Что такое атака по словарю?

Многие пользователи знают основные правила безопасности в интернете. Но, к сожалению, они не всегда соблюдают их, что дает злоумышленникам зеленый свет для атаки по словарю. Все знают, как важно защитить учетную запись, но тем не менее многие пользователи нарушают самое базовое правило – использовать надежные пароли. Компания Google провела исследование и выяснила, что 65% пользователей защищают одним и тем же паролем несколько аккаунтов. При этом 59% пользователей при создании пароля используют персональные данные, например имя домашнего питомца или дату рождения, – такой пароль легко угадать.

Простые пароли тоже не редкость – преступникам не составит труда подобрать их. Самыми популярными паролями оказались простые последовательности, например 123456 и qwerty, и фразы типа Password, iloveyou и Welcome – они фигурируют в списках скомпрометированных данных чаще других.

Именно поэтому преступники делают ставки на этот метод атаки – и не зря. Они знают, что люди не принимают серьезных мер защиты от атак по словарю.

Атаки по словарю – определение

По сути, атаки по словарю представляют собой разновидность брутфорс-атак. Злоумышленники по списку перебирают самые распространенные слова, фразы и комбинации цифр в надежде вскрыть учетную запись пользователя. В случае успешной атаки преступнику откроется доступ к банковским счетам, социальным сетям и даже защищенным паролем файлам. Вот тут-то у пострадавшего пользователя могут начаться настоящие проблемы.

Как происходит атака по словарю?

Для успешного подбора паролей преступники используют системный подход. Чтобы защитить свои учетные записи от взлома, важно разобраться, как устроены такие атаки. Они включают три основных этапа.

1. Злоумышленник составляет список возможных паролей (словарь для перебора), который включает самые распространенные слова и комбинации цифр.
2. Он использует специализированное ПО для автоматического перебора паролей и взлома учетных записей.
3. После успешного взлома уязвимой учетной записи преступник извлекает конфиденциальные данные жертвы и использует их в своих целях, например для мошенничества, совершения вредоносных действий или ради финансовой выгоды.

Для составления списка потенциальных паролей зачастую используются, например, популярные клички животных, имена известных персонажей, названия спортивных команд или имена спортсменов – чтобы не забыть пароль, люди часто используют слова и фразы, которые имеют для них какое-то значение. Список потенциальных паролей обычно включает различные комбинации этих слов и варианты их написания со специальными символами.

Для перебора паролей используются автоматизированные инструменты, которые в разы повышают шансы на успешную атаку, перебирая огромное количество возможных комбинаций за короткое время. Если бы преступникам приходилось пробовать все потенциальные пароли вручную, это заняло бы у них чуть ли не вечность. В любом случае владелец аккаунта или системный администратор успел бы заметить признаки атаки и принять меры для защиты учетной записи.

Этот метод редко используется для атаки на конкретного человека. Злоумышленники обычно пытаются взломать аккаунт случайного пользователя в надежде, что хотя бы один пароль из списка окажется верным. Если же преступник взял на прицел конкретную организацию или пользователя, он продумает список возможных паролей более тщательно. Например, если атака планируется в Испании, будут подбираться распространенные испанские слова вместо английских. Если мишенью стала конкретная компания, будут использоваться слова, связанные с этой компанией.

Атака по словарю и брутфорс: в чем разница?

Несмотря на то что атака по словарю – это разновидность брутфорс-атак, между ними есть существенная разница. Атака по словарю предполагает использование заранее созданного списка возможных паролей для систематических попыток взлома. Для брутфорс-атаки такой список не нужен – вместо этого программа будет перебирать все комбинации случайных букв, символов и цифр, чтобы подобрать подходящий пароль. При использовании словаря преступникам требуется проверить гораздо меньше вариантов, поэтому такие атаки считаются более продуктивными и имеют больше шансов на успех.

26 букв латинского алфавита и 10 цифр (всего 36 символов) дают несметное количество возможных комбинаций, и найти среди них нужную методом простого перебора практически нереально. Для большей ясности приведем пример: чтобы подобрать пароль из 10 символов методом брутфорса, придется перебрать 3,76 квадриллиона возможных буквенно-цифровых комбинаций.

Преимущество такого рода атак состоит в том, что методом проб и ошибок они позволяют взламывать сложные и уникальные пароли, ведь чем больше комбинаций проверит программа, тем больше шансов найти подходящую.

Как защитить учетную запись от атаки по словарю

Разобравшись, что такое атаки по словарю и как они происходят, вы сможете принять меры для защиты от них. Следуйте нашим советам, чтобы избежать угрозы.

1. Если можно обойтись без пароля – сделайте это. Самый простой и безотказный способ избежать атаки по словарю – отказаться от паролей. Вместо паролей защитите свои учетные записи методами беспарольной и биометрической аутентификации.
2. Используйте случайные пароли. При создании пароля старайтесь не использовать личную информацию – дату рождения, клички домашних питомцев и другие сведения, которые несложно выяснить. Используйте менеджер паролей для создания надежных паролей, их безопасного хранения и ввода.
3. Откажитесь от очевидных паролей. Как ни удивительно, многие пользуются простейшими комбинациями букв и цифр, подобрать которые не составит никакого труда, например Password123 или abcd1234. Именно на такие пароли и рассчитаны атаки по словарю.
4. Используйте парольную фразу. Вместо одного слова или комбинации цифр используйте целые фразы для защиты своих учетных записей. Подобрать их гораздо сложнее, а запомнить – проще. Например, если вы футбольный фанат, можно написать что-то вроде «Я хочу быть полузащитником Спартака». Чтобы повысить надежность фразы, используйте случайные цифры, символы и буквы верхнего регистра. В итоге ваша фраза может выглядеть, например, так: Y@X04u8ytP0luZaSHCH!tn!K0mSp@rt@Ka!
5. Используйте двухфакторную аутентификацию. Рекомендуется использовать не менее двух факторов проверки подлинности при каждом входе в аккаунт. Например, пароль, одноразовый код, генерируемый аутентификатором, и отпечаток пальца.
6. Пользуйтесь аутентификатором. По возможности используйте приложения для проверки подлинности вместо паролей или вместе с ними. Существует много доступных аутентификаторов для мобильных устройств, которые генерируют случайные одноразовые коды для защиты учетных записей.
7. Ограничьте количество попыток входа. Некоторые сайты и приложения временно блокируют учетную запись, если несколько попыток входа, предпринятых за короткий промежуток времени, оказались неудачными. По возможности делайте то же самое, чтобы защитить свой аккаунт от атаки по словарю.
8. Принудительное изменение пароля. Для подбора пароля по словарю преступникам нужно испробовать множество вариантов. Чтобы снизить их шансы на успешную атаку, включите функцию принудительного изменения пароля после заданного количества неудачных попыток входа. Если автоматический сброс пароля в ваших учетных записях не предусмотрен, используйте более простой вариант: включите доставку оповещений о неудачных попытках входа по электронной почте. Получив уведомление о том, что кто-то пытается войти в вашу учетную запись, и особенно несколько таких уведомлений подряд, измените пароль, чтобы защитить аккаунт от взлома.
9. Избегайте распространенных слов. Для повышения защиты вашей учетной записи старайтесь избегать слов, которые пользователи часто используют для создания паролей.

Может ли менеджер паролей остановить атаку по словарю?

Менеджер паролей – это удобный инструмент для безопасного управления учетными данными, который снижает вероятность успешной атаки по словарю. Такие приложения, как Kaspersky Password Manager, предлагают ряд полезных функций для защиты ваших паролей. Вот несколько аргументов в пользу такой программы.

• Один пароль для всех учетных записей. Пользователям менеджеров паролей нужно запомнить только один пароль для входа в саму программу, откуда они смогут управлять всеми остальными учетными данными.
• Автоматическое создание надежных случайных паролей. Большинство таких приложений позволяют пользователям автоматически создавать надежные пароли, состоящие из случайных символов. Популярных слов и фраз в таких паролях вы не увидите, а значит, они защищены от атаки по словарю. При этом следует помнить, что брутфорс-атака все же может оказаться успешной.
• Удобный доступ к учетным записям. Большинство менеджеров паролей позволяют не только безопасно хранить учетные данные, но и подставляют их в формы аутентификации на сайтах и в приложениях.
• Безопасная передача паролей. Если вам нужно поделиться паролем от учетной записи с другом, родственником или коллегой, менеджер паролей позволит сделать это максимально безопасно без потери контроля над доступом к аккаунту.
• Безопасное хранилище данных. Многие современные менеджеры паролей позволяют хранить личные документы, медицинские карты и фотографии в зашифрованном виде, надежно защищая их от посягательств.

Защитите свои аккаунты от атак по словарю

Атаки по словарю – распространенный метод, который злоумышленники используют для получения доступа к учетным записям жертвы, в том числе банковским счетам, профилям в социальных сетях и электронной почте. Получив все пароли и явки, они могут использовать их во множестве сценариев – от финансового мошенничества и публикации опасных постов в соцсетях до последующих атак, например фишинга. Предотвратить атаку по словарю не сложно. Чтобы не стать жертвой злоумышленника, нужно принять простые меры безопасности. Следуйте правилам грамотного управления паролями, используйте несколько методов аутентификации и установите менеджер паролей, который будет надежно хранить ваши учетные данные.

В 2021 году лаборатория AV-TEST присвоила корпоративному решению для защиты рабочих мест Kaspersky Endpoint Security три награды в категориях «Лучшая производительность», «Лучшая защита» и «Максимальное удобство использования». Во всех тестах Kaspersky Endpoint Security показало отличные результаты.

Статьи и ссылки по теме:

• Полезные советы по кибергигиене: как защитить себя от опасностей интернета
• Советы по созданию уникальных надежных паролей
• Защита данных в интернете с помощью менеджера паролей

Продукты и решения:

• Kaspersky Premium
• Kaspersky Password Manager