Ce qu'une famille devrait vraiment sécuriser

La plupart des conseils en matière de sécurité domestique sont un mur de recommandations sans hiérarchie. Utiliser un gestionnaire de mots de passe, activer la 2FA, mettre à jour votre routeur, faire attention aux tentatives de phishing. Tout vrai, rien de cela ordonné par ce qui arrête réellement les dégâts. Les familles n'ont pas besoin de quarante conseils. Elles doivent savoir quels cinq éléments, s'ils sont ignorés, sont ceux qui font vraiment voler les économies ou l'identité de quelqu'un.

Voici le classement, basé sur les véritables points de départ des incidents.

Le compte email est la clé maîtresse

Quiconque contrôle votre email principal contrôle tout le reste. Les flux de réinitialisation de mot de passe pour les banques, les réseaux sociaux, le stockage cloud, tout passe par l'email. Si un attaquant accède à cette boîte, il n'a pas besoin de vos autres mots de passe. Il les réinitialise simplement.

Ce compte reçoit la protection la plus forte de la maison : un mot de passe unique stocké dans un gestionnaire, pas mémorisé, et une 2FA utilisant une application d'authentification ou une clé matérielle comme une YubiKey plutôt que des SMS. Les codes SMS peuvent être interceptés via le SIM-swapping, où un attaquant convainc un opérateur de router votre numéro vers son appareil. Ce n'est pas courant, mais quand cela arrive, les dégâts sont totaux, alors ne comptez pas dessus pour l'unique compte qui déverrouille tout le reste.

Les comptes financiers ont besoin de leur propre boîte email dédiée

Un truc qui vaut la peine d'être adopté : utilisez une adresse email distincte, que personne ne connaît, exclusivement pour les connexions bancaires et financières. Ne l'utilisez pour rien d'autre, ne la donnez pas, ne vous inscrivez pas à des infolettres avec. Cela réduit la surface d'attaque pour les comptes qui comptent le plus financièrement, parce qu'un attaquant doit d'abord trouver l'adresse avant même de pouvoir tenter une tentative de phishing contre elle.

Le routeur est la porte d'entrée, et la plupart des familles ne le touchent jamais

Le mot de passe administrateur par défaut sur un routeur domestique est souvent imprimé sur une étiquette sur l'appareil lui-même, ce qui signifie que quiconque ayant un bref accès physique, ou quiconque trouvant les identifiants par défaut de ce modèle en ligne, peut entrer. Changez-le. Pendant que vous y êtes, désactivez la gestion à distance si elle est activée par défaut, et vérifiez que WPA3 (ou au minimum WPA2) est activé pour le réseau Wi-Fi plutôt que WEP ou un réseau ouvert.

Un second réseau pour les invités et les appareils intelligents compte plus que les gens ne le pensent. Une prise intelligente bon marché ou une caméra avec un firmware faible ne devrait pas être sur le même segment de réseau que l'ordinateur portable contenant vos déclarations fiscales. La plupart des routeurs grand public prennent maintenant en charge une option de réseau invité dans les paramètres ; utilisez-la pour tout ce qui n'est pas un téléphone, un ordinateur portable ou un ordinateur de bureau que vous gérez personnellement.

Les appareils des enfants ont besoin de limites, pas de surveillance

Le logiciel de contrôle parental est présenté comme un outil de surveillance, mais le cadre le plus utile est la définition de limites : les limites de temps d'écran, les restrictions de l'app store, et le blocage de l'accès aux méthodes de paiement sans code PIN. Un enfant de dix ans n'a pas besoin de la capacité d'acheter 50 $ de devise de jeu parce qu'une carte de crédit enregistrée était sans protection dans un compte d'app store.

Pour les adolescents, la conversation compte plus que le logiciel. Expliquez à quoi ressemble le phishing en utilisant un vrai exemple, montrez-leur à quoi ressemble une fausse page de connexion par rapport à la vraie, et discutez de pourquoi une école ou une banque ne demandera jamais un mot de passe par texte.

Les sauvegardes sont ce que personne ne fait jusqu'à ce qu'il soit trop tard

Les rançongiciels et les défaillances matérielles simples finissent de la même façon sans sauvegardes : photos disparues, documents disparus, tout disparu. La règle 3-2-1 tient toujours : trois copies des données importantes, sur deux types de stockage différents, avec une copie hors site ou dans le cloud. Un disque externe pour la bibliothèque de photos familiales plus un service de sauvegarde cloud couvre la plupart des ménages sans rien de compliqué.

Testez le processus de restauration une fois. Une sauvegarde dont personne n'a jamais essayé de se rétablir est une hypothèse, pas un filet de sécurité.

Les anciens comptes sont une responsabilité que personne ne se souvient de fermer

Ce compte de forum de 2011, l'ancien fournisseur d'email, le site d'achat utilisé une fois pour un seul achat — chacun d'eux est un mot de passe assis dans une base de données quelque part, et chacun d'eux est une source potentielle d'une attaque par credential-stuffing si cette base de données fuit jamais. Exécutez vos adresses email via un service de vérification de violation comme Have I Been Pwned périodiquement, et fermez les comptes que vous n'utilisez plus.

Par où continuer

La liste ci-dessus n'est pas exhaustive, mais elle est ordonnée par conséquence. Maîtrisez d'abord le compte email, le routeur et les sauvegardes ; tout le reste est du raffinement. Pour plus d'informations sur la façon dont les attaquants exploitent réellement les identifiants faibles et les réseaux domestiques, consultez les segments de mise en réseau et de sécurité web sur Korra Studio.