AP Twitter hack предлагает свежий взгляд на потребности кибербезопасности

Получение взлома на Twitter быстро становится обманом для крупных корпораций, но атака вторника на Associated Пресса может стать переломным моментом и показывает, что социальные сети должны делать больше, чтобы обеспечить безопасность своих пользователей, отмечают эксперты по безопасности.

Более широкое использование двухфакторной аутентификации, которая может включать в себя код доступа, отправляемый пользователю на втором устройстве таких как смартфон, является одним из возможных решений. Некоторые эксперты сказали, что такой механизм может быть выбран выборочно, как считают некоторые эксперты, для таких высококлассных учетных записей, как знаменитости и крупные корпорации.

«Twitter должен попасть на борт и сделать доступную двухфакторную аутентификацию … как можно быстрее», - сказал Эндрю Стормс, директор по операциям безопасности в nCircle Security.

[Подробнее читайте: Как удалить вредоносное ПО с вашего ПК с Windows]

Учетная запись AP Twitter была взломана во вторник утром, в результате чего фиктивный твит сообщает, что были «два взрыва в Белый дом и Барак Обама получили ранения ». Группа, назвавшая себя сирийской электронной армией, взяла на себя ответственность через свою собственную учетную запись в Twitter.

Твит был виден только в течение нескольких минут, но промышленный средний индекс Dow Jones занял погружение в нос сразу после его публикации до восстановления нескольких минут позже. В отличие от предыдущих инцидентов, связанных с хакерами, «это оказало реальное влияние на рынки», - отметил Стив Брунетто, директор по управлению продуктами в EdgeWave, компании социальных сетей и электронной почты.

AP присоединяется к списку компаний, которые недавно были взломаны в Twitter. В минувшие выходные были захвачены три марки CBS - 60 минут, 48 часов и филиал в Денвере. «Нью-Йорк Таймс», «Уолл-стрит джорнал» и «Вашингтон пост» также были взломаны в последние месяцы. В феврале Twitter объявил, что сам сайт был взломан.

Учетные записи Twitter Burger King и компании Jeep также были скомпрометированы. После этих инцидентов Twitter призвал пользователей быть умнее с их паролями и тем, как они используют сайт.

Twitter остался в основном спокойным после атаки AP в пятницу. «Мы не комментируем отдельные учетные записи для обеспечения конфиденциальности и соображений безопасности», - сказал представитель пресс-службы. По словам некоторых экспертов, теперь может быть идеальное время для социальной сети, чтобы использовать более надежные гарантии для предотвращения будущих нарушений учетной записи.

«Twitter должен быстрее двигаться в активизации усилий по кибербезопасности», - сказал Brunetto EdgeWave.

Mark Ришер, генеральный директор Impermium, интернет-фирмы, базирующейся в городе Редвуд-Сити, штат Калифорния, сказал, что считает, что Twitter уже серьезно относится к безопасности, но атака вторника «поднимает» проблемы, сказал он.

Одна из стратегий будет заключаться в том, чтобы Twitter двухэтапная система аутентификации. В одной общей реализации, когда пользователи заходят на сайт со своего ноутбука, Twitter отправляет им код доступа ко второму устройству, например, к мобильному телефону. Затем им нужно будет ввести этот код, а также их логин и пароль для доступа к сайту.

Звонки на Twitter для принятия такой системы возникают при каждом взломе сайта, но атака AP может стать переломным моментом, сказал nCircle Storms.

Если Twitter не хочет назначать двухфакторную аутентификацию для всех учетных записей, компания может потребовать его только для учетных записей, которые передают определенное количество подписчиков, предположил он.

Можно предложить двухэтапную аутентификацию для крупных брендов и других видных счетов, согласился Джон Оберхайде, соучредитель и главный технический директор Duo ​​Security, который разрабатывает программное обеспечение для аутентификации.

Но учетные записи, использующие двухэтапную аутентификацию, могут по-прежнему быть восприимчивыми, если те, кто использует учетные записи, подвергаются фишинг-атаки по электронной почте, сказал Ришер Рыцарь Империума. «Хакер мог подделать страницу входа в систему, запрашивая у вас код, который вы только что получили», - сказал он.

В качестве альтернативы, фишинговая атака может быть использована для установки регистратора нажатия клавиш на компьютере пользователя, записи их имени и пароля при следующем входе в него.

В качестве альтернативы, Twitter и другие социальные сети должны более внимательно изучить, как взаимодействуют пользователи с их услугами и следить за сигналами, которые могут указывать на несанкционированную деятельность, сказал Ришер, чья компания разрабатывает алгоритмы для идентификации такой деятельности. Он может посмотреть, как пользователи взаимодействуют с контентом и как часто они чирикают и, например, перечитываются.

Twitter также может использовать метод аутентификации на основе риска, задавая персональные идентификационные вопросы пользователей при входе с незнакомого компьютера, например.

Однако пользователи могли бы сделать больше, чтобы защитить свои собственные учетные записи в социальных сетях. Использование более сильных паролей, их частое изменение и защита сетей Wi-Fi с помощью паролей - все это рекомендуется. Наличие слабого пароля, возможно, сыграло определенную роль в нарушении учетной записи AP. Сирийская электронная армия в твиттере утверждала пароль «APm @ rketing» позже сегодня днем.

Но бремя должно быть на сайтах социальных сетей, чтобы обеспечить безопасность учетных записей своих пользователей, сказал Ришер. «Это должно быть похоже на разделение 80/20», - сказал он, добавив, что «львиная доля работы должна выполняться сайтами».

Apple, Facebook и Google входят в число компаний, которые уже предлагают двухэтапный аутентификация как опция для пользователей.

Twitter является большой мишенью для нарушений из-за его непосредственности, сказал Obenhaim. Одна из главных целей Twitter заключается в распространении информации в ближайшем реальном времени, например, в то время как страницы компаний в Facebook часто менее активны.

Другие идеи, которые были размещены для ведения учетных записей и идентифицируют безопасную онлайн-версию, включают использование «физических», пароли, которые могут принимать форму украшения. В исследовании, опубликованном в январе, Google заявила, что нынешние стратегии, в том числе двухступенчатая система проверки, недостаточны.

Ставки достигают уровня кибербезопасности, как показало падение фондового рынка во вторник. «Брандмауэр или оскорбление характера больше не являются единственным результатом», - говорится в «Storms» NCircle.

Публикация фиктивных твитов о возмутительном поведении сотрудников Burger King - это одно, а чирикание о том, что президент получил ранения после взрыва в Белом доме «может иметь серьезное влияние» более широко, отметил Oberheide из Duo.

Такие хаки также более значительны, поскольку Комиссия по ценным бумагам и биржам США заявила, что позволит публичным компаниям раскрывать материальную корпоративную информацию на сайтах в социальных сетях.

SEC отказалась от комментариев во вторник на AP и других недавних твитах Twitter.

Zach Miners охватывает социальные сети, поисковые и общие новости технологий для службы новостей IDG. Следуйте за Zach на Twitter в @zachminers. Адрес электронной почты Заха - [email protected]