历史上最大的密码泄露：我们所知道的以及如何保护自己
研究人员发现了历史上最大的泄露凭证汇编，这一消息震惊了网络安全界。这一史无前例的数据转储包含超过 100 亿个用户名、电子邮件地址和密码的独特组合，无论是规模还是潜在影响，都使之前的重大泄露事件相形见绌。
发现：揭示数字灾难
这一发现是由安全研究员 Bob Diachenko 发现的，他发现了一个可公开访问的 Elasticsearch 数据库，其中包含被称为“RockYou2024”的内容。该数据库由搜索引擎编制索引，包含大约 15 TB 的数据，删除重复项后相当于大约 84 亿个唯一条目。
拥有发现大量数据泄露记录的 Diachenko 在 2024 年 2 月 2 日发现不安全的数据库后立即向有关当局发出警报。该数据库在发现后 24 小时内得到了保护，但在此之前可能被恶意行为者访问。
是什么让这次泄漏与众不同？
虽然影响 Yahoo（30 亿个帐户）和 Aadhaar（11 亿条记录）等重大泄密事件成为头条新闻，但 RockYou2024 泄密事件在几个方面是独一无二的：
- 规模：拥有超过 100 亿个凭据组合，大大超过了之前的重大泄露事件
- 聚合：与单一公司的违规行为不同，这似乎是多个来源数据的汇总
- 可访问性：数据在被发现之前的一段未知时间内可供公开访问
- 验证：数据库包含纯文本和散列密码，其中许多条目针对已知违规行为进行了验证
数据：违规内容是什么？
RockYou2024 数据库包含来自各种来源的凭证的混合体，包括：
- 先前已知的来自 LinkedIn、MySpace 和 Twitter 等平台的违规行为
- 来自不太知名的网站和服务的凭据遭到泄露
- 似乎是通过网络钓鱼活动获取的组合
- 用于安全测试的测试帐户和虚拟凭据
有趣的是，该数据库不仅包括传统的用户名密码组合，还包括电子邮件地址、电话号码和其他可用于身份盗窃和社会工程攻击的个人身份信息。
受影响的服务示例
| 服务类别 |
示例服务 |
预计影响 |
| 社交媒体 |
Facebook、Instagram、LinkedIn、Twitter |
数十亿种组合 |
| 电子商务 |
亚马逊、eBay、PayPal、Shopify |
数亿 |
| 电子邮件服务 |
Gmail、Outlook、雅虎邮箱 |
数十亿个帐户 |
| 金融服务 |
银行、信用卡公司、投资平台 |
数千万 |
| 流媒体服务 |
Netflix、Spotify、迪士尼+ |
数亿 |
影响评估：连锁反应
这次泄露的影响是深远的，对全世界的个人和组织来说可能是毁灭性的。安全专家警告说，此次违规行为的规模之大为网络犯罪分子创造了前所未有的机会：
- 对其他网站发起大规模撞库攻击
- 使用经过验证的电子邮件地址开展复杂的网络钓鱼活动
- 大规模实施身份盗窃
- 通过重复使用密码访问财务账户
- 通过员工凭据破坏业务网络
网络安全分析师 Sarah Jenkins 博士表示：“这不仅仅是另一起数据泄露事件，更是我们数字身份基础设施的根本性崩溃。” “由于恶意行为者掌握了如此多的经过验证的凭据，未来几个月我们可能会看到帐户接管和相关网络犯罪显着增加。”
保护措施：您现在应该做什么
鉴于此违规行为的规模和性质，个人和组织应立即采取行动保护自己：
对于个人：
- 检查您的凭据是否遭到泄露：使用信誉良好的违规通知服务来检查您的电子邮件地址或密码是否出现在 RockYou2024 数据集中。
- 立即更改密码：对于您重复使用其他服务密码的任何帐户，请立即更改密码。
- 使用密码管理器：实施信誉良好的密码管理器，为每项服务生成并存储唯一的复杂密码。
- 启用双因素身份验证：在所有关键帐户上激活 2FA，尤其是电子邮件、财务和健康相关服务。
- 警惕网络钓鱼：对要求提供个人信息的电子邮件、消息或电话要格外小心，因为攻击者可能会利用泄露的数据来进行令人信服的网络钓鱼尝试。
对于组织：
- 实施无密码身份验证：在可能的情况下考虑采用无密码身份验证方法。
- 监控可疑活动：对帐户接管尝试和撞库攻击实施增强监控。
- 实施强密码策略：要求关键系统使用复杂的密码并定期更改密码。
- 对员工进行教育：提供额外的安全意识培训，重点关注凭证重复使用和网络钓鱼的风险。
- 审查访问控制：实施最小权限原则并定期审查用户访问权限。
密码安全的未来：超越凭证
这一大规模泄露事件清楚地提醒人们，传统的基于密码的身份验证系统存在固有的弱点。行业专家越来越多地呼吁转向更安全的身份验证方法：
- 多重身份验证 (MFA)：strong> 在密码之外添加验证层
- 生物识别身份验证：使用指纹、面部识别或其他独特的生物特征
- 硬件安全密钥：提供加密身份验证的物理设备
- 零信任架构：假设默认情况下没有值得信任的用户或设备
- 防网络钓鱼 MFA：抵御网络钓鱼攻击的身份验证方法
“简单密码的时代即将结束，”网络安全研究员 Michael Chen 说道。 “这种违规行为应该会成为广泛采用无密码身份验证方法的催化剂，这些方法不依赖于可以如此大规模地被窃取和聚合的秘密。”
结论：呼吁保持数字警惕
RockYou2024 泄露事件是网络安全历史上的一个分水岭，凸显了我们当前身份验证系统的漏洞以及网络犯罪分子日益复杂的情况。虽然立即采取保护措施至关重要，但这种违规行为也应该成为我们处理数字安全方式的更广泛变化的催化剂。
作为个人，我们必须对我们的数字卫生负责，使用唯一的密码，启用多重身份验证，并对网络钓鱼尝试保持警惕。作为组织，我们需要投资于更安全的身份验证系统，并实施超越传统密码保护的强大安全实践。
最后，这次大规模泄露不仅仅是一个警告，而且是一个机会，可以从根本上重新构想我们在日益互联的世界中的数字身份和安全方法。
这可能是我们见过的最大的密码泄露事件
https://ift.tt/1ADi30n
这可能是我们见过的最大的密码泄露
https://ift.tt/1ADi30n
TechOffice
