Un bărbat în vârstă de 30 de ani a fost condamnat la șase luni de închisoare, după ce a fost găsit vinovat că a accesat abuziv mai mult de 1.000 de conturi de e-mail ale femeilor de la o universitate din New York City, în căutarea de fotografii și videoclipuri cu caracter sexual.

Jonathan Powell, din Phoenix, Arizona, a spart serverele universității pentru a avea acces la un program de resetare a parolei de e-mail folosit de personalul IT atunci când studenții și-au uitat datele personale salvate. Odată ce Powell a obținut acces la conturile de e-mail compromise, a putut solicita resetarea parolei pe site-uri terțe, permițându-i să se conecteze la diferite alte conturi online ale victimelor, inclusiv Apple iCloud, Facebook, Google, LinkedIn și Yahoo.

"Jonathan Powell și-a folosit abilitățile IT cu scopul de a încălca securitatea infrastructurii unei universități pentru a avea acces la conturile personale ale studenților. Odată ce Powell a dobândit acces, el a căutat prin conturi fotografii și videoclipuri explicite ", a declarat avocatul american Geoffrey S. Berman. "Nici un student nu ar trebui să se teamă că informațiile sale personale ar putea fi sustrase de străini pentru materiale potențial compromițătoare".

Potrivit unui comunicat de presă al Departamentului de Justiție, jurnalele universității au arătat că Powell a accesat programul de resetare a parolei de 18.640 de ori între octombrie 2015 și septembrie 2016.

Powell a reușit să facă aproximativ 1378 modificări ale parolei asociate cu 1.035 de conturi de e-mail unice. În unele cazuri, Powell a compromis același cont de e-mail în mai multe ocazii.

Investigațiile făcute de organele de drept au descoperit că Powell a compromis de asemenea 15 conturi de e-mail la o a doua universitate din Pennsylvania și, după arestarea sa, le-a spus ofițerilor că tot el a spart conturi de e-mail din Arizona, Florida, Ohio și Texas.

Există câteva lecții de învățat din acest caz neplăcut.

În primul rând, echipele IT care au instrumente de resetare a parolelor utilizatorilor trebuie să se asigure că acestea sunt protejate corespunzător de utilizatorii neautorizați. Astfel de instrumente sunt foarte importante și trebuie protejate de hackeri fiindcă reprezintă o poartă de acces la date sensibile, din cauza daunelor care pot apărea dacă sunt utilizate în mod abuziv.

Văzând că un număr de universități din Statele Unite au fost compromise de Powell, ar fi bine ca și alte organizații (nu doar universități, și nu numai din Statele Unite) să evalueze dacă păstrează instrumentele de administrare de acest tip în siguranță.

În al doilea rând, este clar că hackerul a spart întai conturilor de e-mail ale universităților pentru a lansa apoi atacuri împotriva conturilor externe - inclusiv conturile populare de webmail și site-urile de social media.

Toate site-urile menționate în comunicatul de presă al Departamentului de Justiție (Apple iCloud, Facebook, Google, LinkedIn și Yahoo) pot avea caracteristici de securitate suplimentare, cum ar fi autentificarea cu doi factori. În unele cazuri, este posibil chiar să primiți notificări de conectare sau să vedeți unde și când s-a înregistrat ultima conectare la cont - ceea ce ar putea fi un avertisment real că se întâmplă ceva suspect.

Pe lângă faptul că a fost condamnat la șase luni de închisoare, Powell va trebui, de asemenea, să servească doi ani de eliberare supravegheată și a fost obligat să plătească suma de 278.855 dolari. Putem presupune că nu va mai intra prea curând, dacă vreodată, în conturile studenților.

Dar asta nu înseamnă că alți atacatori nu vor încerca să folosească trucuri similare pentru a îi exploata pe cei nevinovați. Acordați securității online importanța cuvenită pentru a nu plăti ulterior un preț mare pentru ignorarea acestui topic.