خبر کامل
هشدار امنیتی: ضعف در ۱۱ برنامه مدیریت رمز عبور، ۴۰ میلیون کاربر را تهدید می‌کند
در حالی که سال‌هاست کارشناسان امنیت سایبری استفاده از برنامه‌های مدیریت رمز عبور را برای حفظ ایمنی اطلاعات توصیه می‌کنند، پژوهش‌های اخیر از کشف یک ضعف امنیتی متداول در ۱۱ ارائه‌دهنده برجسته این ابزارها خبر می‌دهند که می‌تواند میلیون‌ها کاربر را در معرض خطر حملات سایبری قرار دهد.
مدیریت رمز عبور: دروازه‌ای جدید برای هکرها
آسیب‌پذیری جدید در برنامه‌های مدیریت رمز عبور، توسط محققان امنیتی The Hacker News شناسایی شده است. این گزارش نشان می‌دهد که افزونه‌های مرورگری که بر پایه مدل DOM (Document Object Model) ساخته شده‌اند، در معرض خطر جدی قرار دارند. این رخنه امنیتی، نرم‌افزارهای مدیریت رمز عبور زیر را تحت تأثیر قرار می‌دهد:
- 1Password
- Bitwarden
- Dashlane
- Enpass
- iCloud Passwords
- Keeper
- LastPass
- LogMeOnce
- NordPass
- ProtonPass
- RoboForm
این فهرست شامل برخی از شناخته‌شده‌ترین و پرکاربردترین برنامه‌های مدیریت رمز عبور در سطح جهانی است و بر اساس برآوردها، حدود ۴۰ میلیون کاربر را در سراسر جهان تحت تأثیر قرار می‌دهد. از این رو، به کاربران هشدار داده شده است که با نهایت احتیاط از این ابزارها استفاده کنند. از آنجا که بسیاری از شرکت‌های ارائه‌دهنده هنوز وصله امنیتی لازم را عرضه نکرده‌اند، خطر سرقت اطلاعات همچنان وجود دارد. برای مثال، سرویس RoboForm وصله امنیتی را منتشر کرده و کاربران آن باید برنامه خود را به‌روزرسانی کنند تا دیگر در معرض این حمله قرار نگیرند.
روش کار هکرها: تکنیک Clickjacking
مهاجمان دقیقاً چگونه موفق به سرقت رمزهای عبور می‌شوند؟ آسیب‌پذیری یادشده به تکنیکی موسوم به Clickjacking مربوط می‌شود. در این روش، هکرها کاربران بی‌اطلاع را به سمت وب‌سایت‌های جعلی هدایت می‌کنند که به‌طور فریبنده‌ای شبیه وب‌سایت‌های اصلی طراحی شده‌اند، اما عناصر نامرئی در آنها قرار داده شده است.
در برخی موارد، کاربر تنها با یک کلیک اشتباه باعث فعال شدن ناخواسته مدیریت رمز عبور خود می‌شود. این برنامه سپس تلاش می‌کند به‌صورت خودکار داده‌های ورود را تکمیل کند و درست در همین لحظه، مهاجمان این داده‌ها را رهگیری کرده و با مداخله مستقیم، به تمام اطلاعات ذخیره‌شده در نرم‌افزار دسترسی پیدا می‌کنند. آنچه این حمله را خطرناک‌تر می‌کند این است که در اکثر مواقع بدون هیچ‌گونه نشانه یا هشدار خاصی رخ می‌دهد و کاربر صرفاً صفحه جعلی را می‌بندد، بی‌آنکه بداند رمزهای عبورش به سرقت رفته‌اند.
دلیل اصلی تبدیل شدن پسورد منیجرها به دروازه‌ای برای حملات هکرها، ضعف موجود در ساختار DOM است که راه را برای چنین نوعی از حملات باز می‌گذارد.
جالب آنکه، تنها رمزهای عبور در معرض سرقت قرار نمی‌گیرند، بلکه سایر داده‌های حساس مانند اطلاعات کارت‌های اعتباری ذخیره‌شده، نام‌ها، نشانی‌ها، شماره تلفن‌ها و حتی موارد دیگر نیز ممکن است رهگیری شوند و بعداً در حملات فیشینگ یا سرقت هویت مورد استفاده قرار گیرند. اگرچه این ضعف امنیتی به اطلاع شرکت‌های مرتبط رسانده شده، اما تا این لحظه کمتر از نیمی از آنها واکنش عملی نشان داده‌اند. شرکت Bitwarden نسخه تازه‌ای از افزونه خود را ارائه داده که مشکل مذکور را برطرف می‌کند.
راهکارهای محافظت در برابر حملات Clickjacking
برای حفاظت از خود در برابر Clickjacking هیچ راهکار یکسان و قطعی وجود ندارد. مثل همیشه، لازم است روی پیوندهای ناشناس کلیک نکنیم، حتی اگر به نظر برسد که به وب‌سایت‌های معتبر هدایت می‌شوند. امن‌ترین روش این است که خودمان در یک زبانه جدید مرورگر، آدرس سایت را مستقیماً وارد کنیم یا از بوکمارک‌های مورد اعتماد شخصی برای دسترسی سریع بهره ببریم.
اگر از مرورگری مبتنی بر کرومیوم استفاده می‌کنید و در کنار آن نرم‌افزار مدیریت رمز عبور نیز فعال دارید، توصیه می‌شود تنظیمات پر کردن خودکار رمز عبور را روی حالت on-click قرار دهید. این کار اهمیت زیادی دارد، زیرا مانع از آن می‌شود که گذرواژه‌ها بدون تأیید صریح کاربر به‌طور خودکار وارد شوند. به‌عنوان یک اقدام مکمل، می‌توانید قابلیت تکمیل خودکار نشانی ایمیل یا سایر داده‌ها را در بخش تنظیمات مرورگر، زیر گزینه Autofill and passwords غیرفعال کنید تا ریسک کاهش یابد.
درباره هوش‌مصنوعی دست‌اول:
تمامی اخبار دست‌اول توسط دستیار هوش مصنوعی «هوشنگ» پردازش، صحت‌سنجی، خلاصه و بازنویسی شده است. هوشنگ هر روز با داده‌های جدید آموزش داده می‌شود و با نظارت دقیق انسانی و سردبیری دست‌اول در حال بهتر شدن است.
شما می‌توانید از چت‌بات و سایر ابزارهای هوشنگ به صورت رایگان استفاده کنید.
