Przejęcie konta i wycieki danych

Moduł 1: Dlaczego Państwa firma jest celem · Czas czytania: 10 minut

Cel lekcji: Po tej lekcji można wyjaśnić, w jaki sposób skradzione dane logowania są wykorzystywane ponownie oraz co dzieje się z wyciekłymi danymi.
Kluczowe pojęcia: przejęcie konta, credential stuffing, infostealer, ciasteczko sesyjne, wyciek danych, dane osobowe, lista combo

Logowanie zamiast włamania

Najprostszym sposobem na dostanie się do systemu nie jest szukanie luki, lecz po prostu zalogowanie się. Kto posiada adres e-mail i hasło danej osoby, nie musi niczego hakować. Dla systemu po prostu staje się tą osobą. Nazywa się to przejęciem konta: ktoś inny przejmuje konto i korzysta z niego tak, jakby był jego właścicielem.

Dla małej firmy najważniejszym kontem jest skrzynka pocztowa. Osoba, która ją przejmie, może:

• za pomocą funkcji „nie pamiętam hasła” zresetować hasła do niemal wszystkich innych kont;
• czytać korespondencję i wysłać fałszywą fakturę dokładnie w odpowiednim momencie (lekcja 1.2);
• wysyłać wiadomości w imieniu firmy do klientów, którzy jej ufają;
• ustawić regułę przekazywania, dzięki której niezauważenie będzie nadal otrzymywać kopię każdej wiadomości, nawet po zmianie hasła (lekcja 2.5).

Skąd jednak atakujący zdobywa hasło? Istnieją trzy główne drogi: zostaje ono samodzielnie wpisane na fałszywej stronie (phishing, moduł 3), wycieka z innej usługi, w której było używane to samo hasło, albo kradnie je złośliwe oprogramowanie na komputerze. Dwa ostatnie przypadki omówiono poniżej.

Credential stuffing: jeden wyciek, wypróbowany wszędzie

Strony internetowe są regularnie atakowane przez hakerów. Przy takim wycieku często ujawniane są adresy e-mail i hasła użytkowników, czasem w czytelnej formie, a czasem w postaci, którą przy użyciu mocy obliczeniowej można odtworzyć. Dane te są zbierane, łączone i sprzedawane w ogromnych listach adresów e-mail z hasłami: listach combo.

Za pomocą takiej listy atakujący przeprowadza credential stuffing: automatycznie próbuje każdej pary adresu e-mail i hasła na innych usługach. OWASP, znana otwarta organizacja zajmująca się bezpieczeństwem stron internetowych, opisuje to jako zautomatyzowane wprowadzanie skradzionych danych logowania w celu uzyskania dostępu do kont. Metoda ta działa z jednego powodu: ludzie używają tego samego hasła w wielu miejscach.

Przykład. Petra z piekarni Example lata temu założyła konto w sklepie internetowym z artykułami do pieczenia, podając info@example.com oraz hasło, którego wówczas używała wszędzie. Ten sklep internetowy zostaje zhakowany. Rok później jej dane znajdują się na liście combo. Program w ciągu jednej nocy próbuje ich użyć na:

Petra niczego nie zauważa: nie widziała żadnej wiadomości phishingowej i niczego nie kliknęła. Wnioski z tej sytuacji: unikalne hasło dla każdej usługi zapobiega rozprzestrzenianiu się skutków jednego wycieku (lekcje 2.1 i 2.2), a uwierzytelnianie dwuskładnikowe powstrzymuje atakującego, który zna prawidłowe hasło (lekcja 2.3). Można samodzielnie sprawdzić na stronie https://haveibeenpwned.com, czy dany adres e-mail występuje w znanym wycieku.

Częstym błędem jest stosowanie „systemu” różnicowania haseł: Bakkerij2025! do poczty oraz Bakkerij2025!boekhouding do księgowości. Programy korzystające z list combo próbują także takich oczywistych wariantów.

Infostealery: hasło prosto z komputera

Program infostealer to złośliwe oprogramowanie, które zbiera dane z komputera i wysyła je do atakującego. Microsoft opisuje, że infostealery pozyskują z przeglądarek między innymi zapisane nazwy użytkownika i hasła, ciasteczka sesyjne, automatycznie wypełniane dane formularzy oraz dane kart płatniczych. Taki program można otrzymać na przykład poprzez fałszywe pobieranie pliku („darmowa wersja drogiego programu”), załącznik, fałszywą reklamę lub stronę proszącą o skopiowanie i wklejenie polecenia „w celu rozwiązania problemu”.

Infostealer działa zwykle kilka minut, po czym znika. Łup, czyli tak zwany log zawierający wszystkie dane z danego komputera, jest sprzedawany. Czasem wykorzystywany jest dopiero po latach.

Dlaczego ciasteczko sesyjne jest tak niebezpieczne

Podczas logowania się na stronie internetowej za pomocą hasła i uwierzytelniania dwuskładnikowego przeglądarka otrzymuje ciasteczko sesyjne: mały plik, który przy każdym kolejnym żądaniu pokazuje, że użytkownik jest już zalogowany. Dzięki temu nie trzeba przy każdym kliknięciu ponownie wprowadzać kodu.

Osoba, która ukradnie takie ciasteczko, może umieścić je we własnej przeglądarce i w ten sposób również być zalogowana. Nie potrzebuje do tego ani hasła, ani drugiego składnika uwierzytelniania, ponieważ logowanie już się odbyło. MITRE ATT&CK, publicznie dostępna baza wiedzy o technikach ataków, stwierdza to wprost: ciasteczka sesyjne mogą być wykorzystane do ominięcia niektórych form uwierzytelniania wieloskładnikowego.

Co pomaga przeciwko infostealerom i skradzionym ciasteczkom:

• nieinstalowanie oprogramowania z nieznanych źródeł oraz niepracowanie na koncie administratora, aby instalacja nie była możliwa bez przeszkód (lekcja 5.2);
• aktualizowanie systemu operacyjnego i przeglądarki (lekcja 5.1);
• po zakażeniu najpierw wyczyszczenie komputera lub ponowna instalacja, a dopiero potem zmiana haseł z czystego urządzenia oraz unieważnienie wszystkich sesji, dzięki czemu skradzione ciasteczka przestają działać (lekcje 2.5 i 3.5);
• metody logowania odporne na phishing, takie jak passkeys, które uniemożliwiają kradzież danych logowania za pomocą fałszywych stron (lekcja 2.4).

Czym jest wyciek danych

Do tej pory mowa była o własnych kontach. Jeśli jednak atakujący znajdzie się w skrzynce pocztowej, systemie księgowym lub sklepie internetowym, widzi także dane innych osób: klientów, pracowników, członków. Wtedy mamy do czynienia z wyciekiem danych.

RODO definiuje dane osobowe jako wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby: imię i nazwisko, adres e-mail, numer telefonu, adres, ale także numer klienta, który można powiązać z konkretną osobą. Wyciek danych (w RODO: naruszenie ochrony danych osobowych, artykuł 4 punkt 12) to naruszenie bezpieczeństwa prowadzące przypadkowo lub niezgodnie z prawem do zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do danych osobowych.

Wyciek danych nie musi być wynikiem włamania. Wyciekiem danych może być również:

• wiadomość z listą klientów wysłana do niewłaściwego odbiorcy;
• skradziony lub zgubiony laptop bez szyfrowania;
• link do folderu z CV, który jest publicznie dostępny w internecie;
• przejęta skrzynka pocztowa zawierająca faktury z nazwiskami i adresami;
• pliki zaszyfrowane przez ransomware, do których nie ma kopii zapasowej (zniszczenie i utrata).

Z wyciekiem danych wiążą się obowiązki: każdy wyciek danych odnotowuje się w rejestrze naruszeń, zgłasza się go w ciągu 72 godzin do właściwego organu ochrony danych, chyba że jest mało prawdopodobne, by powodował ryzyko dla osób, których dane dotyczą, a w przypadku wysokiego ryzyka informuje się także same te osoby. Dokładnie, jak to działa, dowiedzą się Państwo w lekcji 8.2. Na razie ważne jest, aby nie traktować przejęcia konta jedynie jako „naszego problemu”: często dotyka to również osób, których dane się posiada.

Co dzieje się z wyciekłymi danymi

Wyciekłe dane nie znikają. Są kopiowane, łączone i odsprzedawane. Dlatego skutki wycieku utrzymują się długo:

• Ponowne wykorzystanie: hasła trafiają na listy combo wykorzystywane do credential stuffing.
• Skuteczniejszy phishing: mając imię i nazwisko, dane klientów oraz informacje o ostatnim zamówieniu, oszust tworzy przekonującą wiadomość. Klient, który tydzień po wycieku w danym sklepie internetowym otrzyma „przypomnienie o płatności”, zapłaci szybciej.
• Kradzież tożsamości: mając wystarczającą ilość danych o danej osobie, oszust może zakładać konta lub podawać się za tę osobę.
• Wymuszenie: „proszę zapłacić, w przeciwnym razie poinformujemy Państwa klientów, że ich dane wyciekły z Państwa firmy” (lekcja 1.3).

Dlatego przechowywanie mniejszej ilości danych również jest środkiem bezpieczeństwa. Dane, których się nie posiada, nie mogą wyciec.

Podsumowanie

• Przy przejęciu konta atakujący po prostu się loguje; skrzynka pocztowa jest najważniejszym kontem, ponieważ pozwala odzyskać inne hasła.
• Credential stuffing automatycznie próbuje wyciekłych kombinacji adresu e-mail i hasła z list combo na innych usługach; unikalne hasła i 2FA temu zapobiegają.
• Infostealery kradną hasła i ciasteczka sesyjne z przeglądarki; za pomocą skradzionego ciasteczka atakujący może ominąć niektóre formy 2FA, dlatego po zakażeniu należy unieważnić wszystkie sesje.
• Wyciek danych to każde naruszenie bezpieczeństwa danych osobowych, również błędnie wysłana wiadomość czy zgubiony laptop.
• Wyciekłe dane są wykorzystywane ponownie do nowych ataków; przechowywanie mniejszej ilości danych oznacza mniejsze ryzyko.

Quiz

Zadanie

Zadanie A1.4: Jeden wyciek danych, które konta są zagrożone? Otrzymują Państwo zestawienie kont małej firmy: które hasło (oznaczone jako W1, W2 i tak dalej, nigdy prawdziwe hasło) odpowiada której usłudze oraz czy włączone jest uwierzytelnianie dwuskładnikowe. Następnie dochodzi do wycieku danych jednej usługi. Proszę wskazać, które konta są bezpośrednio zagrożone, w jakiej kolejności należy nimi się zająć oraz czy mamy do czynienia z wyciekiem danych. Program sprawdzi odpowiedzi i udzieli wyjaśnień.

Więcej informacji

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działanie jest podobne.

• Instrukcja DirectAdmin 3.7: Bezpieczne hasła i co zrobić w przypadku wycieku hasła
• Podręcznik WebOké 3.6: Przeglądanie aktywnych sesji i wylogowywanie się
• Have I Been Pwned (samodzielne sprawdzenie, czy dany adres e-mail znajduje się w znanym wycieku): https://haveibeenpwned.com
• OWASP, Credential stuffing (w języku angielskim): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (w języku angielskim): https://attack.mitre.org/techniques/T1539/
• RODO (Rozporządzenie (UE) 2016/679), tekst oficjalny: https://eur-lex.europa.eu/eli/reg/2016/679/oj