Acredito firmemente que sua conta invadida foi estritamente de engenharia social e não foi uma falha técnica. Você já está dedicado a tomar procedimentos e práticas de segurança extremamente bons. A falha específica está em nossas instituições, que geralmente são 10 a 20 anos atrás dos bandidos. Eles simplesmente não conseguem entender como nos proteger, adotando rapidamente novos procedimentos para novos riscos. A solução para o seu problema pode exigir que todos nós pressionemos por mudanças no PayPal e em outras instituições.
No caso do PayPal, Krebs detalha exatamente como sua conta do PayPal foi hackeada repetidamente, apesar de ser um especialista em segurança e já usar a autenticação de 2 fatores. Sua história deve alertar todos nós para os perigos significativos que existem atualmente, para que possamos começar a mitigar alguns dos riscos.
2016 Reality: Lazy Authentication Ainda a Norma, de Brian Krebs
Seu hack provavelmente foi resultado da prática do Paypal em usar informações STATIC supostamente difíceis de obter. Isso definitivamente foi como Krebs foi repetidamente hackeado. Depois de responder verbalmente a essas perguntas, apesar de ter uma "conta bloqueada", PAYPAL deu o ACEITAR ACESSO à CONTA KREB, REPETIDAMENTE. Krebs já estava usando 2FA, e isso não lhe fez bem. Observe também que Krebs, sendo um especialista em segurança, teve muito mais facilidade em obter a cooperação da gerência do PayPal, mas que AINDA não ajudou o suficiente.
Quase tão preocupante, é que as fotos de "documentos oficiais" são usadas para procedimentos KYC, como parte da diligência devida de muitas organizações. Eles são facilmente e barata forjados. Há serviços disponíveis que produzirão documentos fraudulentos por uma pequena taxa, sempre que você quiser "provar" que é alguém que não é.
Leia todo este artigo, e acho que você verá que todos devemos começar a educar e forçar nossas instituições a reformular completamente nossos procedimentos e práticas de segurança e, em seguida, aplicar a tecnologia que realmente funciona hoje.
Mas, o que funciona hoje, pode não funcionar no próximo mês, e esses procedimentos e tecnologia precisarão mudar com frequência e rapidez para se adaptarem a novas ameaças.
O problema é que nossas próprias instituições são especificamente criadas para que nunca possam se adaptar rapidamente a quaisquer mudanças. Esse aspecto deve mudar, antes que possamos esperar que eles se adaptem rapidamente. Quanto maior a instituição, mais difícil é mudar qualquer procedimento, não importa o quão estúpido isso se torne.
Um exemplo das tentativas de várias instituições para resolver um problema de segurança é o número de seguridade social. Permitir que os bandidos tenham acesso fácil a esses SS # e, em seguida, manter os sistemas que dependem dessa tecnologia dos anos 50 para proteger sua conta é um problema conhecido há décadas. Em 2006, foi legislado para remover todos os SS # dos cartões Medicaid, e eu acredito que os cartões Medicare também. As agências não precisam apenas remover os números, o plano atual está programado para ser concluído em 2027. Não, isso não foi um erro de digitação - VINTE UM ANO para remover um SS # visível desses cartões! É claro que, até lá, o ponto provavelmente será discutível. Sem uma revisão dessas organizações, nenhuma tecnologia ajudará a nos proteger.
Compreender a segurança suficiente para permanecer seguro é cada vez mais difícil, mesmo para especialistas. Requer nosso reajuste constante, aprendizado e adoção de nossos próprios procedimentos que são rentáveis em termos de tempo, frustração e desembolso de caixa.
Eu acredito que esta solução social é a única solução para o problema dele, mesmo que não seja técnico. Geralmente, esse não é o lugar para qualquer solução que não seja uma solução de tecnologia baseada em fatos estabelecida. Mas há alguns aspectos de nossa tecnologia que se fundem com políticas e procedimentos que também devem mudar ou nunca resolveremos muitos dos novos problemas de segurança. A segurança requer tecnologia aplicada com políticas e procedimentos. Sem os três, não há segurança.