การยึดบัญชี

การยึดบัญชีคือผลลัพธ์ที่คนอื่นได้รับการยืนยันตัวตนในฐานะคุณบนกระดานเทรดหรือบริการกระเป๋าเงิน โดยมียอดคงเหลือ สิทธิ์การถอน และประวัติของคุณอยู่ตรงหน้าเขา ควรเรียกชื่อสิ่งนี้แยกจากเทคนิคที่ทำให้มันเกิด เพราะการป้องกันที่สำคัญคือการป้องกันที่ยืนหยัดได้ไม่ว่าผู้โจมตีจะมาทางไหน กรณีจริงส่วนใหญ่มาจากห้าเส้นทาง รหัสผ่านที่นำกลับมาใช้ซ้ำจากเว็บไซต์ที่ข้อมูลรั่ว แล้วถูกไล่ลองในปริมาณมหาศาล คุกกี้เซสชันที่ถูกขโมยจากเครื่องที่ติดมัลแวร์ ซึ่งเดินผ่านรหัสผ่านที่ถูกต้องและรหัสใช้ครั้งเดียวที่ถูกต้องไปได้เลย เพราะเซสชันนั้นผ่านการยืนยันตัวตนไปแล้ว หมายเลขโทรศัพท์ที่ถูกย้ายออกด้วยการสวมซิม ซึ่งเอาชนะรหัส SMS และมักเอาชนะการรีเซ็ตรหัสผ่านด้วย บัญชีอีเมลที่ถูกเจาะก่อนเป็นอันดับแรก เพราะกล่องจดหมายคือเส้นทางรีเซ็ตของทุกสิ่งที่เหลือ และตัวฝ่ายบริการลูกค้าเอง ที่ถูกโน้มน้าวให้ทำการกู้คืนบัญชีโดยคนซึ่งมีรายละเอียดส่วนตัวมากพอจะฟังดูเหมือนเจ้าของบัญชี จงตอบโต้เป็นชั้น ๆ ใช้พาสคีย์หรือกุญแจความปลอดภัยแบบฮาร์ดแวร์แทน SMS ใช้อีเมลเฉพาะที่ไม่ใช้กับอย่างอื่นเลย ตั้งรายชื่อที่อยู่ถอนเงินที่อนุญาต เพื่อให้เซสชันที่ถูกขโมยสร้างปลายทางใหม่ไม่ได้ ตั้งเวลาหน่วงสำหรับการเพิ่มที่อยู่ และจำกัดคีย์ API ให้เทรดได้แต่ปิดการถอน บทเรียนที่ซ้ำเดิมจากเหตุการณ์จริงคือ ปัจจัยที่สองหยุดการล็อกอิน และมาตรการควบคุมการถอนหยุดความเสียหาย