Säkerhetsföretaget ESET har analyserat vilken typ av attacker som görs mot olika datorsystem och kunnat notera 55 miljarder lösenords-attacker från maj till augusti 2021.

Det är i grunden enkla attacker där hackarna försöker gissa sig fram till fungerande lösenord. Det kallas ”Brute Force”-attacker och enkelt uttryck så görs en långa rad gissningar, mycket snabbt för att försöka att hitta ett fungerande lösenord och fungerande blogg inloggningsuppgifter. Mest eftertraktade är lösenord till VPN-tjänster och till fjärrstyrningstjänster då bådas dessa tjänster ofta används för att styra och kontrollera system. Kommer hackare över inloggningsuppgifter till ett fjärrstyrningssystem, exempelvis, så kan obehöriga ta kontrollen över flera datorer och system.

Enkla

ESET konstaterar också att om det saknas skydd mot den här typen av attacker så lyckas hackarna också att ta sig in, påfallande ofta. Förklaringen är att enkla lösenord går det mycket snabbt att gissa sig fram till. Hackarna använder färdiga listor på vanliga lösenord, lättgissade lösenord och sedan stora ordböcker för att snabbt kunna prova mycket stora mängder lösenord.

Skydd

För att skydda sig mot den här typen av attacker så bör alla system ha en gräns för hur många försök som får göras. Efter att visst antal försök att logga in så spärras inloggningen under en viss tid och för varje misslyckat försök så förlängs tiden. Det gör att hackarna mycket snabbt stängs ute, den tid de har till sitt förfogande att prova olika lösenord kapas snabbt ned och de drabbas också av en ökande väntetid. Attacken tar till slut för lång tid och de drar då vidare och försöker ta sig in i någon annan system.

Attackerna är automatiska. De görs med speciell mjukvara och det är datorer, script, som drar runt på nätet, varje dag, varje timme och letar efter system med inloggningsfunktionen. Det ger hackarna ett automatiskt övertag – de har tid.

Effektiv

Tvåfaktor-inloggning är i sammanhanget ett enkelt men mycket effektivt skydd. Det betyder att användaren loggar in med namn och lösenord men också en tredje uppgift. En pinkod som genereras fram med mobiltelefonen exempelvis. Då krävs tre saker för att kunna logga in – kontouppgifterna och en pinkod. Kombineras tvåfaktor-inloggning med ett maximalt antal inloggningsförsök så kommer hackarna att få det betydligt svårare att ta sig in.

Ett slumpmässigt valt, längre lösenord är ett grundkrav och en självklarhet i sammanhanget. Likaså att du inte, på några villkors vis, ska ha samma lösenord på flera ställen.