2012年最严重的安全漏洞攻击，失败和失误

一个傻瓜和他微弱的p @ $$ w0rd很快就会扎根，但如果2012年已经证明什么的话，那就是即使是最谨慎的安全头脑的灵魂也需要翻倍在他们的保护实践中，并考虑如果最糟糕的事情发生在我们越来越多的云连接世界中，最好的减轻损害的方法。

当然，一个稳固的安全工具箱应该构成你防御的核心，但是你也需要考虑你的基本行为。例如，如果该特定字母数字组合仅打开该特定帐户的大门，而不是使用每个社交媒体帐户，则泄露的LinkedIn密码的影响不大。双因素身份验证可以在事件发生之前阻止违规行为。并且你的密码很烂？

我不是想吓唬你。相反，我有兴趣提醒您注意数字时代所需的各种预防措施 - 最大的安全漏洞，2012年的失败就证明了这一点。“对于坏人来说，这是一个横幅。”

[进一步阅读：如何从Windows PC删除恶意软件]

Honan黑客攻击

由于缺乏物理备份，Honan的灾难被放大了。

2012年最高规格的黑客攻击并未涉及数百万用户或雪崩的支付信息。不，2012年的黑客攻击事件是单人黑客入侵：有线作家Mat Honan。

在一小时内，黑客获得了对Honan亚马逊账户的访问权限，删除了他的Google帐号，并远程擦除了他的三重苹果设备，最终达到黑客最终实现其最终目标：夺取Honan的Twitter处理控制权。为什么所有的破坏？因为@mat Twitter手柄的三个字母的地位显然使其成为令人垂涎的奖品。 （在账户被暂时停止之前，不满的人发布了几条种族主义和同性恋推文。）

这场破坏是由于安南对最终雏菊链式关键账户的安全破坏，缺乏双因素认证激活，使用在几个电子邮件帐户中使用相同的基本命名方案 - 以及亚马逊和苹果公司的相互冲突的帐户安全协议，这些黑客利用一些良好的社交工程技术获得了好处。

最恐怖的部分是？大多数人可能会使用与Honan相同的基本（读：宽松）安全实践。幸运的是，PCWorld已经解释了如何插入最大的数字安全漏洞。

Flame病毒

Flame病毒从它的代码中获取它的名字

追溯到2010年，但仅在2012年5月发现，Flame病毒与政府发起的Stuxnet病毒具有惊人的相似性，具有复杂的代码基础，并且主要用作埃及，叙利亚，黎巴嫩，苏丹和（最常见的）伊朗等中东国家的间谍工具。

一旦Flame把它挂在系统中，它就会安装一些模块，这些模块可以记录Skype对话或者计算机附近发生的任何事情的音频，屏蔽屏幕截图，监听网络连接，并保存所有按键和任何数据的日志进入输入框。换句话说，这是令人讨厌的，Flame将收集到的所有信息上传到命令和控制服务器。在卡巴斯基研究人员拒绝了Flame的存在之后不久，病毒的创建者启动了一个杀毒命令，以便从受感染的计算机上清除软件。

解锁酒店门的50美元自制工具

在7月份的黑帽安全会议上，研究人员科迪Broity公布的一款设备可以半可靠地打开Onity制造的电子门锁。世界各地成千上万家酒店在400万间门上发现了上锁，包括凯悦，万豪和洲际酒店集团（旗下拥有假日酒店和皇冠假日酒店）等知名连锁酒店。这款工具基于Arduino微控制器，价格低于50美元，可由任何口袋更换和一些编码技能的骗子构建，至少有一个类似工具被用于闯入德克萨斯州的酒店房间。 >ArduinoArduino：黑客的开源心脏。

可怕的东西，当然。也许更令人担忧的是，Onity对这种情况的反应基本上是“堵塞端口并更换螺丝钉”。该公司最终开发了一个针对该漏洞的实际解决方案，但涉及更换受影响的电路板锁 - 而Onity拒绝承担这样做的成本。 12月份的ArsTechnica报告显示，该公司可能更愿意在德克萨斯州的犯罪狂潮后补贴替换董事会，尽管截至11月30日

th

，Onity仅提供了总计140万个“锁具解决方案” “ - 包括这些塑料插头 - 全球范围内的酒店。换句话说，这个漏洞仍然非常普遍。史诗般的失败^千人死亡 2011年的PlayStation Network取消后，今年并没有出现大规模的数据库泄密事件，但在整个春季和夏季，一系列较小的侵入事件迅速而激烈地传出。虽然发布650万次散列LinkedIn密码可能是最显着的黑客攻击，但发布超过150万次散列eHarmony密码，450,000雅虎语音登录凭证，未指定数量的Last.fm密码以及全部密码登录和数百个Nvidia论坛用户的个人资料信息。我可以继续前进，但你明白了。

外卖是什么？你不能相信一个网站能够保证你的密码安全，所以你应该为不同的网站使用不同的密码，以便在黑客设法解决某个帐户的登录凭据时将潜在的损害降到最低。如果您需要一些提示，请查看我们的指南，以便构建更好的密码。

Dropbox放松警惕

DropboxDropbox的“开放式方框”徽标对于2012年重复使用密码的人来说证明都是如此。

部分Dropbox用户开始注意到他们在收件箱中收到大量垃圾邮件。经过一些初步拒绝之后进行了一些更深入的挖掘，Dropbox发现黑客侵入了员工的账户并获得了访问包含用户电子邮件地址的文档。哎呀！损失虽然很小，但面对的鸡蛋却很重要。同时，只有极少数用户的Dropbox帐户被外部来源积极闯入。调查显示，黑客获得访问帐户的权限，因为受害者在多个网站上重复使用相同的用户名/密码组合。当登录凭证在另一项服务的泄密事件中泄露时，黑客便拥有了解锁Dropbox帐户所需的全部功能。

Dropbox的困境再一次突出了对不同服务使用单独密码的必要性，以及你还不能完全信任云。在第三方加密工具的帮助下，您可以将云安全措施掌握在您自己的手中。

数百万南卡罗来纳州SSN被窃取

说到加密，如果政府遵守基本安全原则，这将是一件好事。 >在10月份发生大规模数据泄露事件后，黑客获得了360万南卡罗来纳州公民的社会安全号码 - 在一个仅有460万居民的州内 - 州政府官员试图将责任推到国税局的脚下。你会发现，IRS并没有特别要求

州要求对税务申报中的SSN进行加密。因此，南卡罗来纳州并没有 - 尽管它计划现在开始，事后看来是20/20和所有。“在积极的一面，387,000南卡罗来纳州公民的借记卡和信用卡资料也被数字抢劫和

大多数

都是加密的，尽管这对于那些以明文形式窃取卡信息的16,000人来说可能不是那么安慰。

Skype的巨大安全漏洞 宽松的账户恢复程序威胁Skype用户11月份，Skype用户暂时失去了为他们的账户申请密码重置的能力，因为研究人员发现了一个漏洞，只要该人知道与该账户相关的电子邮件地址，就允许任何人访问Skype账户。不是账户密码，也不是安全问题 - 仅仅是简单的电子邮件地址。 当它引起公众的注意时，Skype迅速堵住了这个洞，但损坏已经完成。这个漏洞在俄罗斯论坛上流传着，并在关闭之前积极使用。

黑客盗取150万个信用卡号码 4月份，黑客设法“出口”了150万个信用卡号码来自全球支付数据库，这是一个由政府机构，金融机构和大约100万家全球店面使用的支付处理服务。 幸运的是，这一违规行为相当受限。 Global Payments能够识别受黑客影响的卡号，被盗数据仅包含实际卡号和有效期，

而不是

任何持卡人姓名或个人身份信息。尽管如此，点击仍在继续。 6月份，Global Payments宣布黑客可能盗取了向该公司申请商家账户的人的个人信息。

Microsoft Security Essentials未通过AV-Test认证

嗯，这不是很令人尴尬。 AV-Test是一家独立的信息安全机构，它定期汇总所有在那里的顶级反恶意软件产品，在所述产品中抛出一大堆问题，并看到各种解决方案如何在枯萎的拦河坝下持续下去。该组织在11月底就采用了24种不同的以消费者为中心的安全解决方案，只有其中一种解决方案未能符合AV-Test的认证标准：Microsoft Security Essentials for Windows 7.

没有认证标志的那个？这是MSE。

在测试中，MSE确实做了一个体面的工作来处理知名的病毒，但是在面对零日漏洞时，安全程序提供了很少的

安全性 。它的64个保护评分比上述零日攻击低了整整25个点。 不是这样的错误：诺顿的源代码发布

表面上听起来很可怕：管理黑客群体获取赛门铁克广受欢迎的诺顿安全实用程序之一的源代码，然后将代码放在海盗湾，供世界解剖。哦，不！现在，没有任何东西可以阻止坏人跑过预装在大约全球销售的盒装系统上的防御系统 - 对吗？

错误。您看到，源代码属于2006年发布的Norton Utilities产品，而赛门铁克目前的产品已从头开始重建，两者之间没有共同的代码。换句话说，2006年源代码的发布不会对现代诺顿用户造成任何风险 - 至少如果您在过去的五年中更新了防病毒软件