As dez principais técnicas de quebra de senha usadas por hackers

Compreender as técnicas de quebra de senha que os hackers usam para explodir suas contas online é uma ótima maneira de garantir que isso nunca aconteça com você.

Certamente você sempre precisará alterar sua senha e, às vezes, com mais urgência do que pensa, mas mitigar o roubo é uma ótima maneira de manter a segurança da sua conta. Você sempre pode acessar  www.haveibeenpwned.com para verificar se está em risco, mas simplesmente pensar que sua senha é segura o suficiente para não ser invadida é uma mentalidade ruim de se ter.

Portanto, para ajudá-lo a entender como os hackers obtêm suas senhas – seguras ou não – reunimos uma lista das dez principais técnicas de quebra de senha usadas pelos hackers. Alguns dos métodos abaixo certamente estão desatualizados, mas isso não significa que ainda não estejam sendo usados. Leia com atenção e saiba o que mitigar.

As dez principais técnicas de quebra de senha usadas por hackers

1. Phishing

Existe uma maneira fácil de hackear, pedir ao usuário sua senha. Um e-mail de phishing leva o leitor desavisado a uma página de login falsificada associada a qualquer serviço que o hacker deseja acessar, geralmente solicitando que o usuário corrija algum problema terrível com sua segurança. Essa página então examina sua senha e o hacker pode usá-la para seus próprios fins.

Por que se dar ao trabalho de decifrar a senha quando o usuário a fornecerá com prazer de qualquer maneira?

2. Engenharia Social

A engenharia social leva todo o conceito de “pergunte ao usuário” para fora da caixa de entrada que o phishing tende a manter e para o mundo real.

Um dos favoritos do engenheiro social é ligar para um escritório se passando por um técnico de segurança de TI e simplesmente pedir a senha de acesso à rede. Você ficaria surpreso com a frequência com que isso funciona. Alguns até têm as gônadas necessárias para vestir um terno e crachá antes de entrar em uma empresa para fazer a mesma pergunta cara a cara à recepcionista.

Vez após vez, tem sido demonstrado que muitas empresas não possuem uma boa segurança no local ou as pessoas são muito amigáveis ​​e confiantes quando não deveriam, como dar às pessoas acesso a locais sensíveis por causa de um uniforme ou história triste.

3. Malware

O malware vem em várias formas, como um keylogger, também conhecido como raspador de tela, que registra tudo o que você digita ou faz capturas de tela durante um processo de login e, em seguida, encaminha uma cópia desse arquivo para a central do hacker.

Alguns malwares procurarão a existência de um arquivo de senha do cliente do navegador da Web e o copiarão, o qual, a menos que seja devidamente criptografado, conterá senhas salvas facilmente acessíveis do histórico de navegação do usuário.

4. Ataque de Dicionário

O ataque de dicionário usa um arquivo simples contendo palavras que podem ser encontradas em um dicionário, daí seu nome bastante direto. Em outras palavras, esse ataque usa exatamente o tipo de palavras que muitas pessoas usam como senha.

O agrupamento inteligente de palavras como “deixe-me entrar” ou “cara do superadministrador” não impedirá que sua senha seja quebrada dessa maneira – bem, não por mais do que alguns segundos extras.

5. Ataque da Mesa Arco-Íris

As tabelas do arco-íris não são tão coloridas quanto o nome sugere, mas, para um hacker, sua senha pode estar no final delas. Da maneira mais direta possível, você pode resumir uma tabela de arco-íris em uma lista de hashes pré-computados – o valor numérico usado ao criptografar uma senha. Esta tabela contém hashes de todas as combinações de senha possíveis para qualquer algoritmo de hash fornecido. As tabelas Rainbow são atraentes, pois reduzem o tempo necessário para quebrar um hash de senha para simplesmente procurar algo em uma lista.

No entanto, as tabelas do arco-íris são coisas enormes e difíceis de manejar. Eles exigem muito poder de computação para serem executados e uma tabela se torna inútil se o hash que está tentando encontrar tiver sido “salgado” pela adição de caracteres aleatórios à sua senha antes do hash do algoritmo.

Fala-se da existência de tabelas arco-íris salgadas, mas estas seriam tão grandes que seriam difíceis de usar na prática. Eles provavelmente funcionariam apenas com um conjunto predefinido de “caracteres aleatórios” e sequências de senha abaixo de 12 caracteres, pois o tamanho da tabela seria proibitivo até mesmo para hackers de nível estadual.

6. Aranha

Hackers experientes perceberam que muitas senhas corporativas são compostas por palavras conectadas ao próprio negócio. Estudar literatura corporativa, material de vendas de sites e até mesmo sites de concorrentes e clientes listados pode fornecer a munição para criar uma lista de palavras personalizada para usar em um ataque de força bruta.

Hackers realmente experientes automatizaram o processo e permitiram que um aplicativo de indexação, semelhante aos rastreadores da Web empregados pelos principais mecanismos de pesquisa, identificasse palavras-chave e, em seguida, coletasse e reunisse as listas para elas.

7. Cracking off-line

É fácil imaginar que as senhas são seguras quando os sistemas que elas protegem bloqueiam os usuários após três ou quatro tentativas erradas, bloqueando os aplicativos de adivinhação automatizada. Bem, isso seria verdade se não fosse pelo fato de que a maioria dos hackers de senha ocorre offline, usando um conjunto de hashes em um arquivo de senha que foi 'obtido' de um sistema comprometido.

Freqüentemente, o alvo em questão foi comprometido por meio de um hack em um terceiro, que fornece acesso aos servidores do sistema e aos arquivos hash de senha de usuário muito importantes. O cracker de senha pode levar o tempo que for necessário para tentar quebrar o código sem alertar o sistema de destino ou o usuário individual.

8. Ataque de Força Bruta

Semelhante ao ataque de dicionário, o ataque de força bruta vem com um bônus adicional para o hacker. Em vez de simplesmente usar palavras, um ataque de força bruta permite que eles detectem palavras não pertencentes ao dicionário trabalhando em todas as combinações alfanuméricas possíveis de aaa1 a zzz10.

Não é rápido, desde que sua senha tenha mais de um punhado de caracteres, mas eventualmente descobrirá sua senha. Os ataques de força bruta podem ser reduzidos ao lançar potência de computação adicional, em termos de poder de processamento – incluindo aproveitar o poder da GPU da sua placa de vídeo – e números de máquina, como o uso de modelos de computação distribuída como mineradores de bitcoin online.

9. Surf de ombro

Outra forma de engenharia social, navegação no ombro, como sugere, envolve espiar por cima dos ombros de uma pessoa enquanto ela digita credenciais, senhas etc. Embora o conceito seja de tecnologia muito baixa, você ficaria surpreso com quantas senhas e informações confidenciais é roubado desta forma, portanto, fique atento ao seu entorno ao acessar contas bancárias, etc.

O mais confiante dos hackers assumirá o disfarce de um mensageiro de encomendas, técnico de serviço de ar condicionado ou qualquer outra coisa que lhes dê acesso a um prédio de escritórios. Uma vez dentro, o “uniforme” do pessoal de serviço fornece uma espécie de passe livre para passear sem impedimentos e anotar as senhas inseridas por membros genuínos da equipe. Ele também oferece uma excelente oportunidade para observar todos aqueles post-its presos na frente das telas LCD com logins rabiscados sobre eles.

10. Adivinhe

O melhor amigo dos crackers de senha, é claro, é a previsibilidade do usuário. A menos que uma senha verdadeiramente aleatória tenha sido criada usando um software dedicado à tarefa, é improvável que uma senha 'aleatória' gerada pelo usuário seja algo do tipo.

Em vez disso, graças ao apego emocional de nossos cérebros às coisas de que gostamos, as chances são de que essas senhas aleatórias sejam baseadas em nossos interesses, hobbies, animais de estimação, família e assim por diante. Na verdade, as senhas tendem a ser baseadas em todas as coisas sobre as quais gostamos de conversar nas redes sociais e até incluir em nossos perfis. É muito provável que os crackers de senhas analisem essas informações e façam algumas suposições - geralmente corretas - ao tentar quebrar uma senha de nível de consumidor sem recorrer a ataques de dicionário ou de força bruta.

Outros ataques para se precaver

Se falta alguma coisa aos hackers, não é criatividade. Usando uma variedade de técnicas e adaptando-se aos protocolos de segurança em constante mudança, esses intrusos continuam a ter sucesso.

Por exemplo, qualquer pessoa nas mídias sociais provavelmente já viu os questionários e modelos divertidos pedindo para você falar sobre seu primeiro carro, sua comida favorita, a música número um em seu aniversário de 14 anos. Embora esses jogos pareçam inofensivos e certamente sejam divertidos de postar, eles são, na verdade, um modelo aberto para perguntas de segurança e respostas de verificação de acesso à conta.

Ao configurar uma conta, talvez tente usar respostas que não pertencem a você, mas que você pode lembrar facilmente. "Qual foi seu primeiro carro?" Em vez de responder com sinceridade, coloque o carro dos seus sonhos. Caso contrário, simplesmente não publique nenhuma resposta de segurança online.

Outra maneira de obter acesso é simplesmente redefinir sua senha. A melhor linha de defesa contra um intruso que está redefinindo sua senha é usar um endereço de e-mail que você verifica com frequência e manter suas informações de contato atualizadas. Se disponível, sempre habilite a autenticação de 2 fatores. Mesmo que o hacker descubra sua senha, ele não poderá acessar a conta sem um código de verificação exclusivo.

Práticas recomendadas para se proteger de hackers

• Mantenha senhas fortes e únicas para todas as suas contas, existem gerenciadores de senhas disponíveis.
• Não clique em links ou baixe arquivos em e-mails arbitrariamente, é melhor não fazer isso, mas os e-mails de ativação evitam isso.
• Verifique e aplique atualizações de segurança periodicamente. A maioria dos computadores de trabalho pode não permitir isso, o administrador do sistema cuidará dessas coisas.
• Ao usar um novo computador ou unidade, considere o uso de criptografia. Você pode criptografar um HDD/SSD com dados nele, mas pode levar horas ou dias por causa das informações extras.
• Use a noção de privilégio mínimo, o que significa apenas dar acesso ao que é necessário. Basicamente, crie contas de usuário que não sejam administradores para uso casual do computador por você ou amigos e familiares.

perguntas frequentes

Por que preciso de uma senha diferente para cada site?

Você provavelmente sabe que não deve fornecer suas senhas e não deve baixar nenhum conteúdo com o qual não esteja familiarizado, mas e as contas nas quais você entra todos os dias? Suponha que você use a mesma senha para sua conta bancária que você usa para uma conta arbitrária como Grammarly. Se o Grammarly for hackeado, o usuário também terá sua senha bancária (e possivelmente seu e-mail, facilitando ainda mais o acesso a todos os seus recursos financeiros).

O que posso fazer para proteger minhas contas?

Usar 2FA em qualquer conta que ofereça o recurso, usar senhas exclusivas para cada conta e usar uma mistura de letras e símbolos é a melhor linha de defesa contra hackers. Como afirmado anteriormente, existem várias maneiras diferentes de os hackers obterem acesso às suas contas, portanto, outras coisas que você precisa fazer regularmente é manter seu software e aplicativos atualizados (para patches de segurança) e evitando downloads com os quais você não está familiarizado.

Qual é a maneira mais segura de manter senhas?

Acompanhar várias senhas estranhas pode ser incrivelmente difícil. Embora seja muito melhor passar pelo processo de redefinição de senha do que ter suas contas comprometidas, é demorado. Para manter suas senhas seguras, você pode usar um serviço como Last Pass ou KeePass para salvar todas as senhas de sua conta.

Você também pode usar um algoritmo exclusivo para manter suas senhas, tornando-as mais fáceis de lembrar. Por exemplo, PayPal pode ser algo como hwpp+c832. Essencialmente, esta senha é a primeira letra de cada quebra na URL (https://www.paypal.com) com o último número no ano de nascimento de todos em sua casa (apenas como exemplo). Quando você for fazer login na sua conta, visualize a URL que fornecerá as primeiras letras dessa senha.

Adicione símbolos para tornar sua senha ainda mais difícil de hackear, mas organize-os para que sejam mais fáceis de lembrar. Por exemplo, o símbolo “+” pode ser para qualquer conta relacionada a entretenimento enquanto o “!” pode ser usado para contas financeiras.

Praticando segurança on-line

Em uma era global em que as comunicações podem ocorrer em todo o mundo aparentemente em um instante, é importante lembrar que nem todos têm boas intenções. Proteja-se on-line gerenciando e atualizando ativamente suas senhas e informações sobre vazamentos de mídia social. Compartilhar é cuidar, mas não informações pessoais para se tornar um alvo fácil para criminosos cibernéticos.