Как злоумышленники узнают пароли?

Question

[Tomaszz]

Это ведь нереально узнать пароль, скажем, от аккаунта Instagram, если пользователь заходит только через официальное приложение в телефоне, не устанавливает приложения не из Google Play и не пользуется публичными Wi-Fi сетями. Как они вообще угоняют аккаунт, даже если пользователь не включил двухфакторную, узнать-то пароль всё равно сложно?

Answer 1

[АртемЪ]

Как злоумышленники узнают пароли?

Вариантов много.

Это ведь нереально узнать пароль, скажем, от аккаунта Instagram, если пользователь заходит только через официальное приложение в телефоне, не устанавливает приложения не из Google Play и не пользуется публичными Wi-Fi сетями.

Реально.

Вот например - у 70%пользователей одинаковы пароль на почту, инстаграмм, и какой-то форум.
Узнали пароль от форума - благо там http, да и ломается он элементарно и вы знаете все пароли этого пользователя.

Comments

[Tomaszz]

Про одинаковые пароли, это ладно, а что ещё, какие варианты, если их много?

[Uno]

Tomaszz, mitm

[АртемЪ]

Tomaszz, Вариантов узнать некоторые пароли пользователя много. А потом, учитывая что пароли зачастую одинаковы, применить эти пароли к другим сервисам пользователя.
Ну и самое главное- как правило никто не пытается подобрать пароль конкретного Васи Пупкина.
Это нафиг никому не надо, за редкими исключениями.
Подбирают сразу пачкой - была утечка паролей с интернет магазина на 2000 клиентов - у половины из них пароли от магазина подошли к мылу, и инстаграмму. В итоге ломанули 1000 пользователей. Вот и все

Опять же как показывают утечки паролей - список самых популярных паролей довольно короткий.
Возьми список из 1000 популярных паролей и взломаешь кучу аккаунтов..

Бывает конечно ломают персонально - если это например инстаграм какой- нибудь звезды, и на этом можно денег поднять.
Но там уже другие методы - сбор информации о человеке, его привычках, увлечениях, предпочтениях, социальная инженерия, целенаправленный взлом других менее защищенных аккаунтов этого человека, и.т..п.

[Tomaszz]

Noizefan, АртемЪ, Допустим, я вовремя получил уведомление о входе в аккаунт и сменил пароль, но через день снова получил такое же уведомление (они узнают пароль). Исходя из этих данных, до каких вариантов можно сузить основные приёмы, которыми пользуются злоумышленники?

Пока вижу:
— вредоносное ПО в системе
— прослушивание трафика
— взлом через незалатанные уязвимости ОС

Но прослушивание трафика — разве они могут извлекать данные по https? Наверняка само приложение Instagram дополнительно применяет собственные алгоритмы шифрования перед отправкой?

[АртемЪ]

Tomaszz, Прослушивание трафика маловероятно.
Во первых это сложно и дорого технически, во вторых приложение скорее всего автоматом проверяет сертификат, поэтому MITM не прокатит.
Незалатанные уязвимости ОС - они конечно есть, но достаточно быстро становятся известными и как следствие - латаются.
А вот вредоносное ПО в системе очень даже вероятно.
Сейчас сложно найти не вредоносное ПО.
Даже покупая ПО у солидной конторы (Microsoft например) получаем кучу троянов, чего уж говорить про бесплатный софт, от мелких контор.

[АртемЪ]

@Tomaszz

, Но прослушивание трафика — разве они могут извлекать данные по https? Наверняка само приложение Instagram дополнительно применяет собственные алгоритмы шифрования перед отправкой?

Прослушивать трафик https ничуть не труднее чем http.
Вот только он зашифрован.
Опять же это решается банальным MITM.
И тут уже вопрос во внимательности - если вы внимательны и проверяете сертификаты, вы сразу увидите MITM и откажетесь от соединения.
А если будете невнимательны- пароли утекут.

По поводу собственных алгоритмов шифрования - а нафига козе баян?
Безопасность они не повысят, только лишние сложности.
Так зачем множить сущности?

[Uno]

Tomaszz, Кто вам вообще сказал что вы получите уведомление о входе в аккаунт?)

Answer 2

[Almazmr]

Варианты:
- Брут (подбор пароля путем перебора)
- Фишинговый сайт (создается сайт подделка, целенаправленно предназначенный для кражи паролей)
- Слив БД (утечка базы данных сайта с паролями пользователей)
- Хищение пароля вирусом на твоем компьютере/телефоне
- Хакеры, нашедшие лазейку на сайте
- Взлом почты с учетной записью
И т.д.

Comments

[Tomaszz]

Допустим, я вовремя получил уведомление о входе в аккаунт и сменил пароль, но через день снова получил такое же уведомление (они узнают пароль). Исходя из этих данных, до каких вариантов можно сузить основные приёмы, которыми пользуются злоумышленники?

Пока вижу:
— вредоносное ПО в системе
— прослушивание трафика
— взлом через незалатанные уязвимости ОС

Но прослушивание трафика — разве они могут извлекать данные по https? Наверняка само приложение Instagram дополнительно применяет собственные алгоритмы шифрования перед отправкой?

[Almazmr]

Tomaszz, Прослушивание трафика тоже возможно, если хочешь точную причину выявить, лучше провести аудит
Прослушивание трафика - Атака посредника (MITM)

[Tomaszz]

Almazmr, слишком сложно... Спасибо.

[Almazmr]

Tomaszz, это как агент подслушивающий личные разговоры