Blir användarnamn och lösenord föråldrade?

Nya cybersäkerhetsregler kan ersätta den enkla identifieringen av användarnamn och lösenord i stora delar av bank- och försäkringsbranschen i USA:s finansiella system.

Alternativ för nya säkerhetsbestämmelser inkluderar att skicka ett bekräftelsenummer till en individs mobiltelefon, använda ett fingeravtryck eller annan biometrisk autentisering, använda en separat identifieringskälla, som ett svepkort, eller nya krav för tredjepartsleverantörer som har tillgång till försäkringsbolagens databaser . Dessa förändringar kan vara för anställda, tredjepartsleverantörer och potentiellt även konsumenter.

Nyligen rapporterades högprofilerade cyberintrång hos Anthem och JP Morgan Chase, ett sjukförsäkringsbolag respektive bankinstitution.

Brottsbekämpande tjänstemän, som utreder Anthem-fallet, tror att utländska hackare använde användarnamnet och lösenordet för en chef för att komma åt 80 miljoner kunders personuppgifter, inklusive namn, adresser och personnummer. Tjänstemän, rapporterar till TID, tyder på att stölden "kunde ha avvärjts om företaget hade anammat tuffare metoder för att verifiera identiteten på de som försöker komma åt dess system."

I det senaste intrånget hos JP Morgan Chase komprometterades rekorden för 76 miljoner hushåll och sju miljoner företag. En annan väl publicerad incident inträffade hos återförsäljaren Target, vars intrång påverkade 110 miljoner kortinnehavare.

Tillkännagivandet av nya cybersäkerhetsregler kommer efter delstaten New York Institutionen för finansiella tjänster (DFS) genomförde en studie om cybersäkerhet av 43 reglerade försäkringsbolag.

DFS drog slutsatsen att "även om det kan förväntas att de större försäkringsbolagen skulle ha det mest robusta och sofistikerade cyberförsvaret", drog studien slutsatsen att så inte nödvändigtvis är fallet. Resultaten återspeglar övertilltro bland tjänstemän inom försäkringsbranschen, där 95 procent av de tillfrågade företagen tror att "de har tillräckliga personalnivåer för informationssäkerhet." Dessutom hävdar DFS-studien att endast 14 procent av verkställande direktörer får månatliga genomgångar om informationssäkerhet.

Enligt Benjamin Lawsky, DFS-inspektören, finns det "en enorm potentiell sårbarhet här" och att "lösenordssystemet borde ha begravts för länge sedan." Han och DFS rekommenderar att "tillsynsmyndigheter och företag inom den privata sektorn både måste fördubbla sina ansträngningar och gå aggressivt för att hjälpa till att skydda konsumentdata." Dessutom bör "nya cybersäkerhetsöverträdelser fungera som en sträng väckarklocka för försäkringsbolag och andra finansiella institutioner att stärka sina cyberförsvar."

Hela rapporten, hittad här., betonar att "medan många stora hälso-, liv- och egendomsförsäkringsbolag har robusta cyberförsvar, inklusive kryptering för dataöverföringar, brandväggar och antivirusprogram, är många fortfarande beroende av relativt svaga verifieringsmetoder för anställda och konsumenter, och har slappa kontroller över tredjepartsleverantörer som har tillgång till deras system och de personuppgifter som finns där”.

I slutet av förra året, en översyn av banksektor hittade liknande resultat.

Den amerikanska bankiren rapporter att "de flesta av de säkerhetsintrång som sker inom bankverksamheten idag använder komprometterade referenser. [Under 2014] har mer än 900 miljoner konsumentregister stulits enbart, enligt Risk Based Security; 66.3 % inkluderade lösenord och 56.9 % inkluderade användarnamn.”

Hur kommer konsumenterna att påverkas?

Otillräckligheten av användarnamn och lösenord är inte ny; debatterna har sträckt sig i mer än ett decennium nu. De Federal Financial Institutions Examination Council2005, erkände att "enkla användarnamn och lösenordssystem var otillräckliga för transaktioner som involverade tillgång till kundinformation eller rörelser av pengar till andra parter." Snävare mätningar rekommenderades inte eller gjordes.

Cybersårbarheter inom bank- och försäkringsbranschen är ett problem inte bara för företagen själva utan också för individer.

Nya hackningstekniker dyker upp i en alarmerande takt, vilket gör det mycket lättare nu att komma åt användarnamn och lösenord.

Cyberbrottslingar kan enkelt stjäla identiteter genom metoder som "honey potting", där individer skriver in sitt användarnamn och lösenord på webbplatser som påstår sig kontrollera om deras namn har äventyrats - "distribuerar nätfiskemeddelanden under sken av att erbjuda hjälp."

Gmail-användare i september 2014 drabbades av en sådan incident. Enligt International Business Times, 5 miljoner Gmail-användarnamn och lösenord publicerades på ett ryskt bitmyntsforum; cirka 60 procent var aktiva konton. Strax tidigare hade 4.6 miljoner Mail.ru-konton och 1.25 miljoner Yandex-e-postkonton också olagligt åtkomst.

Spelkonton är dessutom mottagliga för hackare. I januari, Mine craft konto användarnamn och lösenord läckte ut på nätet.

Sådana fall belyser bara det redan kända faktumet att hacking träffar närmare hemmet – potentiellt vår hem. Den verkliga faran, som Hacker News påpekar, är de "berörda användare som använder samma användarnamn och lösenordskombination för många onlinetjänster, som shoppingsajter, banker, e-posttjänster och alla sociala nätverk." Fler gånger än inte är användarnamn och lösenord konsekventa i alla onlinetjänster.