גונבים אותנו: מומחי סייבר חשפו שוק שחור למכירת זהויות מקוונות אמיתיות

אנשי מעבדת קספרסקי מצאו אתר שבו יכולים פושעי רשת לקנות זהויות מלאות - גישה לדפדפן עם חשבונות מדיה חברתית מקושרים, רשומות פעילות, מיקומים ועוד; מדובר בתמונת זהות מלאה דיה כדי להטעות אתרים של בנקים, ולבצע גניבות כספים בקלות

חוקרי מעבדת קספרסקי חשפו אמש (ג') אתר מכירות של זהויות דיגיטליות מלאות. מדובר באתר שמספק אמצעים להתחזות באופן מלא לגולשים, כולל חתימת דפדפן, חשבונות מדיה מחוברים, קובצי קוקיז, לוגים ובעיקר אפליקציה שמסופקת ביחד עם המידע ומאפשרת להשתמש בזהויות בקלות.

 

קראו עוד בכלכליסט:

• אותרה ותוקנה פרצת אבטחה במכשירי שיאומי
• האקרים יכולים לגרום לרופאים לאבחן סרטן אצל אנשים בריאים לחלוטין
• מומחי סייבר גילו 36 פרצות אבטחה שונות בתקן הסלולר LTE

 

אם עד היום הסכנה העיקרית היו מאגרי ססמאות ושמות משתמשים, זהויות דיגיטליות מקוונות הן השלב הבא; אתרי בנקאות או שירותים מאובטחים לא מסתפקים בפריטי התחברות פשוטים. הם גם מזהים את המשתמשים בעזרת ניטור של סימנים כסוג הדפדפן, תוספים שמותקנים עליו, מיקום החיבור, לוגים שמוקלטים ספציפי מחשב או חשבונות אליהם הוא מחובר במקביל בשירותים אחרים (למשל פייסבוק, טוויטר, גוגל ולינקדאין).

 

במקום סיסמאות, גונבים זהויות. אילוסטרציה צילום: שאטרסטוק

 

 

היכולת של ההאקרים לחקות את פריטי המידע האלה הופך את מערכות הזיהוי המתקדמות יותר לקלות לפיצוח. החלק הבעייתי הוא שמאוד קל להטמיע את המידע הזה בדפדפן פשוט כמו כרום. ההאקרים מספקים לכל מי שרוכש את הערכה הזו תוסף לדפדפן שמושך את הזהות המקוונת שרכשו ישירות מאתר ההאקרים.

 

את שירות המכירה הפעילה קבוצת פושעי סייבר המכונה Genesis. הלקוחות שלה הם עבריינים שצריכים חליפת הגנה למבצעי הונאות, גניבת מידע והלבנת כספים. המחירים של הזהויות נעים בין 5 ל-200 דולר בהתאם לכמה מלאה ושמישה היא הזהות. קשה מאוד לזהות את פעילות ההאקרים מהרגע שהם משתמשים בפרופיל כזה.

 

 

 

בקבוצת ההאקרים מתהדרים שהזהויות שלהם יכולות לעקוף מערכות אבטחה של כ-283 בנקים, 47 מערכות זיהוי ותשלום מקוונות. בקספרסקי מסבירים שהכלים האלה כבר הוכנסו לשימוש בקרב לא מעט קבוצות עברייני רשת. עד כה זוהו פרופילים של כ-60 אלף זהויות אך המספר צומח בהתמדה. בשלב זה, הדרך היחידה להקשות על ההאקרים היא שימוש במערכות אימות דו שלבי ששולחות קוד אישור למספר הנייד או לאפליקציה חיצונית.