Превземане на акаунти и теч на данни

Модул 1: Защо Вие сте мишена · Време за четене: 10 минути

Учебна цел: След този урок ще можете да обясните как се използват повторно откраднати данни за вход и какво се случва с изтекли данни.
Основни понятия: превземане на акаунт, credential stuffing, infostealer, сесийна бисквитка, теч на данни, лични данни, комбо списък (combolijst)

Влизане в системата вместо разбиване

Най-лесният начин да проникнете в дадена система не е да търсите пробойна, а просто да влезете с данни за вход. Който притежава Вашия имейл адрес и парола, не е нужно да хаква нищо. За системата той просто е Вие. Това се нарича превземане на акаунт: някой друг поема контрола над акаунт и го използва, сякаш е собственикът.

За малка фирма пощенската кутия е най-важният акаунт. Който притежава Вашата пощенска кутия, може:

• чрез функцията „забравена парола“ да нулира паролите на почти всички Ваши останали акаунти;
• да чете кореспонденцията Ви и да изпрати фалшива фактура точно в подходящия момент (урок 1.2);
• да изпраща писма от Ваше име до клиенти, които Ви имат доверие;
• да настрои правило за пренасочване, така че незабелязано да продължи да получава копие от цялата поща, дори след като сте променили паролата си (урок 2.5).

Но как нападателят се сдобива с Вашата парола? Има три основни пътя: Вие сами я въвеждате на фалшив сайт (фишинг, модул 3), тя изтича от друга услуга, в която сте я използвали, или зловреден софтуер на компютъра Ви я открадва. Последните два варианта разглеждаме тук.

Credential stuffing: един теч, изпробван навсякъде

Уебсайтовете редовно биват хаквани. При такъв теч често излизат наяве имейл адресите и паролите на потребителите, понякога в четим вид, понякога във форма, която с изчислителна мощ може да бъде разкрита. Тези данни се събират, обединяват и търгуват в огромни списъци с имейл адреси и пароли: комбо списъци (combolijsten).

С такъв списък нападателят извършва credential stuffing: той автоматично изпробва всяка двойка имейл адрес и парола върху други услуги. OWASP, известна отворена организация за уеб сигурност, описва това като автоматизирано въвеждане на откраднати данни за вход с цел получаване на достъп до акаунти. Това работи поради една единствена причина: хората използват една и съща парола на различни места.

Ето пример. Петра от пекарна Example е създала преди години акаунт в онлайн магазин за пекарски принадлежности с info@example.com и паролата, която тогава е използвала навсякъде. Този онлайн магазин бива хакнат. Година по-късно нейната комбинация се озовава в комбо списък. Програма я изпробва за една нощ върху:

Петра не забелязва нищо: не е видяла фишинг имейл и не е кликнала нищо. Поуките от това: уникална парола за всяка услуга предотвратява разпространението на един теч (уроци 2.1 и 2.2), а двуфакторното удостоверяване спира нападател, който все пак разполага с правилната парола (урок 2.3). Можете сами да проверите на https://haveibeenpwned.com дали Вашият имейл адрес фигурира в известен теч на данни.

Често срещана грешка е да създадете „система“ за варииране на паролите: Bakkerij2025! за пощата и Bakkerij2025!boekhouding за счетоводството. Програмите, които използват комбо списъци, изпробват и такива очевидни варианти.

Infostealer: паролата директно от компютъра Ви

Infostealer е зловреден софтуер, който събира данни от компютъра Ви и ги изпраща на нападателя. Microsoft описва, че infostealer-ите извличат от браузъри, наред с други неща, запазени потребителски имена и пароли, сесийни бисквитки (session cookies), автоматично попълнени данни от формуляри и данни за кредитни карти. Такава програма получавате например чрез фалшиво изтегляне („безплатна версия на скъпа програма“), прикачен файл, фалшива реклама или сайт, който иска да копирате и поставите команда „за да решите проблем“.

Infostealer-ът обикновено действа за няколко минути и след това изчезва. Плячката, така нареченият „лог“ с всички данни от конкретния компютър, се продава. Понякога се използва години по-късно.

Защо сесийната бисквитка е толкова опасна

Когато влезете в даден уебсайт, с парола и двуфакторно удостоверяване, Вашият браузър получава сесийна бисквитка: малък файл, който при всяка следваща заявка показва, че вече сте влезли. Благодарение на това не е нужно при всеки клик отново да въвеждате кода си.

Който открадне тази бисквитка, може да я постави в собствения си браузър и така също да влезе в системата. Той няма нужда от Вашата парола и втория Ви фактор, защото входът вече е осъществен. MITRE ATT&CK, публична база от знания за техники за атака, го казва буквално: сесийните бисквитки могат да се използват за заобикаляне на някои форми на многофакторно удостоверяване.

Какво помага срещу infostealer-и и откраднати бисквитки:

• не инсталирайте софтуер от непознати източници и не работете с администраторски акаунт, така че инсталирането да не минава лесно (урок 5.2);
• актуализирайте операционната си система и браузъра (урок 5.1);
• след заразяване първо почистете компютъра или го преинсталирайте, след това от чисто устройство сменете паролите и прекратете всички сесии, така че откраднатите бисквитки да станат невалидни (уроци 2.5 и 3.5);
• методи за вход, устойчиви на фишинг, като passkeys, които правят кражбата на данни за вход чрез фалшиви сайтове невъзможна (урок 2.4).

Какво представлява теч на данни

До момента ставаше дума за Вашите собствени акаунти. Но ако нападател е проникнал в пощенската Ви кутия, счетоводството или онлайн магазина Ви, той вижда и данни на други хора: клиенти, служители, членове. Тогава става дума за теч на данни.

GDPR (ОРЗД) определя лични данни като всяка информация за идентифицирано или подлежащо на идентификация лице: име, имейл адрес, телефонен номер, адрес, но също и клиентски номер, който може да се свърже с конкретно лице. Теч на данни (в GDPR: нарушение на сигурността на лични данни, член 4, точка 12) е нарушение на сигурността, което случайно или неправомерно води до унищожаване, загуба, промяна или неразрешено разкриване на или достъп до лични данни.

Теч на данни не е задължително да е хакерска атака. Теч на данни може да бъде и:

• писмо със списък с клиенти, изпратено до грешен получател;
• откраднат или изгубен лаптоп без криптиране;
• връзка за споделяне на папка с автобиографии, която се оказва публично достъпна в интернет;
• превзета пощенска кутия, в която има фактури с имена и адреси;
• файлове, криптирани от ransomware, за които нямате резервно копие (унищожаване и загуба).

Теч на данни носи със себе си задължения: записвате всеки теч на данни в регистър за теч на данни, уведомявате компетентния орган за защита на данните в срок от 72 часа, освен ако е малко вероятно нарушението да породи риск за засегнатите лица, а при висок риск информирате и самите засегнати хора. Как точно работи това, ще научите в урок 8.2. За момента е важно да разберете, че не бива да гледате на превземането на акаунт само като на „наш проблем“: то често засяга и хората, чиито данни съхранявате.

Какво се случва с изтекли данни

Изтеклите данни не изчезват. Те се копират, обединяват и препродават. Затова един теч има последствия, които се усещат дълго след това:

• Повторна употреба: паролите се озовават в комбо списъци за credential stuffing.
• По-добър фишинг: с Вашето име, Вашите клиенти и последната Ви поръчка измамникът съставя убедително писмо. Клиент, който седмица след теч във Вашия онлайн магазин получи „напомняне за плащане“ от Ваше име, плаща по-бързо.
• Измама с идентичност: с достатъчно данни за дадено лице измамник може да отвори акаунти или да се представи за него.
• Изнудване: „платете, иначе ще кажем на Вашите клиенти, че данните им са изтекли от Вас“ (урок 1.3).

Затова по-малкото съхранявани данни също е мярка за сигурност. Данни, които нямате, не могат и да изтекат.

Обобщение

• При превземане на акаунт нападателят просто влиза в системата; пощенската кутия е най-важният акаунт, защото чрез нея възстановявате други пароли.
• Credential stuffing автоматично изпробва изтекли комбинации от имейл адрес и парола от комбо списъци върху други услуги; уникалните пароли и 2FA го спират.
• Infostealer-ите крадат пароли и сесийни бисквитки от браузъра; с открадната бисквитка нападателят може да заобиколи някои форми на 2FA, затова след заразяване прекратете всички сесии.
• Теч на данни е всяко нарушение на сигурността на личните данни, включително погрешно изпратено писмо или изгубен лаптоп.
• Изтеклите данни се използват повторно за нови атаки; по-малкото съхранявани данни означава по-малък риск.

Тест

Задача

Задача A1.4: Един теч на данни, кои акаунти са застрашени? Получавате преглед на акаунтите на малка фирма: коя парола (обозначена като W1, W2 и т.н., никога истинска парола) съответства на коя услуга, и дали е включено двуфакторно удостоверяване. След това изтича информация за една от услугите. Посочете кои акаунти са в непосредствена опасност, в какъв ред ще се заемете с тях и дали е налице теч на данни. Програмата проверява и обяснява.

Прочетете още

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици процесът е сходен.

• Ръководство за DirectAdmin 3.7: Сигурни пароли и какво да правите при изтекла парола
• Ръководство на WebOké 3.6: Преглед на активни сесии и изход
• Have I Been Pwned (проверете сами дали Вашият имейл адрес фигурира в известен теч): https://haveibeenpwned.com
• OWASP, Credential stuffing (на английски): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (на английски): https://attack.mitre.org/techniques/T1539/
• GDPR (Регламент (ЕС) 2016/679), официален текст: https://eur-lex.europa.eu/eli/reg/2016/679/oj