כל הכתבות של CyberNow בנושא אבטחת חשבונות — 72 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 3 מתוך 8.
מיקרוסופט מפסיקה לספק קודי SMS ושיחות אימות בחשבונות Microsoft 365 של ארגונים, ומעבירה את המשתמשים ל-passkey. הסיבה שהיא נותנת רלוונטית גם למי שאין לו חשבון עבודה.
Unit 42 דחפה מפתח גישה למאגר ציבורי ומדדה מה קורה. המדיניות שאמזון מצרפת אוטומטית לא מבטלת את המפתח שדלף, היא רק אוסרת 100 פעולות מתוך אלפים, והרשימה שלה היא מפה מדויקת של איך השתנו המתקפות על הענן מאז 2020.
אחרי שהתחברתם לחשבון, מה ששומר אתכם בפנים זו לא הסיסמה אלא חיבור פתוח ששמור אצלכם במכשיר. מי שמעתיק אותו נכנס בלי סיסמה ובלי קוד אימות.
שלושה חוקרים השתלטו על שרת הפורום הציבורי של OpenAI דרך תמונה פגומה, וגילו שההתחברות המשותפת נותנת להם גם את חשבונות ה-ChatGPT וה-Codex של עובדי החברה. את קוד הניצול, לדבריהם, כתב מודל בינה מלאכותית תוך שעות.
שם של חברה בדיונית בתרגיל אבטחה התברר כדומיין אמיתי, והחיבור לאינטרנט נפתח בטעות. במקרה אחד ג'מיני ניחש סיסמה, ובשניים אחרים מצא פרטי גישה במאגר קוד ציבורי.
תוקף נכנס לשרתים של שירות צילומי המסך Gyazo ולקח, לצד 23.62 מיליון רשומות משתמשים, את המזהים שמהם בנויות הכתובות של מאות מיליוני תמונות. החברה מבקשת מכל המשתמשים להחליף סיסמה.
חברת התקשורת הקנדית שלחה בספטמבר הודעות ללקוחות פרטיים שלחשבונותיהם ניגש גורם לא מורשה בין פברואר 2025 ליוני 2026, עם סיסמאות תקינות ובלי פריצה למערכות. הפרטים שימשו לשיחות שכנוע לעבור למתחרים, ובחלק מהמקרים לשינויי שירות שהלקוח לא ביקש.
חוקרי Socket מצאו שתוסף דפדפן פופולרי לחסימת פרסומות ב-Twitch מנתב את בקשות הווידאו דרך שרתים של שירות בוטים רוסי, ומצרף לכתובת את ה-token החי של המשתמש. עשרה ערוצים ברשימה קבועה פטורים מזה.
passkey הוא מפתח שנוצר אצלכם במכשיר ולא נשלח לאתר אף פעם, כך שאין ממנו מה לגנוב בדליפה ואין מה להקליד בעמוד מתחזה. מה שהתוקפים כן מנסים היום הוא לשכנע אתכם לרשום לחשבון מפתח נוסף, שלהם.
מיקרוסופט מתארת קמפיין שפועל מאז מאי: שיחה לטלפון הפרטי של עובד, הסבר דחוף על passkey שצריך עדכון, וקישור שמוביל לעמוד התחברות מזויף. הפרט המעניין הוא שהתוקפים לא ניסו בכלל לרשום passkey, הם רק השתמשו במילה.