Xakep #305. Многошаговые SQL-инъекции
С января по март 2019 года специалисты Microsoft изучали ситуацию и подсчитали, что порядка 44 млн пользователей сервисов Microsoft и Azure AD повторно использовали одни и те пароли.
Так, аналитики сравнили учетные данные пользователей с базой данных из трех миллиардов логинов и паролей, ранее фигурировавших в различных утечках данных. Этот огромный дамп был составлен как из баз правоохранительных органов, так и из общедоступных БД.
«Мы принудительно сбрасываем пароль для утекших учетных данных, для которых нашли совпадение. Никаких дополнительных действий со стороны потребителя не требуется. На корпоративном уровне Microsoft повысит риски пользователя и предупредит администратора, о том, что стоит выполнить сброс учетных данных», — пишут специалисты.
Эксперты отмечают, что согласно исследованию, проведенному в 2018 году, почти 52% из 30 млн пользователей повторно используют одинаковые пароли и их вариации. Это же исследование показало, что примерно 30% из таких немного измененных паролей можно с легкостью взломать всего с 10 попыток.
И хотя Microsoft обычно предупреждает, если пользователь применяет слабый или легко угадываемый пароль при настройке учетной записи, к сожалению, эти предупреждения не распространяются на сценарии повторного использования паролей. Дело в том, что у Microsoft нет возможности узнать, использовал ли пользователь тот же пароль в других местах.
Также в Microsoft напоминают о том, что крайне желательно пользоваться многофакторной аутентификацией, ведь, по данным компании, это позволяет защититься от 99,9% атак.
