De Universiteit van Michigan geeft de schuld aan wachtwoordlekken voor datalekken van derden

Vrijdag werden studenten van de University of Michigan (UM) geattendeerd op een rondzwervende lijst met inloggegevens. Het bestand werd vrij verspreid en bevatte inderdaad tienduizenden paren @umich.edu e-mailadressen en leesbare wachtwoorden. Sommige studenten bekeken de lijst en waren bang om te ontdekken dat hun inloggegevens geldig waren. Voorspelbaar legden ze aanvankelijk de schuld bij de UM, maar later bleek dat de instelling op geen enkele manier verantwoordelijk was voor het lek. Sterker nog, het waren de studenten die veel meer hadden kunnen doen om zichzelf te beschermen.

De inloggegevens zijn gelekt tijdens niet-gerelateerde inbreuken

Kort nadat de lijsten openbaar werden gemaakt, gaf de Universiteit van Michigan een officieel advies uit, waarin werd uitgelegd dat de gelekte e-mailadressen en wachtwoorden afkomstig waren van datalekken van derden. De universiteit verzekerde haar studenten dat haar systemen niet gecompromitteerd waren en kondigde aan dat ze wachtwoorden zal resetten als ze een reëel gevaar van ongeoorloofde toegang ziet.

Na het ophelderen van wat er precies was gebeurd, gaf het advies de studenten enkele tips om hun algehele online beveiliging te verbeteren. Het moet gezegd dat als studenten acht hadden geslagen op deze tips voordat de lijst met wachtwoorden werd gepubliceerd, het advies volledig overbodig was geweest.

Hoe UM-studenten zichzelf in gevaar brengen

Door de lijst met gebruikersnamen en wachtwoorden lopen studenten van de UM een zeer reëel risico op aanvulaanvallen. Voor degenen onder u die het niet weten, bij een aanval met inloggegevens, nemen hackers een grote lijst met gebruikersnamen en wachtwoorden die zijn gestolen van de ene service en proberen ze tegen meerdere andere. Ze hopen dat veel mensen dezelfde inloggegevens gebruiken op veel verschillende websites, en het feit dat het invullen van inloggegevens algemeen wordt beschouwd als de beste manier om met een minimale inspanning een groot aantal accounts te compromitteren, bewijst dat hun inzet meestal loont.

Het is algemeen bekend dat de enige manier om aanvallen met inloggegevens te stoppen, is het hergebruik van wachtwoorden te stoppen, maar het is duidelijk dat dit gemakkelijker gezegd dan gedaan is. Daarom bestaat authenticatie in twee stappen.

De universiteit van Michigan heeft nagedacht over de beveiliging van haar studenten en heeft een systeem geïmplementeerd waarbij de gebruiker een oproep moet beantwoorden, een code moet invoeren of op een pushmelding moet tikken om succesvol in te loggen. Helaas is het standaard niet ingeschakeld en is het moeilijk te zeggen hoeveel van de getroffen studenten het gebruiken.

We moeten waarschijnlijk ook ingaan op de vraag waar de gegevens vandaan komen. In haar advies noemde de Universiteit van Michigan drie online serviceproviders die in het verleden zijn geschonden en die hadden kunnen optreden als bron van de gelekte e-mailadressen en wachtwoorden: Chegg, LinkedIn en Zynga. We moeten erop wijzen dat niemand officieel heeft bevestigd waar de gestolen gegevens vandaan komen, maar we gaan met deze drie providers om te illustreren hoe belangrijk het is om na te denken over welk e-mailadres u gebruikt wanneer u zich registreert een online account.

Chegg biedt diensten op het gebied van onderwijs en u kunt zien hoe een student zijn e-mailadres van de University of Michigan kan gebruiken om zich te registreren voor een Chegg-account. LinkedIn is 's werelds populairste professionele sociale netwerk, en je zou ook kunnen rechtvaardigen dat je daar een profiel koppelt aan een @umich.edu-adres.

Zynga daarentegen is een ontwikkelaar van online games. Het vraagt je om je te registreren zodat je virtuele groenten kunt verbouwen of online kruiswoordraadsels kunt oplossen. Het gebruik van een e-mailadres van de universiteit om dit type account aan te maken, lijkt gewoon niet het juiste te doen, en zoals u kunt zien, kan het ook uw online beveiliging in gevaar brengen.

De noodzaak om met zoveel online accounts te jongleren, heeft sommige mensen doen geloven dat we de controle over onze gegevens volledig zijn kwijtgeraakt. Dit is slechts tot op zekere hoogte waar. Als we moeten communiceren met mensen die onze toekomst vorm kunnen geven, moeten we officiële e-mailadressen gebruiken. Aan de andere kant, wanneer we updates verwachten van een tijdverspillende mobiele game, kunnen we waarschijnlijk beter een wegwerp-e-mail gebruiken waar we niet zoveel om geven. We moeten tenslotte niet vergeten dat zowel de gebruikersnaam als het wachtwoord identiek moeten zijn als een aanval met inloggegevens moet werken.