Dados expostos? Verificar e corrigir

Módulo 2: Palavras-passe e início de sessão · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Depois desta lição, conseguirá verificar por si próprio se os seus dados constam de uma fuga, reagir pela ordem correta a uma fuga, e recuperar e limpar uma conta comprometida.

Conceitos-chave: Have I Been Pwned, k-anonimato, notificações de fugas, terminar sessões, cookie de sessão, dados de recuperação, regras de reencaminhamento

Como saber que algo foi exposto

Muitas vezes não chega a saber. Uma palavra-passe exposta pode constar de uma lista combinada durante meses antes de alguém a experimentar. Preste atenção a estes sinais:

• Um serviço envia um e-mail a informar que houve uma fuga de dados. Verifique primeiro se o e-mail é mesmo verdadeiro (módulo 3): aceda ao site diretamente em vez de clicar na ligação.
• Recebe um código de início de sessão ou um pedido de aprovação que não solicitou (lição 2.3).
• Vê uma notificação do tipo "novo início de sessão a partir de um dispositivo desconhecido".
• Clientes ou colegas recebem e-mails estranhos "da sua parte", ou falta-lhe correio que foi efetivamente enviado.
• O seu gestor de palavras-passe avisa que uma palavra-passe consta de uma fuga.
• Deixa subitamente de conseguir iniciar sessão, ou os seus dados de recuperação foram alterados.

Verificar por si próprio com o Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) é um serviço conhecido e gratuito que reúne dados de fugas publicamente conhecidas. Pode pesquisar pelo seu endereço de e-mail. Verá em que fugas o endereço aparece e que tipos de dados estavam envolvidos: apenas endereços de e-mail, ou também palavras-passe, nomes, números de telefone ou moradas. Com a função "Notify me" recebe um e-mail se o seu endereço surgir numa nova fuga.

Faça isto diretamente no site do serviço. Nesta formação nunca lhe pedimos para introduzir o seu endereço de e-mail ou palavra-passe em qualquer lado.

Existe também uma secção Pwned Passwords, com a qual gestores de palavras-passe e sites verificam se uma palavra-passe já foi exposta alguma vez. Isto funciona com k-anonimato: a sua palavra-passe é convertida no seu próprio dispositivo numa hash (uma espécie de impressão digital) e apenas os primeiros 5 carateres dessa hash são enviados para o serviço. O serviço devolve todas as hashes conhecidas que começam com esses 5 carateres, e o seu próprio dispositivo verifica se a sua hash completa consta dessa lista. O serviço nunca chega a ver a sua palavra-passe e nem sequer sabe qual, de entre as centenas de hashes devolvidas, é a sua.

Duas ressalvas:

• Não constar da lista não significa que esteja seguro. Uma fuga que (ainda) não seja conhecida não consta dela. Os infostealers (lição 1.4) também roubam palavras-passe que nunca chegam a uma fuga publicada.
• Constar da lista não significa que esteja tudo perdido. Verifique que dados foram expostos e quando. Uma palavra-passe que já não usa há anos não é um problema; uma palavra-passe que ainda usa em todo o lado, sim.

O que fazer primeiro depois de uma fuga

A ordem importa. A regra mais importante: primeiro a sua caixa de correio, porque com a sua caixa de correio um atacante consegue, através de "esqueci-me da palavra-passe", assumir o controlo de praticamente todas as suas outras contas.

Por que motivo terminar sessões

Quando inicia sessão, o seu navegador recebe um cookie de sessão: uma espécie de comprovativo de acesso temporário, para não ter de voltar a iniciar sessão a cada clique. Quem tiver esse cookie, está autenticado. Sem palavra-passe e sem segundo fator.

É exatamente isso que os infostealers roubam: não só as suas palavras-passe, mas também os seus cookies. E um atacante que tenha iniciado sessão com a sua palavra-passe também tem uma sessão ativa. Se apenas alterar a palavra-passe, essa sessão continua simplesmente a funcionar em alguns serviços.

Por isso, depois de uma fuga ou de um início de sessão estranho, verifique em cada serviço importante a lista de sessões ativas ou dispositivos, e termine a sessão em tudo o que não reconheça, ou em tudo exceto no dispositivo onde está a trabalhar agora. Em muitos serviços, uma nova palavra-passe também termina a sessão em todo o lado; verifique mesmo assim.

A regra de reencaminhamento como porta das traseiras

Um caso como acontece frequentemente. A contabilista da Padaria Example clica numa mensagem de phishing e introduz a palavra-passe da sua caixa de correio. O atacante inicia sessão em factuur@example.com e faz três coisas:

1. Cria uma regra: qualquer e-mail com "fatura", "pagamento" ou "IBAN" no assunto é reencaminhado para um endereço externo em leverancier-administratie.example e depois colocado no lixo.
2. Define o seu próprio número de telefone como número de recuperação.
3. Termina a sessão novamente.

A contabilista repara que algo não está bem e altera a palavra-passe. "Resolvido", pensa ela. Mas a regra continua a funcionar. O atacante lê todas as faturas durante semanas, e um dia um cliente recebe uma fatura "alterada" com um IBAN diferente (lição 1.2). Através do número de recuperação, consegue ainda recuperar a conta mais tarde.

Por isso, verifique sempre numa caixa de correio:

• regras e filtros: especialmente regras que reencaminham ou eliminam;
• reencaminhamento nas definições da caixa de correio e no painel de alojamento;
• respostas automáticas que não criou;
• palavras-passe de aplicação e aplicações associadas: remova o que não reconhecer;
• dados de recuperação e a lista de dispositivos na autenticação de dois fatores.

Quando uma conta foi mesmo tomada

Se não conseguir voltar a entrar, utilize apenas o procedimento de recuperação oficial do serviço. Encontra-o acedendo diretamente ao site, e não através de uma ligação num e-mail ou num anúncio de pesquisa. Tenha cuidado com "ajuda de recuperação" que o contacte nas redes sociais, ou a quem você próprio contacta nas redes sociais: muitas vezes são burlões que querem atingi-lo uma segunda vez.

Depois:

• siga os passos 3 a 8 da tabela acima;
• crie novos códigos de recuperação e ative um segundo fator mais forte (lições 2.3 e 2.4);
• denuncie a fraude ou o phishing à polícia e apresente queixa se tiver havido prejuízo;
• registe o que aconteceu e quando. Se estavam envolvidos dados de clientes, pode tratar-se de uma fuga de dados (lição 8.2).

Na prática: é assim que se apresenta

No ambiente WebOké, em O meu WebOké, em Dados de acesso, encontra o cartão Sessões ativas, com, para cada sessão, o navegador, o sistema, o endereço IP e desde quando está ativa. Pode terminar uma única sessão ou terminar sessão em todo o lado exceto no dispositivo onde está atualmente. No Nextcloud, em Segurança, encontra o resumo Dispositivos e sessões, onde também pode retirar o acesso a um dispositivo ou apagá-lo remotamente. O reencaminhamento e os filtros de uma caixa de correio encontram-se no painel de alojamento e no webmail. Noutros fornecedores funciona de forma semelhante: procure por "sessões", "dispositivos", "segurança" ou "atividade recente".

Resumo

• Verifique diretamente em haveibeenpwned.com se o seu endereço de e-mail consta de uma fuga conhecida; o Pwned Passwords funciona com k-anonimato (apenas os primeiros 5 carateres da hash são enviados).
• Não constar da lista não é o mesmo que estar seguro.
• Depois de uma fuga: primeiro a caixa de correio, depois terminar sessões, verificar a autenticação de dois fatores e os dados de recuperação.
• Uma alteração de palavra-passe não remove regras de reencaminhamento, palavras-passe de aplicação nem sessões roubadas.
• Uma conta tomada só se recupera através da via oficial do serviço.

Questionário

Exercício

Exercício D2.5: A sua própria verificação de fugas de dados e ronda de limpeza. Verifique diretamente em haveibeenpwned.com os seus endereços de e-mail profissionais e ative "Notify me". Analise, na sua caixa de correio e nas suas contas mais importantes, as sessões ativas, as regras de reencaminhamento, as palavras-passe de aplicação e os dados de recuperação, e remova o que não reconhecer. Assinale a lista de verificação e responda às perguntas de reflexão. Não terá de introduzir qualquer endereço de e-mail ou palavra-passe no âmbito da formação.

Para saber mais

Os passos descritos nos artigos do WebOké aplicam-se ao ambiente do WebOké; noutros fornecedores funciona de forma semelhante.

• Manual do WebOké 3.6: Ver e terminar sessões ativas
• Manual do Nextcloud 3.6: Ver, revogar ou apagar remotamente dispositivos e sessões
• Manual DirectAdmin 3.7: Palavras-passe seguras e o que fazer em caso de fuga de uma palavra-passe
• Não é possível iniciar sessão no Nextcloud: palavra-passe, código ou limitação
• Caixa de correio comprometida ou envio de spam a partir do seu endereço: saiba como resolver
• Have I Been Pwned (pesquise diretamente pelo seu endereço de e-mail): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (em inglês, explicação do k-anonimato): https://haveibeenpwned.com/Passwords
• Denunciar fraude e phishing à polícia: https://www.fraudehelpdesk.nl