44 milhões de usuários da Microsoft e do Azure continuam usando senhas violadas, segundo novo estudo

Empresas e serviços on-line sofrem ataques de preenchimento de credenciais diariamente e as consequências são muitas vezes bastante graves. A ameaça está se aproximando e os especialistas em segurança não param de falar sobre isso. É claro que algo precisa ser feito e, para entender melhor o que está acontecendo, os fornecedores de segurança estão pesquisando os hábitos de gerenciamento de senhas das pessoas. Infelizmente, quanto mais eles fazem isso, mais percebemos que é improvável que o preenchimento de credenciais desapareça tão cedo.

No início deste ano, por exemplo, especialistas da Microsoft tentaram aprender mais sobre o que as pessoas fazem para proteger suas contas do Azure e, após analisar suas descobertas, podemos tirar duas conclusões importantes. O primeiro é que nunca foi tão fácil realizar um ataque bem-sucedido de preenchimento de credenciais. A segunda é que os usuários não estão completamente cientes de quão horríveis podem ser as consequências.

Mais de 44 milhões de clientes da Microsoft usaram senhas previamente comprometidas

O estudo da Microsoft começou em janeiro de 2019, quando os especialistas coletaram 3 bilhões de pares de nome de usuário e senha roubados de vários serviços e plataformas online. Eles os testaram em uma lista de credenciais criadas pelos usuários do Azure AD e Microsoft Services e encontraram uma correspondência para mais de 44 milhões de contas.

Em outras palavras, no primeiro trimestre deste ano, qualquer pessoa que tivesse acesso às 3 bilhões de credenciais de login roubadas poderia facilmente assumir as contas de mais de 44 milhões de pessoas. Parece quase assustador demais para ser verdade, e temos certeza de que alguns de vocês já levantaram um dedo em objeção. Eles podem dizer que conseguir 3 bilhões de combinações de nome de usuário e senha seria quase impossível para o seu cibercriminoso comum. Infelizmente, isso está longe da verdade.

As credenciais de login roubadas são vendidas nos mercados da dark web e nos fóruns de hackers para amendoins. Recentemente, um grupo de criminosos cibernéticos cometeu um erro de configuração simples e mostrou que, às vezes, tudo o que existe entre um hacker e um estoque massivo de dados de login é uma simples consulta de pesquisa.

No geral, nos dias de hoje, organizar um ataque de preenchimento de credenciais não é muito difícil, e a negligência dos usuários em relação à segurança da senha significa que, com toda a probabilidade, será muito eficaz. Mas o que podemos fazer para mudar isso?

A Microsoft força uma redefinição de senha para clientes que usam senhas comprometidas

Depois de ver os números, a Microsoft imediatamente forçou uma redefinição de senha para todas as pessoas que usaram credenciais comprometidas. Ao invalidar as senhas violadas, colocou um grande obstáculo na frente de qualquer pessoa que tentasse montar um ataque de preenchimento de credenciais aos usuários do Azure. Infelizmente, isso nunca pode ser suficiente para resolver o problema completamente.

Por um lado, como mostra outro estudo recente, cerca de metade das pessoas tendem a modificar levemente suas senhas antigas quando são forçadas a atualizá-las. E mesmo se eles tiverem o problema de criar uma nova senha, é provável que eles continuem e a reutilizem em outras contas.

O preenchimento de credenciais depende do gerenciamento inadequado de senhas e os fatos mostram que as pessoas simplesmente não sabem como manipular seus dados de login corretamente. Consciência é a única coisa que pode realmente mudar a situação. Se as pessoas souberem proteger adequadamente suas contas e se estiverem familiarizadas com as ferramentas que têm à disposição, será muito mais provável que evitem cometer os mesmos erros antigos.

Infelizmente, embora o esforço para educar Joe e Joanne Average seja imenso, o estudo da Microsoft e outras pesquisas semelhantes mostram que o progresso é terrivelmente lento.