2020 foi catastrófico em várias coisas. Em roubo de Passwords também

A Dashlane anunciou hoje a sua 5ª lista anual dos piores “password offenders”.

À medida que as nossas vidas têm migrado quase totalmente para o online devido à pandemia, esta lista destaca as empresas e organizações com os percalços mais significativos de 2020, relacionados com passwords.

As redes sociais podem ter-nos mantido conectados num ano de distanciamento social induzido pela Covid-19, mas, infelizmente, o Twitter e o Zoom (que ocupam os primeiros lugares da lista deste ano) permitiram que os seus funcionários e utilizadores fossem vítimas de ataques informáticos por utilizarem passwords fracas. Além disso, outros grandes nomes do mundo das viagens, jogos e entregas ao domicílio foram também vítimas de hackers. Quando um hacker obtém acesso ao nome de utilizador ou ao e-mail e password de um único banco de dados comprometido, consegue utilizar essa informação para aceder a outras contas.

A lista dos piores “password offenders” funciona como um lembrete anual de como é fácil cometer uma gafe na Internet, mesmo quando pensamos que estamos protegidos. Os dados da Dashlane mostram que o utilizador “normal” da Internet tem mais de 200 contas digitais que exigem passwords – número que se prevê que duplique para os 400 nos próximos cinco anos.

“Só pelo facto de grande parte das nossas vidas estar agora online, não significa que o mundo digital se tenha tornado mais seguro – precisamos de nos lembrar de ter cuidado com as passwords e implementar as melhores práticas relacionadas com cibersegurança”, realça o Head of IT da Dashlane, Jay-Leaf Clark.

“Utilizar um gestor de passwords como a Dashlane para mantermos as nossas informações seguras – seja a nível individual ou em contexto empresarial – ajudará a limitar violações futuras ou desastres com passwords.”

 

Top dos piores “passwords offenders” de 2020, segundo a Dashlane

(começando pelo pior):

1 – Funcionários do Twitter:

Em julho, um pequeno grupo de funcionários do Twitter foi vítima de um dos mais antigos truques de sempre: o phishing. O ataque orquestrado por um estudante de secundário da Flórida, com 17 anos, fez com que vários funcionários redefinissem a sua password num website fictício que, para além de recolher as informações de login, obteu códigos de autenticação multifator. A partir daí, 130 contas verificadas, pertencentes a Barack Obama, Elon Musk, Bill Gates, Joe Biden (e mais!) começaram a publicar sobre esquemas de Bitcoin. O Twitter lutou para identificar a origem e a forma do ataque – e apressou-se a travá-lo. Qual foi a sua abordagem? Obrigar os milhares de funcionários a mudar a sua password manualmente – enquanto estavam a ser monitorizados. Um passarinho (do Twitter) contou-nos que esta gestão de passwords por parte da empresa poderia ter sido bem mais fácil…

2 – Utilizadores do Zoom:

Logo quando nos estávamos a adaptar à nova realidade do trabalho remoto e a estar em frente a uma câmara o dia inteiro, meio milhão de credenciais do Zoom foram colocadas à venda na Dark Web, em abril. Os hackers utilizaram várias formas, incluindo stuffing de credenciais e implantação de múltiplos bots, para tirar proveito das passwords fracas e reutilizadas dos utilizadores do Zoom, potencialmente comprometendo mais contas desses mesmos utilizadores pela Internet fora. Correndo o risco de cansar, aqui vai um lembrete amigável: passwords fortes e exclusivas são fundamentais.

3 – EasyJet:

A EasyJet, companhia aérea inglesa, revelou um custo elevado escondido por detrás dos seus bilhetes com descontos: informação pessoal roubada. Um ataque informático comprometeu os e-mails e itinerários de 9 milhões de clientes, com os detalhes de mais de 2000 cartões de crédito a serem violados.

Igualmente embaraçoso: a EasyJet disse à BBC que teve conhecimento do ataque em janeiro, embora os clientes, cujos detalhes de pagamento foram roubados, não tenham sido notificados pela empresa até abril.

4 – Experian:

Já em 2017 tinha figurado na lista dos piores “password offenders” e repete, agora, a sua presença. A maior agência de crédito do mundo sofreu uma grande violação de segurança na sua filial na África do Sul depois de entregar informações pessoais a alguém que se fez passar por um cliente. Estima-se que este ciberataque tenha afetado 24 milhões de pessoas e 800 mil negócios, que tiveram de se “reconstruir” após esta má experiência.

5 – Marriott:

A Starwood, empresa-mãe da mega cadeia Marriott, estava ainda a recuperar de uma violação de dados de 2018 quando mais 5,2 milhões de hóspedes foram envolvidos noutro ataque em janeiro. A culpa? Credenciais de login comprometidas dos funcionários do Marriott.

Lembre-se: passwords fortes e exclusivas são essenciais, no trabalho e para além do trabalho!

6 – Jogadores da Nintendo:

Aqueles que começaram a jogar mais na quarentena enfrentaram um nível inesperado: 300 mil jogadores da Nintendo experiênciaram logins não autorizados nas suas contas. Quer através de stuffing ou força bruta, os jogadores com passwords fracas ou reutilizadas foram “aniquilados”.

7 – Home Chef:

Tentando tornar a nova rotina de 2020 mais fácil, milhões viraram-se para serviços de entrega de comida como o Home Chef.

Infelizmente, 8 milhões de registos de utilizadores acabaram à venda na Dark Web. O Home Chef não foi o único a “revirar o nosso estômago” – 250 mil utilizadores de outro serviço de refeições – o Instacart – também viram as suas credenciais a serem vendidas na Dark Web.

8 – Zoosk:

Na vida amorosa, é importante mostrar-se disponível – mas isso não quer dizer que queiramos a nossa informação privada à venda na Dark Web. Zoosk, um serviço online de encontros, foi vítima de um ataque informático em maio que comprometeu mais de 200 milhões de registos de utilizadores, incluindo informação pessoal como o género e data de nascimento.

9 – Minted:

Lembra-se daquela peça de arte que comprou há três anos? Alguns de nós pagaram o dobro por essa compra – o preço normal mais o preço associado ao facto da nossa informação ter sido violada. Quase 5 milhões de pessoas, na verdade. Se vai criar uma nova conta – especialmente num website que não usa frequentemente – use um gerador de passwords para o/a ajudar a ficar seguro/a (e um gestor de passwords para manter o controlo de tudo).

10 – Day traders:

Milhares de clientes do Robinhood foram vítimas de roubo informático em outubro, depois de hackers terem obtido acesso e esvaziarem as suas contas. A corretora online inicialmente culpou as credenciais, previamente comprometidas, dos seus utilizadores em vez da sua própria infraestrutura de segurança. Mas alguns clientes dizem que não há sinal de que os seus e-mails tenham sido comprometidos.

Não se torne numa menção desonrosa: Aprenda com os erros dos piores “password offenders” deste ano – incluindo o do Presidente dos Estados Unidos, que supostamente utilizou a (muito fácil de adivinhar) maga2020! como a sua password do Twitter – e implemente as seguintes práticas recomendadas para ficar fora das listas futuras:

• Utilize passwords diferentes e aleatórias para cada conta: a reutilização de
passwords é uma epidemia. Repetir a mesma password em todas as contas é muito parecido com usar a mesma chave para a casa e para o carro. Se alguém conseguir essa chave, terá acesso a tudo o que deseja manter seguro. Os hackers podem utilizar passwords de contas
comprometidas para aceder facilmente a outras contas. A única proteção contra isto é ter passwords diferentes e aleatórias para cada conta.

• Ative a autenticação de dois fatores (2FA): O 2FA é um recurso que adiciona um fator adicional ao procedimento normal de login para verificar a sua identidade. Este adiciona uma camada extra de segurança, utilizando
dois dos três identificadores possíveis: algo que apenas nós sabemos (a password, número PIN, código postal, etc.) algo que somos (por meio de reconhecimento facial, impressões digitais, scan de retina, etc. ), ou algo que temos (um smart card, o smartphone, etc.). A maioria das aplicações ou websites verifica a nossa identidade por e-mail ou mensagem de texto
enviada para o telemóvel.

• Obtenha um gestor de passwords. Agora. Esqueça o bloco de notas, a folha de Excel, o post-it ou qualquer outro “método patenteado” para gerir passwords que utiliza neste momento. Um gestor de passwords é,
literalmente, a única maneira de gerir de forma segura e conveniente passwords extremamente complicadas e exclusivas para um número ilimitado de contas, enquanto fornece logins e preenchimento automático
de informações pessoais e de pagamento, de forma segura.

• Registe-se para alertas de violação de segurança. A Dashlane ajuda-o a perceber o que fazer se as suas informações forem comprometidas. Ao registar-se para os novos alertas de violação, a Dashlane alerta-lo-á se
algum dos seus dados for encontrado na Dark Web e ficará atenta a violações que possam afetá-lo no futuro.