A Universidade de Michigan culpa os vazamentos de senha por violações de dados de terceiros

Na sexta-feira, estudantes da Universidade de Michigan (UM) foram alertados sobre uma lista de credenciais de logon que flutuava por aí. O arquivo foi distribuído gratuitamente e, de fato, continha dezenas de milhares de pares de endereços de email e senhas em texto sem formatação @umich.edu. Alguns dos alunos deram uma olhada na lista e ficaram com medo de descobrir que seus dados de login eram válidos. Previsivelmente, eles inicialmente colocaram a culpa na porta da UM, mas depois descobriu-se que a instituição não era responsável pelo vazamento de forma alguma. De fato, os alunos poderiam ter feito muito mais para se proteger.

Os dados de login vazaram durante violações não relacionadas

Logo após as listas se tornarem públicas, a Universidade de Michigan emitiu um comunicado oficial, explicando que os endereços de e-mail e senhas vazados vieram de violações de dados de terceiros. A universidade garantiu aos alunos que seus sistemas não foram comprometidos e anunciou que redefinirá as senhas se houver um risco real de acesso não autorizado.

Depois de esclarecer exatamente o que aconteceu, o comunicado deu aos alunos algumas dicas sobre como aumentar sua segurança online geral. Deve-se dizer que, se os alunos tivessem ouvido essas dicas antes da publicação da lista de senhas, o aviso seria completamente desnecessário.

Como os alunos da UM se colocam em perigo

A lista de nomes de usuário e senhas coloca os estudantes da UM em um risco muito real de ataques de preenchimento de credenciais. Para aqueles que não sabem, em um ataque de preenchimento de credenciais, os hackers pegam uma grande lista de nomes de usuário e senhas roubados de um serviço e os tentam contra vários outros. Eles esperam que muitas pessoas usem as mesmas credenciais em muitos sites diferentes, e o fato de o preenchimento de credenciais ser amplamente considerado a melhor maneira de comprometer um grande número de contas com o mínimo esforço mostra que a aposta geralmente compensa.

É do conhecimento geral que a única maneira de interromper ataques de preenchimento de credenciais é interromper a reutilização de senha, mas é claro que isso é mais fácil dizer do que fazer. É por isso que existe autenticação de dois fatores.

A Universidade de Michigan pensou na segurança de seus alunos e implementou um sistema que exige que o usuário atenda uma chamada, digite um código ou toque em uma notificação por push para fazer login com êxito. Infelizmente, ele não está ativado por padrão e é difícil dizer quantos alunos afetados o estão usando.

Provavelmente devemos abordar a questão de onde os dados também vêm. Em seu comunicado, a Universidade de Michigan mencionou três provedores de serviços on-line que foram violados no passado e poderiam ter agido como a fonte dos endereços de e-mail e senhas vazados: Chegg, LinkedIn e Zynga. Devemos salientar que ninguém confirmou oficialmente de onde vieram os dados roubados, mas iremos com esses três fornecedores para ilustrar o quão importante é pensar em qual endereço de e-mail você está usando quando se registra. uma conta online.

Chegg oferece serviços na esfera educacional, e você pode ver como um aluno pode usar o endereço de e-mail da Universidade de Michigan para se registrar em uma conta Chegg. O LinkedIn é a rede social profissional mais popular do mundo, e você também pode justificar a associação de um perfil a um endereço @umich.edu.

A Zynga, por outro lado, é desenvolvedora de jogos online. Ele solicita que você se registre para que possa cultivar vegetais virtuais ou resolver palavras cruzadas online. Usar um endereço de e-mail da universidade para criar esse tipo de conta simplesmente não parece a coisa certa a se fazer e, como você pode ver, também pode colocar sua segurança online em risco.

A necessidade de manipular tantas contas online levou algumas pessoas a acreditar que perdemos completamente o controle sobre nossos dados. Isso é verdade apenas até certo ponto. Quando precisamos nos comunicar com pessoas que estão em posição de moldar nosso futuro, precisamos usar endereços de e-mail oficiais. Por outro lado, quando esperamos atualizações de um jogo para celular que gasta tempo, provavelmente estamos melhor usando um email descartável com o qual não nos importamos muito. Afinal, não devemos esquecer que o nome de usuário e a senha devem ser idênticos para que um ataque de preenchimento de credencial funcione.