Prevzatie účtu a úniky dát

Modul 1: Prečo ste cieľom práve vy · Čas čítania: 10 minút

Cieľ lekcie: Po tejto lekcii dokážete vysvetliť, ako sa ukradnuté prihlasovacie údaje znovu zneužívajú a čo sa deje s uniknutými údajmi.
Kľúčové pojmy: prevzatie účtu, credential stuffing, infostealer, session cookie, únik dát, osobné údaje, kombolist

Prihlásenie namiesto vlámania

Najjednoduchší spôsob, ako sa dostať do systému, nie je hľadanie diery v zabezpečení, ale jednoducho sa prihlásiť. Kto má váš e-mail a heslo, nemusí nič hacknúť. Pre systém je jednoducho vami. Tomu sa hovorí prevzatie účtu: niekto iný prevezme účet a používa ho, akoby bol jeho vlastníkom.

Pre malú firmu je najdôležitejším účtom poštová schránka. Kto má vašu poštovú schránku, môže:

• cez funkciu „zabudnuté heslo“ znovu nastaviť heslá takmer k všetkým vašim ostatným účtom;
• čítať vašu poštu a presne v správnej chvíli poslať falošnú faktúru (lekcia 1.2);
• posielať poštu vo vašom mene klientom, ktorí vám dôverujú;
• nastaviť pravidlo presmerovania, aby bez povšimnutia naďalej dostával kópiu všetkej pošty, aj po tom, čo zmeníte heslo (lekcia 2.5).

Ako sa ale útočník dostane k vášmu heslu? Existujú tri hlavné cesty: sami ho zadáte na falošnej stránke (phishing, modul 3), unikne z inej služby, kde ste ho tiež použili, alebo ho ukradne škodlivý softvér vo vašom počítači. Posledné dve preberieme tu.

Credential stuffing: jeden únik, vyskúšaný všade

Webové stránky sú pravidelne hacknuté. Pri takomto úniku sa často dostanú na verejnosť e-mailové adresy a heslá používateľov, niekedy čitateľné, niekedy vo forme, ktorú je možné výpočtovým výkonom rozlúštiť. Tieto údaje sa zbierajú, spájajú a obchoduje sa s nimi v obrovských zoznamoch e-mailových adries s heslami: kombolistoch.

S takýmto zoznamom robí útočník credential stuffing: automaticky skúša každú dvojicu e-mailovej adresy a hesla na iných službách. OWASP, známa otvorená organizácia pre bezpečnosť webu, to opisuje ako automatizované zadávanie ukradnutých prihlasovacích údajov s cieľom získať prístup k účtom. Funguje to z jedného dôvodu: ľudia používajú rovnaké heslo na viacerých miestach.

Príklad. Petra z Pekárne Example si pred rokmi vytvorila účet v internetovom obchode s pomôckami na pečenie, s adresou info@example.com a heslom, ktoré vtedy používala všade. Tento internetový obchod bol hacknutý. O rok neskôr sa jej kombinácia objaví v kombolistoch. Program ju jednu noc vyskúša na:

Petra si nič nevšimne: nevidela žiadny phishingový e-mail a na nič neklikla. Poučenia z toho sú: unikátne heslo pre každú službu zabraňuje tomu, aby sa jeden únik rozšíril ďalej (lekcia 2.1 a 2.2), a dvojfaktorové overenie zastaví útočníka, ktorý síce má správne heslo (lekcia 2.3). Sami si môžete na https://haveibeenpwned.com overiť, či sa váš e-mail nachádza v niektorom známom úniku.

Častou chybou je „systém“ na obmieňanie hesiel: Bakkerij2025! pre poštu a Bakkerij2025!boekhouding pre účtovníctvo. Programy, ktoré používajú kombolisty, skúšajú aj takéto zjavné varianty.

Infostealery: heslo priamo z vášho počítača

Infostealer je škodlivý softvér, ktorý zbiera údaje z vášho počítača a odosiela ich útočníkovi. Microsoft opisuje, že infostealery okrem iného získavajú z prehliadačov uložené používateľské mená a heslá, session cookies, automaticky vyplnené údaje formulárov a údaje o platobných kartách. Takýto program získate napríklad cez falošné sťahovanie („bezplatná verzia drahého programu“), prílohu, falošnú reklamu alebo stránku, ktorá vás vyzve skopírovať a vložiť príkaz „na vyriešenie problému“.

Infostealer funguje často len niekoľko minút a potom opäť zmizne. Korisť, takzvaný log so všetkými údajmi z toho jedného počítača, sa predáva. Niekedy sa použije až o roky neskôr.

Prečo je session cookie taký nebezpečný

Keď sa prihlásite na webovú stránku heslom a dvojfaktorovým overením, váš prehliadač dostane session cookie: malý súbor, ktorý pri každej ďalšej požiadavke ukazuje, že ste už prihlásení. Vďaka tomu nemusíte pri každom kliknutí nanovo zadávať svoj kód.

Kto tento cookie ukradne, môže ho vložiť do vlastného prehliadača a je tak tiež prihlásený. Nepotrebuje vaše heslo ani váš druhý faktor, pretože prihlásenie už prebehlo. MITRE ATT&CK, verejná databáza útočných techník, to hovorí doslovne: session cookies možno použiť na obídenie niektorých foriem viacfaktorovej autentifikácie.

Čo pomáha proti infostealerom a ukradnutým cookies:

• neinštalovať softvér z neznámych zdrojov a nepracovať s administrátorským účtom, aby inštalácia nebola jednoduchá (lekcia 5.2);
• aktualizovať operačný systém a prehliadač (lekcia 5.1);
• po nakazení najprv počítač vyčistiť alebo preinštalovať, potom z čistého zariadenia zmeniť heslá a zrušiť všetky relácie, aby ukradnuté cookies prestali platiť (lekcia 2.5 a 3.5);
• phishing odolné prihlasovacie metódy ako passkeys, ktoré znemožňujú ukradnutie prihlasovacích údajov cez falošné stránky (lekcia 2.4).

Čo je únik osobných údajov

Doteraz išlo o vaše vlastné účty. Ak sa však útočník dostane do vašej poštovej schránky, účtovníctva alebo internetového obchodu, vidí aj údaje iných ľudí: klientov, zamestnancov, členov. Vtedy ide o únik osobných údajov.

GDPR definuje osobné údaje ako akékoľvek informácie o identifikovanej alebo identifikovateľnej osobe: meno, e-mailovú adresu, telefónne číslo, adresu, ale aj zákaznícke číslo, ktoré je možné priradiť konkrétnej osobe. Únik osobných údajov (v GDPR: porušenie ochrany osobných údajov, článok 4 bod 12) je porušenie bezpečnosti, ktoré náhodne alebo protiprávne vedie k zničeniu, strate, zmene alebo neoprávnenému poskytnutiu alebo sprístupneniu osobných údajov.

Únik osobných údajov nemusí byť hack. Únikom môže byť aj toto:

• e-mail so zoznamom klientov odoslaný nesprávnemu príjemcovi;
• ukradnutý alebo stratený notebook bez šifrovania;
• zdieľaný odkaz na priečinok so životopismi, ktorý je verejne dostupný na internete;
• prevzatá poštová schránka, v ktorej sú faktúry s menami a adresami;
• súbory zašifrované ransomvérom, z ktorých nemáte zálohu (zničenie a strata).

S únikom osobných údajov súvisia povinnosti: každý únik zaznamenáte do registra únikov, nahlásite ho do 72 hodín Úradu na ochranu osobných údajov, pokiaľ pravdepodobne nepredstavuje riziko pre dotknuté osoby, a pri vysokom riziku informujete aj samotných ľudí. Ako to presne funguje, sa dozviete v lekcii 8.2. Teraz je dôležité, aby ste prevzatie účtu nevnímali len ako „náš problém“: často sa dotýka aj ľudí, ktorých údaje máte.

Čo sa deje s uniknutými údajmi

Uniknuté údaje nezmiznú. Kopírujú sa, spájajú a ďalej predávajú. Preto má únik dlhodobé následky:

• Opätovné použitie: heslá sa dostávajú do kombolistov na credential stuffing.
• Lepší phishing: s vaším menom, vašimi klientmi a vašou poslednou objednávkou vytvorí podvodník presvedčivý e-mail. Klient, ktorý týždeň po úniku vo vašom internetovom obchode dostane od vás „upomienku na platbu“, zaplatí rýchlejšie.
• Krádež identity: s dostatkom údajov o osobe môže podvodník otvoriť účty alebo sa za túto osobu vydávať.
• Vydieranie: „zaplaťte, inak povieme vašim klientom, že ich údaje u vás unikli“ (lekcia 1.3).

Preto je aj menej uchovávania bezpečnostným opatrením. Údaje, ktoré nemáte, nemôžu uniknúť.

Zhrnutie

• Pri prevzatí účtu sa útočník jednoducho prihlási; poštová schránka je najdôležitejší účet, pretože cez ňu obnovujete ostatné heslá.
• Credential stuffing automaticky skúša uniknuté kombinácie e-mailu a hesla z kombolistov na iných službách; unikátne heslá a 2FA to zastavia.
• Infostealery kradnú heslá a session cookies z prehliadača; s ukradnutým cookie môže útočník obísť niektoré formy 2FA, preto po nakazení zrušte všetky relácie.
• Únik osobných údajov je každé porušenie bezpečnosti osobných údajov, aj nesprávne odoslaný e-mail či stratený notebook.
• Uniknuté údaje sa znovu používajú pri nových útokoch; menej uchovávania znamená menšie riziko.

Kvíz

Úloha

Úloha A1.4: Jeden únik, ktoré účty sú ohrozené? Dostanete prehľad účtov malej firmy: ktoré heslo (označené ako W1, W2 atď., nikdy skutočné heslo) patrí ku ktorej službe a či je zapnuté dvojfaktorové overenie. Následne unikne jedna služba. Uveďte, ktoré účty sú okamžite ohrozené, v akom poradí ich riešiť a či ide o únik osobných údajov. Program to vyhodnotí a vysvetlí.

Odporúčame na čítanie

Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Návod na DirectAdmin 3.7: Bezpečné heslá a čo robiť pri úniku hesla
• Príručka WebOké 3.6: Zobrazenie aktívnych relácií a odhlásenie
• Have I Been Pwned (overte si sami, či sa váš e-mail nachádza v niektorom známom úniku): https://haveibeenpwned.com
• OWASP, Credential stuffing (po anglicky): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (po anglicky): https://attack.mitre.org/techniques/T1539/
• GDPR (Nariadenie (EÚ) 2016/679), oficiálny text: https://eur-lex.europa.eu/eli/reg/2016/679/oj