатывают специальный恶意软件 (malware), чтобы похищать учетные данные из менеджеров паролей. Например, исследователи ESET обнаружили вредоносное InvisibleFerret, связанное с северокорейской кампанией, которое могло извлекать данные из 1Password и Dashlane.
-
Эксплуатация уязвимостей. Как любое программное обеспечение, менеджеры паролей могут содержать уязвимости. Их обнаружение и эксплуатация злоумышленниками может привести к утечке сохраненных учетных данных.
-
Уязвимости поставщика. Даже крупные и надежные провайдеры менеджеров паролей уязвимы для атак. В качестве примера ESET приводит случай с LastPass в 2022 году, когда злоумышленники взломали серверы компании и похитили исходный код и техническую документацию.
-
Фишинговые объявления и мошенничество. Атакующие используют вредоносные объявления в поисковых системах для перенаправления жертв на поддельные сайты. Эти сайты имитируют дизайн легитимных провайдеров (например, «the1password.com» вместо «1password.com») и предназначены для кражи электронной почты, главного пароля и секретного ключа пользователя.
Рекомендации ESET для защиты:
- Надежный главный пароль: Используйте длинную, уникальную и запоминающуюся фразу-пароль из четырех слов, разделенных дефисами, чтобы усложнить атаку методом подбора.
- Активация двухфакторной аутентификации (2FA): Всегда используйте двухфакторную аутентификацию для важных аккаунтов.
- Регулярные обновления: Поддерживайте в актуальном состоянии программное обеспечение менеджера, браузеры и операционные системы для снижения риска эксплуатации уязвимостей.
- Скачивайте только из официальных источников: Загружайте приложения только из официальных магазинов приложений и проверяйте репутацию разработчика.
- Выбирайте проверенных провайдеров: Используйте менеджеры паролей от известных и надежных компаний.
- Устанавливайте антивирусное ПО: Используйте программное обеспечение для обеспечения безопасности на всех устройствах для защиты от атак, направленных на кражу паролей.
Камило Гутьеррес Амайя, руководитель исследовательской лаборатории ESET в Латинской Америке, подчеркивает, что менеджеры паролей остаются ключевым элементом лучших практик кибербезопасности, но только при соблюдении дополнительных мер предосторожности.
