Conseils de sécurité ESET pour l'incident LinkedIn
Comme on le sait, le portail LinkedIn a été victime d'une attaque à grande échelle ces jours-ci. Selon les informations, les données de 6.5 millions d'utilisateurs sont tombées entre des mains non autorisées.
Le 6 juin, il est devenu clair que les mots de passe volés sont apparus sur des sites Web et des forums russes. LinkedIn n'a pas fait de déclaration claire, il est donc possible que si les attaquants réussissaient à accéder aux mots de passe, ils auraient également les adresses e-mail des propriétaires.
Le site de réseautage social LinkedIn est principalement utilisé pour maintenir des relations d'affaires, en cela il diffère des sites de réseautage social comme Facebook ou iWiW, qui sont les plus propices à la communication quotidienne. Une autre différence importante est que nous avons des champs personnels remplis ou laissés en blanc sur Facebook, et selon nos paramètres de confidentialité, nos données sont publiques, tandis que les profils LinkedIn sont spécifiquement un domaine d'actualités de carrière, de plans professionnels, d'informations, et tout le monde a un vrai nom sur cette interface. fournit des informations réelles sur vous-même et vos relations d'affaires.
Le risque est beaucoup plus élevé, c'est pourquoi les experts d'ESET recommandent aux utilisateurs nationaux de vérifier et de modifier leurs informations de connexion, car selon les dernières données de Zoomsphere, au moins 230 XNUMX personnes en Hongrie utilisent déjà le site Web social LinkedIn - prévient Péter Béres, Senior products ESET Consultant informatique de Sicontact Kft. Représentant la Hongrie.
Les opérateurs du site Web ont non seulement commis l'erreur qu'un incident de vol de mot de passe aurait pu se produire, mais aussi, comme il s'est avéré, dans le stockage crypté des mots de passe : ils ne se sont tout simplement pas appuyés sur des techniques supplémentaires fiables telles que appelé S une procédure qui permet d'augmenter la longueur du hachage du mot de passe et en même temps sa complexité. Cette méthode est spécifiquement utilisée pour stocker les mots de passe, précisément pour rendre difficile le craquage trop facile et rapide des mots de passe de tous les utilisateurs. Les opérateurs ont également demandé l'aide du FBI pour une enquête approfondie et détaillée sur l'incident de sécurité. Dans tous les cas, l'affaire pourrait avoir de graves conséquences, LinkedIn devra donc tout mettre en œuvre pour restaurer la confiance de ses investisseurs, annonceurs et, last but not least, de ses utilisateurs.
Conseils pratiques pour les parties prenantes
Tout d'abord, il est très important qu'ils changent immédiatement leurs mots de passe. Un mot de passe suffisamment fort est unique (c'est-à-dire qu'il n'est utilisé nulle part ailleurs), long (pas moins de 10 à 12 caractères en hongrois), varié (contient à la fois des lettres majuscules et minuscules, des chiffres et une ponctuation spéciale, par exemple - + '”+ ! % / = _ <> # & ();?. ÷ -_characters) et ne peut pas être deviné à partir de nos informations personnelles (pas le nom de notre chien, membre de la famille, pas notre date de naissance lu par quiconque sur un site social, mais généré de préférence de manière aléatoire, comme paiK # dette = maRry88).
En plus du compte LinkedIn, ceux qui ont peut-être utilisé le même mot de passe pour leur compte de messagerie ou n'importe où ailleurs doivent changer le mot de passe immédiatement, car il est également courant qu'ayant le mot de passe acquis, les attaquants essaieront de retrouver tous les éléments connus. mail, social et autres comptes du propriétaire pour voir s'ils ont utilisé le même mot de passe.
Il est également à noter à l'avenir que tout événement extraordinaire : inondation, tremblement de terre, événement sportif, décès d'une célébrité, mariage, etc. En conséquence, les attaquants envoient des messages non sollicités et, en cliquant sur les liens joints à la lettre, volent des données et installent des logiciels espions sur les machines d'utilisateurs peu méfiants. Cameron Camp, chercheur en sécurité au siège nord-américain d'ESET, a déclaré que l'incident avait déjà déclenché des campagnes d'escroquerie dans lesquelles des fraudeurs nous écrivent apparemment une lettre au nom des opérateurs LinkedIn pour confirmer notre adresse e-mail en cliquant sur un lien joint. Dans ce cas, ne lâchez pas et ne cliquez pas, car il ressort clairement des lettres examinées par ESET Lab que la prétendue lettre de notification officielle ne pointe pas vers LinkedIn mais vers un site étranger complètement différent.
Source : Communiqué de presse, Affaire
