В большинстве компаний России не соблюдают основных требований к паролям

Специалисты компании «Ростелеком-Солар» изучили данные, полученные во время киберучений, тестирований на проникновение извне или внутренними нарушителями, а также проектов по анализу защищенности. Сведения собирались от заказчиков из разных сфер, в том числе банковской, производственной, информационных технологий и безопасности. В итоге оказалось, что около 80 процентов компаний не соблюдают базовых правил парольной защиты.

«Практически в каждой тестируемой корпоративной сети специалистам по анализу защищенности удалось получить привилегии администратора. Реальному киберпреступнику это позволило бы скрытно развивать атаку, с большой вероятностью способную привести к краже финансовых средств или конфиденциальной информации. Недостатки, связанные с паролями, могут привести к полной компрометации внутренней сети и утечке критически важных для организации конфиденциальных данных. Особенно опасно то, что эксплуатация таких недостатков не требует со стороны злоумышленников специальных технических средств и позволяет им долго оставаться незамеченными внутри корпоративной сети», — сказано в исследовании «Ростелеком-Солар».
Эксперты заявляются, что наиболее частой ошибкой является использование установленных по умолчанию, слабых и легко подбираемых паролей учетных записей. В ряде организаций не соблюдаются сроки смены таких кодов. Кроме того, нередко встречается и отсутствие блокировок «учеток». Это позволяет проводить атаки на подбор паролей. Вместе с этим в компаниях часто используют одинаковые данные для входа в учетные записи с правами и пользователя, и администратора. Другим недостатком является хранение паролей в корпоративной сети или на рабочих компьютерах.

«Основная причина, которая ведет к подобным недостаткам — это человеческий фактор. Сотрудники компаний часто обладают недостаточной киберграмотностью и в результате стараются либо упростить пароли, либо хранят их в открытом доступе: в файле на компьютере или на стикере рядом с монитором. С другой стороны, сами системные администраторы порой недостаточно следят за тем, как хранятся учетные данные, или допускают создание пользователями слабых паролей. Нередко при заведении новых учетных записей в них по умолчанию устанавливается простой дефолтный пароль, который потом долго не меняют», — пояснил руководитель отдела анализа защищенности компании «Ростелеком-Солар» Александр Колесов.
Исследовали отмечают, что усилить безопасность можно с помощью введения двухфакторной аутентификации. Только многие компании не используют такую возможность, поскольку организация процесса сложная и дорогостоящая. Доступным вариантом является объяснение сотрудникам правил по созданию надежных паролей и их безопасного хранения, а также работы с учетными записями.