Bagaimana Seorang Penggodam Remaja Didakwa Berjaya Menceroboh Kedua-dua Permainan Uber dan Rockstar

Baris atas

Rockstar Games—pembangun siri permainan video Grand Theft Auto yang popular—adalah digodam hanya beberapa hari selepas pelayan gergasi gergasi Uber disasarkan dalam pelanggaran yang sama, kononnya oleh penggodam yang sama yang menggunakan proses yang dipanggil kejuruteraan sosial, cara serangan yang sangat berkesan yang bergantung pada menipu pekerja syarikat yang disasarkan dan boleh menjadi sukar untuk dikawal terhadap.

Fakta Utama

Sama seperti Peretasan Uber, penggodam yang menggunakan alias “TeaPot” mendakwa dia mendapat akses kepada mesej dalaman Rockstar Games di Slack dan kod awal untuk sekuel Grand Theft Auto mereka yang tidak diumumkan oleh mendapat akses kepada kelayakan log masuk pekerja.

Walaupun butiran tepat mengenai pelanggaran Rockstar tidak jelas, dalam kes Uber adalah penggodam mendakwa dia menyamar sebagai orang IT syarikat dan meyakinkan seorang pekerja untuk berkongsi kelayakan log masuk mereka.

Tidak seperti mod serangan lain yang bergantung pada kecacatan dalam seni bina keselamatan syarikat, kejuruteraan sosial menyasarkan orang dan bergantung pada manipulasi dan penipuan.

Pakar bersengketa bahawa manusia masih kekal sebagai "pautan paling lemah" dalam keselamatan siber kerana mereka boleh dengan mudah ditipu untuk mengklik pada pautan berniat jahat atau berkongsi bukti kelayakan log masuk mereka.

Tidak seperti kaedah lain, kejuruteraan sosial juga berkesan dalam mengalahkan peningkatan tertentu langkah keselamatan seperti kata laluan sekali dan kaedah pengesahan pelbagai faktor lain.

Petikan Penting

Rachel Tobac, Ketua Pegawai Eksekutif firma keselamatan siber SocialProof Security dan pakar dalam kejuruteraan sosial tweeted: “Kebenaran yang sukar ialah kebanyakan [organisasi]

di dunia boleh digodam dengan cara yang tepat Uber baru sahaja digodam...Banyak [organisasi] masih tidak menggunakan [Pengesahan Berbilang Faktor] secara dalaman...& tidak menggunakan pengurus kata laluan (yang membawa kepada menyimpan kredit di tempat yang mudah dicari sekali penceroboh masuk)."

Latar Belakang Utama

Kejuruteraan sosial telah digunakan untuk menjalankan beberapa penggodaman berprofil tinggi dalam beberapa tahun kebelakangan ini, termasuk rampasan daripada lebih 100 akaun Twitter yang terkenal—antaranya Elon Musk, bekas Presiden Barack Obama, Bill Gates dan Kanye West—yang kemudiannya digunakan untuk mempromosikan penipuan bitcoin. Penggodaman itu dilakukan oleh remaja yang berjaya mendapatkan akses kepada rangkaian dalaman Twitter dengan menyasarkan "sebilangan kecil pekerja" mengikut syarikat media sosial itu. Bulan lalu, kedua-dua Cloudflare dan Twilio turut disasarkan dalam sejenis serangan kejuruteraan sosial yang dipanggil "phishing" di mana pekerja telah ditipu untuk membuka mesej yang menyamar untuk muncul sebagai komunikasi syarikat yang sah tetapi termasuk pautan berniat jahat. Twilio, yang menyediakan perkhidmatan pemesejan dan pengesahan dua faktor, didedahkan bahawa penggodam telah berjaya menceroboh pangkalan data dalaman syarikat dan mendapat akses kepada bilangan akaun pelanggan yang tidak didedahkan. Cloudflare, rangkaian penghantaran kandungan dalam talian, berkata penggodam tidak dapat mengakses rangkaian dalamannya.

Kontra

Tidak seperti Twilio, Uber dan Rockstar, yang sistem dalaman mereka dilanggar, Cloudflare berjaya mengelakkan nasib ini kerana penggunaannya kunci keselamatan berasaskan perkakasan. Tidak seperti kaedah pengesahan berbilang faktor lain seperti mesej teks dan kata laluan sekali, kunci keselamatan perkakasan adalah lebih selamat daripada serangan kejuruteraan sosial. Pekerja yang disasarkan boleh ditipu untuk berkongsi butiran mesej teks atau kata laluan sekali sahaja tetapi penggodam perlu mendapatkan pemilikan fizikal kunci keselamatan perkakasan untuk mendapatkan akses kepada akaun. Kekunci keselamatan perkakasan datang dalam pelbagai bentuk termasuk stik USB atau dongle Bluetooth dan ia perlu dipalamkan atau disambungkan ke peranti yang cuba mendapatkan akses kepada akaun yang dilindungi. Penggodam yang mendapat akses kepada bukti kelayakan pekerja tidak akan dapat mengakses akaun mereka yang menggunakan bentuk keselamatan ini tanpa mendapat akses kepada kunci mereka secara fizikal. Pada tahun 2018, Google mengumumkan bahawa tiada seorang pun daripada 85,000nya telah berjaya disasarkan melalui serangan pancingan data selepas ia mewajibkan penggunaan kunci keselamatan fizikal setahun sebelumnya.

Nombor besar

323,972. Itulah jumlah aduan serangan kejuruteraan sosial yang diterima oleh FBI pada 2021—hampir tiga kali lebih tinggi daripada aduan pada 2019—menurut laporan tahunan agensi itu. Laporan Jenayah Internet. Dalam tempoh ini, penggodam berjaya mencuri sejumlah $2.4 bilion dengan menjejaskan akaun e-mel perniagaan melalui teknik kejuruteraan sosial.

Apa yang perlu ditonton

Jason Schreier dari Bloomberg membuat spekulasi hack baru-baru ini mungkin mendorong Rockstar untuk sekatan tempat pada kerja jauh. Pakar keselamatan siber telah sebelum ini berhujah bahawa kerja jauh mungkin memerlukan lebih banyak langkah berjaga-jaga kerana ia menyebabkan pekerja lebih terdedah kepada serangan kejuruteraan sosial.

Bacaan Lanjut

Uber Mengatakan Ia Menjawab 'Insiden Keselamatan Siber' Selepas Dakwaan Peretasan Pangkalan Data Dalaman (Forbes)

Penggodam Uber Dakwa Telah Menggodam Permainan Rockstar, Mengeluarkan Video GTA 6 (Forbes)

FBI Menyiasat Uber & GTA 6 Hacks, Ketua Geng Peras ugut Remaja UK Disyaki (Forbes)