Prevzem računa in uhajanje podatkov

Modul 1: Zakaj ste tarča · Čas branja: 10 minut

Učni cilj: Po tej lekciji boste znali razložiti, kako se ukradeni podatki za prijavo ponovno uporabljajo in kaj se zgodi z razkritimi podatki.
Ključni pojmi: prevzem računa, credential stuffing, infostealer, sejni piškotek, uhajanje podatkov, osebni podatki, combo seznam

Prijava namesto vdora

Najlažji način za vstop v sistem ni iskanje varnostne luknje, ampak preprosta prijava. Kdor ima Vaš e-naslov in geslo, mu ni treba ničesar vdreti. Za sistem je preprosto Vi. Temu pravimo prevzem računa: nekdo drug prevzame račun in ga uporablja, kot da bi bil njegov lastnik.

Za malo podjetje je poštni predal najpomembnejši račun. Kdor ima dostop do Vašega poštnega predala, lahko:

• prek funkcije "pozabljeno geslo" ponastavi gesla skoraj vseh Vaših drugih računov;
• bere Vašo pošto in natanko ob pravem trenutku pošlje lažen račun (lekcija 1.2);
• v Vašem imenu pošilja pošto strankam, ki Vam zaupajo;
• nastavi pravilo za posredovanje, tako da neopazno še naprej prejema kopijo vse pošte, tudi potem ko spremenite geslo (lekcija 2.5).

Toda kako napadalec pride do Vašega gesla? Obstajajo tri glavne poti: sami ga vnesete na lažni strani (phishing, modul 3), razkrije se pri drugi storitvi, kjer ste ga prav tako uporabljali, ali pa ga ukrade zlonamerna programska oprema na Vašem računalniku. Zadnji dve poti obravnavamo v tej lekciji.

Credential stuffing: en uhajanje, preizkušeno povsod

Spletna mesta so redno tarča vdorov. Pri takem uhajanju pogosto pridejo v javnost e-naslovi in gesla uporabnikov, včasih berljivi, včasih v obliki, ki jo je z računsko močjo mogoče razvozlati. Ti podatki se zbirajo, združujejo in prodajajo v ogromnih seznamih e-naslovov z gesli: combo seznami.

S takim seznamom napadalec izvede credential stuffing: samodejno preizkusi vsak par e-naslova in gesla na drugih storitvah. OWASP, znana odprta organizacija za spletno varnost, to opisuje kot samodejno vnašanje ukradenih podatkov za prijavo z namenom pridobitve dostopa do računov. Deluje iz enega samega razloga: ljudje uporabljajo isto geslo na več mestih.

Primer. Petra iz Pekarne Example je pred leti ustvarila račun pri spletni trgovini s pekovskimi potrebščinami, z naslovom info@example.com in geslom, ki ga je takrat uporabljala povsod. Ta spletna trgovina doživi vdor. Leto kasneje se njena kombinacija znajde na combo seznamu. Program jo čez noč preizkusi na:

Petra ničesar ne opazi: ni videla lažnega sporočila in ni na nič kliknila. Nauk iz tega: edinstveno geslo za vsako storitev prepreči, da bi se eno uhajanje razširilo (lekciji 2.1 in 2.2), dvostopenjsko preverjanje pa ustavi napadalca, ki pozna pravilno geslo (lekcija 2.3). Sami lahko na https://haveibeenpwned.com preverite, ali se Vaš e-naslov pojavlja v znanem uhajanju podatkov.

Pogosta napaka je "sistem" za variiranje gesel: Bakkerij2025! za pošto in Bakkerij2025!boekhouding za knjigovodstvo. Programi, ki uporabljajo combo sezname, preizkusijo tudi take očitne različice.

Infostealerji: geslo neposredno z Vašega računalnika

Program infostealer je zlonamerna programska oprema, ki zbira podatke z Vašega računalnika in jih pošilja napadalcu. Microsoft opisuje, da infostealerji med drugim iz brskalnikov pridobijo shranjena uporabniška imena in gesla, sejne piškotke, samodejno izpolnjene podatke obrazcev in podatke o kreditnih karticah. Tak program dobite na primer prek lažnega prenosa ("brezplačna različica dragega programa"), priloge, lažnega oglasa ali strani, ki zahteva kopiranje in prilepitev ukaza "za rešitev težave".

Infostealer pogosto deluje le nekaj minut in nato izgine. Plen, tako imenovani dnevnik z vsemi podatki tega enega računalnika, se proda. Včasih se uporabi šele leta kasneje.

Zakaj je sejni piškotek tako nevaren

Ko se prijavite na spletno mesto, z geslom in dvostopenjskim preverjanjem, Vaš brskalnik prejme sejni piškotek: majhno datoteko, ki ob vsaki naslednji zahtevi pokaže, da ste že prijavljeni. Zato Vam ni treba ob vsakem kliku znova vnašati kode.

Kdor ta piškotek ukrade, ga lahko namesti v svoj lastni brskalnik in je s tem tudi sam prijavljen. Ne potrebuje Vašega gesla niti Vašega drugega dejavnika, saj je prijava že opravljena. MITRE ATT&CK, javno dostopna zbirka znanja o napadalnih tehnikah, to pove dobesedno: sejni piškotki se lahko uporabijo za zaobidenje nekaterih oblik večfaktorske avtentikacije.

Kaj pomaga proti infostealerjem in ukradenim piškotkom:

• ne nameščajte programske opreme iz neznanih virov in ne delajte z skrbniškim računom, da nameščanje ni kar tako mogoče (lekcija 5.2);
• posodabljajte operacijski sistem in brskalnik (lekcija 5.1);
• po okužbi najprej očistite ali znova namestite računalnik, šele nato s čiste naprave spremenite gesla in prekličite vse seje, da ukradeni piškotki postanejo neveljavni (lekciji 2.5 in 3.5);
• uporabite na phishing odporne metode prijave, kot so passkeyi, ki onemogočijo krajo podatkov za prijavo prek lažnih strani (lekcija 2.4).

Kaj je uhajanje podatkov

Do zdaj je bilo govora o Vaših lastnih računih. Toda če je napadalec v Vašem poštnem predalu, Vašem knjigovodstvu ali Vaši spletni trgovini, vidi tudi podatke drugih: strank, zaposlenih, članov. Takrat govorimo o uhajanju podatkov.

GDPR opredeljuje osebne podatke kot vse informacije o določeni ali določljivi osebi: ime, e-naslov, telefonsko številko, naslov, pa tudi številko stranke, ki jo je mogoče povezati z osebo. Uhajanje podatkov (v GDPR: kršitev varstva osebnih podatkov, 4. člen, točka 12) je kršitev varnosti, ki po nesreči ali nezakonito povzroči uničenje, izgubo, spremembo ali nepooblaščeno razkritje osebnih podatkov ali dostop do njih.

Uhajanje podatkov ni nujno vdor. Tudi to je lahko uhajanje podatkov:

• sporočilo s seznamom strank, poslano napačnemu prejemniku;
• ukraden ali izgubljen prenosnik brez šifriranja;
• deljena povezava do mape z življenjepisi, ki je javno dostopna na internetu;
• prevzet poštni predal, v katerem so računi z imeni in naslovi;
• datoteke, ki jih je šifriralo izsiljevalsko programje in za katere nimate varnostne kopije (uničenje in izguba).

Ob uhajanju podatkov veljajo obveznosti: vsako uhajanje podatkov zabeležite v register kršitev varstva podatkov, prijavite ga v 72 urah Informacijskemu pooblaščencu, razen če verjetno ne predstavlja tveganja za posameznike, pri visokem tveganju pa obvestite tudi same osebe. Kako to natanko poteka, se naučite v lekciji 8.2. Za zdaj je pomembno, da prevzema računa ne vidite zgolj kot "naš problem": pogosto prizadene tudi ljudi, čigar podatke hranite.

Kaj se zgodi z razkritimi podatki

Razkriti podatki ne izginejo. Kopirajo se, združujejo in preprodajajo. Zato ima uhajanje posledice, ki učinkujejo še dolgo:

• Ponovna uporaba: gesla se znajdejo na combo seznamih za credential stuffing.
• Boljši phishing: z Vašim imenom, Vašimi strankami in Vašim zadnjim naročilom goljuf sestavi prepričljivo sporočilo. Stranka, ki teden po uhajanju pri Vaši spletni trgovini prejme "opomin za plačilo" od Vas, plača hitreje.
• Kraja identitete: z dovolj podatki o osebi lahko goljuf odpre račune ali se izdaja za to osebo.
• Izsiljevanje: "plačajte, sicer bomo Vašim strankam povedali, da so njihovi podatki pri Vas uhajali" (lekcija 1.3).

Zato je hranjenje manj podatkov tudi varnostni ukrep. Podatki, ki jih nimate, ne morejo uhajati.

Povzetek

• Pri prevzemu računa se napadalec preprosto prijavi; poštni predal je najpomembnejši račun, ker z njim obnavljate druga gesla.
• Credential stuffing samodejno preizkusi razkrite kombinacije e-naslova in gesla iz combo seznamov na drugih storitvah; edinstvena gesla in 2FA to preprečijo.
• Infostealerji iz brskalnika kradejo gesla in sejne piškotke; z ukradenim piškotkom lahko napadalec zaobide nekatere oblike 2FA, zato po okužbi prekličite vse seje.
• Uhajanje podatkov je vsaka kršitev varnosti osebnih podatkov, tudi napačno poslano sporočilo ali izgubljen prenosnik.
• Razkriti podatki se ponovno uporabijo za nove napade; manj hranjenja pomeni manj tveganja.

Kviz

Naloga

Naloga A1.4: Eno uhajanje, kateri računi so ogroženi? Dobite pregled računov malega podjetja: katero geslo (označeno kot W1, W2 in tako dalje, nikoli pravo geslo) pripada kateri storitvi in ali je vklopljeno dvostopenjsko preverjanje. Nato pride do uhajanja pri eni storitvi. Navedite, kateri računi so neposredno ogroženi, v kakšnem vrstnem redu jih obravnavate in ali gre za uhajanje podatkov. Program preveri in razloži odgovore.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik DirectAdmin 3.7: Varna gesla in kaj storiti ob uhajanju gesla
• Priročnik WebOké 3.6: Prikaz in odjava aktivnih sej
• Have I Been Pwned (samostojno preverite, ali se Vaš e-naslov nahaja v znanem uhajanju podatkov): https://haveibeenpwned.com
• OWASP, Credential stuffing (v angleščini): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (v angleščini): https://attack.mitre.org/techniques/T1539/
• GDPR (Uredba (EU) 2016/679), uradno besedilo: https://eur-lex.europa.eu/eli/reg/2016/679/oj