O desenvolvimento das tecnologias da Internet trouxe muitos crescimentos e oportunidades de negócios, bem como novos métodos de hackers para combinar.
De usuários privados de mídia social a pequenas empresas e grandes corporações, a gama de vítimas para o hacker moderno é vasta.
É do seu interesse, portanto, ter uma ideia dos possíveis perigos que se escondem na World Wide Web, bem como ter as informações certas para mitigar essas ameaças à segurança. Este post dá uma luz.
Principais métodos de hackers
Aqui estão os principais métodos de hackers:
1. Engenharia Social
A engenharia social é o processo de manipulação de uma vítima em potencial para divulgar informações importantes ou tomar certas ações que concederão ao invasor o acesso necessário. Há muitas maneiras de abordar a engenharia social, como ligar para a vítima ao telefone e solicitar informações confidenciais. Este método é chamado vishing e é frequentemente usado para coletar informações bancárias de vítimas inocentes, que acreditam que um funcionário de banco real está do outro lado.
Outro método popular é Phishing, e assim como o método de telefone, inclui personificações. Aqui, pode ser um site bancário falso que se parece 100% com o site do banco original. A vítima recebe um e-mail ou texto com um link para o site falso, solicitando que atualize urgentemente seus dados para fins de segurança. No entanto, todas as informações inseridas no site falso são copiadas pelo invasor e usadas para esvaziar a conta da vítima.
Outros métodos incluem o hacker tornar-se amigo da vítima e gradualmente obter acesso às informações necessárias, ou se passar por uma figura de autoridade, como um funcionário do governo, um chefe ou um agente de segurança para intimidar a vítima a divulgar informações.
As maneiras de evitar ser vítima de engenharia social incluem não confiar em estranhos, sempre verificando se você está no site certo com “https://” e nunca forneça suas senhas ou códigos PIN, não importa o quê.
2. Espionagem
Outro método de hacking perigoso é a espionagem. É perigoso porque há muitas maneiras de fazer isso e não há limite para a quantidade de informações que o hacker pode obter.
Os métodos de exemplo incluem sniffing de pacotes de uma rede para extrair informações usando software analisador de rede, como Wireshark. Outra maneira é instalar um pequeno aplicativo no computador ou smartphone da vítima que registre cada pressionamento de tecla ou capture toda a comunicação de texto.
Outros métodos de espionagem incluem ataques man-in-the-middle que permitem que um hacker transmita informações a duas partes, enquanto eles acreditam que estão se comunicando diretamente. Por exemplo, as redes GSM se conectam automaticamente ao sinal mais forte, portanto, ao falsificar a torre GSM de uma determinada rede, todos os telefones celulares nessa área se conectam automaticamente ao hacker e passam suas informações por meio de seu sistema.
3. Sequestro de Sessão e Cookie
Navegadores e aplicativos se comunicam com servidores usando sessões. Para entrar em uma sessão com um servidor, o usuário deve primeiro se identificar usando uma combinação de login/senha e, possivelmente, autenticação de 2 fatores. Quando a identidade do usuário é verificada, o servidor inicia uma sessão com o navegador do usuário, durante a qual nenhuma verificação adicional é necessária até que o usuário faça logoff.
Um pequeno problema aqui é que o servidor armazenará um biscoito na máquina do usuário autenticado ou adicione um ID de sessão ao URL, dizendo algo como este usuário está pronto para ir, você começa a deriva. Mas o problema é que, se um hacker pode roubar esses cookies ou ID de sessão, ele obtém acesso a esse ambiente restrito que a vítima teve que autenticar para entrar. Ele pode então fazer postagens, transferir dinheiro ou fazer o que quiser.
Agora, existem muitas maneiras de conseguir isso:
- XSS ou script entre sites – Isso envolve enganar a vítima para clicar em um link para um site legítimo, mas isso inclui código JavaScript para roubar seus cookies para esse site legítimo e enviá-los para o site do hacker.
- Sessão Sniffing – O hacker pode usar sniffers de rede como o Wireshark para interceptar informações de sessão e cookies.
- Fixação de Sessão – O invasor envia um link para uma vítima que contém um ID de sessão. Se a vítima fizer login e o sistema não conseguir gerar um novo ID de sessão, o hacker também poderá usar o mesmo ID de sessão para fazer logon. A solução aqui é que o sistema sempre gere um novo ID de sessão após cada login.
- Doação de sessão – Um hacker faz login em um site legítimo e, em seguida, envia um link com os dados da sessão para uma vítima, solicitando que ela atualize as informações. A vítima verá que está logado e, se não perceber que não é sua conta, poderá inserir informações confidenciais, que o hacker poderá roubar posteriormente. Uma solução é sempre fazer logout quando terminar.
4. XSS e CSRF
Como já mencionado acima, XSS significa Cross-Site Scripting, enquanto CSRF significa Cross-Site Request Forgery. Você deve observar aqui que o XSS vai além do roubo de cookies comum, pois trata-se de executar um script em uma página na qual a vítima confia enquanto se conecta a outros sites menos confiáveis.
Uma vítima não precisa estar logada, autenticada ou tomar qualquer ação para cair em um ataque XSS, que geralmente é automático. Para o CSRF, no entanto, a vítima precisa estar logada em um site específico e, além disso, tomar medidas, como clicar em um botão.
Por exemplo, Victim-Bob está conectado ao site de seu banco, então algo o distrai e ele chega a um site que oferece um Férias grátis para Macau, tudo o que ele precisa é clicar no botão. Uma vez que ele clica nele, porém, o site envia uma solicitação de transferência de dinheiro para seu banco e, como ele tem uma sessão ativa com o banco, ela pode ser concluída.
Tudo o que o site do invasor precisa é criar um formulário direcionado ao banco com os campos corretos, como:
5. Hotspot Honeypot
Já usou Wi-Fi gratuito para acessar a web? Espero que você tenha usado uma VPN (Rede Privada Virtual) para se proteger, ou então você pode ter sido uma vítima do honeypot.
O esquema é assim: um hacker configura um hotspot WiFi gratuito com um sniffer de pacotes nos bastidores para coletar senhas e outros objetos de valor daqueles que navegam na web gratuitamente. Alguns até configuram pontos de acesso falsos da empresa, como você encontraria em cafés, aeroportos e restaurantes.
Para evitar esses hacks, simplesmente fique longe de hotspots gratuitos ou use uma VPN se precisar usar WiFis públicos.
6. Força Bruta
Um ataque de força bruta é uma tentativa de fazer login na conta de uma vítima, tentando todas as combinações possíveis de nome de usuário e senha. Também pode se referir ao cracking de um algoritmo tentando tantas chaves quanto possível.
Kali Linux, o popular sistema operacional de hackers, vem com ferramentas de força bruta, como João, o Estripador, quebrar, e Hydra. Há também listas de palavras, que auxiliam em ataques de dicionário. Eles contêm uma lista das senhas e palavras mais populares do dicionário, como macaco, 12345, minha senha secreta, 00000, e assim por diante.
Os métodos para evitar ataques de força bruta incluem adicionar um captcha à página de login, limitar o número de tentativas de login e impor o uso de senhas seguras – 8 caracteres ou mais, com uma combinação de símbolos, números e letras maiúsculas e minúsculas. cartas.
7. DoS e DDoS
DoS significa Denial of Service ataque, enquanto DDoS significa Distributed Denial of Service ataque. O objetivo aqui é sobrecarregar um sistema de computador, como um servidor, com tantas solicitações, que ele se torna incapaz de atender mais solicitações – fica offline.
DoS vem de uma única máquina e é fácil de detectar e bloquear. O DDoS, por outro lado, vem de vários computadores e isso pode ser um botnet que está espalhado pelo mundo, muitas vezes originado de computadores infectados com malware.
Você deve observar que, diferentemente da maioria dos outros métodos desta lista, os ataques DDoS não visam roubar ou executar código malicioso no computador da vítima. Em vez disso, eles são usados para manter servidores de negócios sob cerco, pois essas empresas podem continuar seus serviços de forma impossível até que um resgate seja pago.
A maneira mais simples de evitar ataques DDoS é usar um host da Web que inclua proteção DDoS no pacote oferecido.
8. Ataques a sites direcionados e não direcionados
Um ataque direcionado é um ataque direcionado especificamente ao site da vítima, enquanto um ataque não direcionado ocorre a um site porque o invasor estava explorando uma fraqueza geral do software.
Sites WordPress, por exemplo, são propensos a ataques não direcionados, especialmente aqueles executados em versões mais antigas e não atualizadas. O invasor descobre uma exploração que funciona com uma plataforma, versão ou estrutura de desenvolvimento específica e, em seguida, executa a exploração por meio de uma lista de endereços de sites que usam a plataforma, para ver quais falham.
Para ataques direcionados, o hacker gastará um pouco mais de tempo conhecendo o site da vítima, e isso pode variar de alguns dias a muitos meses. Os ataques direcionados geralmente são mais perigosos e podem ser desastrosos, especialmente para grandes empresas.
9. Injeção SQL
Quando o LulzSec invadiu os servidores da Sony PlayStation Network em 2011 e roubou 1 milhão de senhas, eles descreveram a operação como um simples hack de injeção de SQL.
A injeção de SQL é o ato de adicionar diretivas de linguagem SQL no endereço de solicitação de um site, na esperança de que o programador não limpe essas entradas potencialmente prejudiciais. E quando o SQLi funciona, o hacker geralmente obtém acesso de administrador ao banco de dados, como aconteceu na Sony.
É possível impedir a injeção de SQL usando as versões mais recentes de plataformas e estruturas populares. No entanto, aqueles que constroem por conta própria terão que se concentrar na validação de entrada adequada, no uso de declarações preparadas, procedimentos armazenados e verificação de vulnerabilidades.
10. Vulnerabilidades de plug-ins
Além dos principais problemas de segurança com plataformas populares como o WordPress, que muitas vezes podem ser evitados com a atualização para as versões de software mais recentes, os plugins, por outro lado, podem criar uma grande ameaça de hackers.
Existem mais de 50,000 plugins no ecossistema WordPress, e cada um representa um risco potencial de segurança, já que a maioria dos hacks atuais do WordPress vem dessas vulnerabilidades de plugins.
Embora 100% de segurança não seja possível aqui, você ainda pode melhorar a defesa de um site contra a vulnerabilidade do plug-in escolhendo apenas plug-ins de alta qualidade com classificações altas. Em seguida, faça regularmente atualizações do sistema principal e do plug-in e evite usar temas antigos ou extensões de qualquer tipo.
Conclusão
Listamos os 10 principais métodos de hackers por aí e você viu suas causas e possíveis métodos de prevenção. Como você também deve ter concluído, o hacking faz parte do mundo dos computadores, portanto, as ameaças de hack sempre devem ser consideradas.
Ao estar ciente dessas ameaças, no entanto, e aplicar as medidas de proteção corretas quando necessário, você também pode reduzir drasticamente o risco de ser hackeado.
