Wyciek danych? Sprawdzanie i naprawa

Moduł 2: Hasła i logowanie · Czas czytania: 10 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili samodzielnie sprawdzić, czy dane znalazły się w wycieku, zareagować na wyciek we właściwej kolejności oraz odzyskać i uporządkować przejęte konto.

Kluczowe pojęcia: Have I Been Pwned, k-anonimowość, powiadomienia o wyciekach, wylogowanie sesji, plik cookie sesji, dane do odzyskiwania konta, reguły przekierowania

Jak Państwo dowiedzą się, że doszło do wycieku

Często wcale się Państwo o tym nie dowiedzą. Wyciekłe hasło może miesiącami znajdować się na liście kombinacji (tzw. combolist), zanim ktoś je wykorzysta. Proszę więc zwracać uwagę na następujące sygnały:

• Usługodawca informuje mailowo, że doszło do naruszenia ochrony danych. Proszę najpierw sprawdzić, czy ta wiadomość jest autentyczna (moduł 3): proszę samodzielnie wejść na stronę, zamiast klikać w link.
• Otrzymują Państwo kod logowania lub prośbę o zatwierdzenie, o którą sami Państwo nie prosili (lekcja 2.3).
• Widzą Państwo powiadomienie „nowe logowanie z nieznanego urządzenia”.
• Klienci lub współpracownicy otrzymują dziwne wiadomości „od Państwa”, albo brakuje Państwu wiadomości, która została faktycznie wysłana.
• Menedżer haseł ostrzega, że jakieś hasło pojawiło się w wycieku.
• Nagle nie mogą się Państwo zalogować albo dane do odzyskiwania konta zostały zmienione.

Samodzielne sprawdzanie w Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) to znana, bezpłatna usługa, która zbiera dane z publicznie znanych wycieków. Mogą Państwo samodzielnie wyszukać swój adres e-mail. Zobaczą wówczas Państwo, w jakich wyciekach dany adres się pojawił oraz jakie rodzaje danych były w nich zawarte: same adresy e-mail czy także hasła, imiona i nazwiska, numery telefonów lub adresy. Dzięki funkcji „Notify me” otrzymają Państwo wiadomość e-mail, gdy adres pojawi się w nowym wycieku.

Proszę zrobić to samodzielnie, na stronie tej usługi. W tym kursie nigdy nie prosimy Państwa o wpisanie gdziekolwiek adresu e-mail ani hasła.

Istnieje też część o nazwie Pwned Passwords, z której korzystają menedżery haseł i strony internetowe, aby sprawdzić, czy dane hasło kiedykolwiek wyciekło. Działa to w oparciu o k-anonimowość: hasło jest przekształcane na Państwa urządzeniu w hash (rodzaj cyfrowego odcisku palca), a do usługi trafia tylko pierwszych 5 znaków tego hasha. Usługa odsyła z powrotem wszystkie znane hashe zaczynające się od tych 5 znaków, a Państwa urządzenie samodzielnie sprawdza, czy pełny hash znajduje się wśród nich. Usługa nigdy więc nie widzi Państwa hasła i nawet nie wie, który z setek odesłanych hashy jest Państwa.

Dwie uwagi:

• Brak na liście nie oznacza bezpieczeństwa. Wyciek, który (jeszcze) nie jest znany, nie znajdzie się na liście. Infostealery (lekcja 1.4) kradną też hasła, które nigdy nie trafiają do opublikowanego wycieku.
• Obecność na liście nie oznacza, że wszystko stracone. Proszę sprawdzić, jakie dane wyciekły i kiedy. Hasło, którego od lat już Państwo nie używają, nie stanowi problemu; hasło, którego nadal Państwo używają wszędzie, już tak.

Co zrobić najpierw po wycieku

Kolejność ma znaczenie. Najważniejsza zasada: najpierw skrzynka pocztowa, ponieważ dzięki niej atakujący może za pomocą funkcji „nie pamiętam hasła” przejąć niemal wszystkie pozostałe konta.

Dlaczego warto wylogować sesje

Gdy się Państwo logują, przeglądarka otrzymuje plik cookie sesji: rodzaj tymczasowego dowodu dostępu, dzięki któremu nie trzeba logować się ponownie przy każdym kliknięciu. Kto ma ten plik cookie, jest zalogowany. Bez hasła i bez drugiego składnika.

Dokładnie to kradną infostealery: nie tylko hasła, ale także pliki cookie. A atakujący, który zalogował się przy użyciu Państwa hasła, też ma własną sesję. Jeśli zmienią Państwo tylko hasło, ta sesja w przypadku niektórych usług nadal będzie działać.

Dlatego po wycieku lub podejrzanym logowaniu proszę w każdej ważnej usłudze sprawdzić przegląd aktywnych sesji lub urządzeń i wylogować wszystko, czego Państwo nie rozpoznają, albo wszystko poza urządzeniem, na którym obecnie Państwo pracują. W wielu usługach nowe hasło wylogowuje też wszędzie automatycznie, ale i tak warto to sprawdzić.

Reguła przekierowania jako furtka

Oto typowy przypadek. Księgowa firmy Piekarnia Example klika w wiadomość phishingową i wpisuje swoje hasło do poczty. Atakujący loguje się na factuur@example.com i robi trzy rzeczy:

1. Tworzy regułę: każda wiadomość zawierająca w temacie słowa „faktura”, „płatność” lub „IBAN” jest przekierowywana na zewnętrzny adres leverancier-administratie.example, a następnie trafia do kosza.
2. Ustawia własny numer telefonu jako numer do odzyskiwania konta.
3. Wylogowuje się.

Księgowa zauważa, że coś jest nie tak, i zmienia hasło. Myśli, że problem rozwiązany. Reguła jednak nadal działa. Atakujący przez tygodnie czyta każdą fakturę, a pewnego dnia klient otrzymuje „zmodyfikowaną” fakturę z innym numerem IBAN (lekcja 1.2). Dzięki numerowi do odzyskiwania konta atakujący może też w każdej chwili odzyskać konto.

Dlatego w skrzynce pocztowej zawsze należy sprawdzić:

• reguły i filtry: zwłaszcza te, które przekierowują lub usuwają wiadomości;
• przekierowanie w ustawieniach skrzynki pocztowej i w panelu hostingowym;
• automatyczne odpowiedzi, których sami Państwo nie utworzyli;
• hasła aplikacji i połączone aplikacje: proszę usunąć to, czego Państwo nie rozpoznają;
• dane do odzyskiwania konta oraz listę urządzeń w uwierzytelnianiu dwuskładnikowym.

Jeśli konto zostało faktycznie przejęte

Jeśli nie mogą się Państwo już zalogować, proszę skorzystać wyłącznie z oficjalnej procedury odzyskiwania danej usługi. Znajdą ją Państwo, wchodząc samodzielnie na stronę, a nie poprzez link z wiadomości e-mail czy reklamy w wyszukiwarce. Proszę uważać na „pomoc w odzyskiwaniu”, która sama zgłasza się do Państwa w mediach społecznościowych albo do której Państwo się zwracają po takiej reklamie: to często oszuści, którzy chcą uderzyć po raz drugi.

Następnie:

• proszę wykonać kroki od 3 do 8 z powyższej tabeli;
• proszę utworzyć nowe kody odzyskiwania i włączyć mocniejszy drugi składnik logowania (lekcja 2.3 i 2.4);
• proszę zgłosić oszustwo lub phishing do CERT Polska przez https://incydent.cert.pl/ oraz złożyć zawiadomienie na Policji, jeśli wystąpiła szkoda;
• proszę zapisać, co się wydarzyło i kiedy. Jeśli chodziło o dane klientów, może to być naruszenie ochrony danych (lekcja 8.2).

W praktyce: tak to wygląda

W środowisku WebOké, w Moje WebOké, w sekcji Dane logowania znajdą Państwo kartę Aktywne sesje, zawierającą dla każdej sesji przeglądarkę, system, adres IP oraz informację, od kiedy trwa. Mogą Państwo wylogować jedną sesję albo wylogować wszystko poza urządzeniem, na którym obecnie Państwo pracują. W Nextcloud, w sekcji Bezpieczeństwo, znajduje się przegląd Urządzenia i sesje, gdzie również można wycofać dostęp danego urządzenia lub wyczyścić je zdalnie. Przekierowanie i filtry skrzynki pocztowej znajdą Państwo w panelu hostingowym oraz w poczcie internetowej (webmail). U innych dostawców działa to podobnie: proszę szukać opcji „sesje”, „urządzenia”, „bezpieczeństwo” lub „ostatnia aktywność”.

Podsumowanie

• Proszę samodzielnie sprawdzić na haveibeenpwned.com, czy Państwa adres e-mail znajduje się w znanym wycieku; Pwned Passwords działa w oparciu o k-anonimowość (do usługi trafia tylko pierwszych 5 znaków hasha).
• Brak na liście nie oznacza bezpieczeństwa.
• Po wycieku: najpierw skrzynka pocztowa, następnie wylogowanie sesji, sprawdzenie uwierzytelniania dwuskładnikowego i danych do odzyskiwania konta.
• Zmiana hasła nie usuwa reguł przekierowania, haseł aplikacji ani skradzionych sesji.
• Przejęte konto można odzyskać wyłącznie poprzez oficjalną drogę danej usługi.

Quiz

Zadanie

Zadanie D2.5: Własna kontrola wycieków i porządkowanie kont. Proszę samodzielnie sprawdzić na haveibeenpwned.com swoje firmowe adresy e-mail i włączyć funkcję „Notify me”. Proszę przejrzeć w skrzynce pocztowej i w najważniejszych kontach aktywne sesje, reguły przekierowania, hasła aplikacji oraz dane do odzyskiwania konta, a następnie uporządkować to, czego Państwo nie rozpoznają. Proszę zaznaczyć listę kontrolną i odpowiedzieć na pytania do refleksji. W kursie nie wpisują Państwo żadnego adresu e-mail ani hasła.

Więcej informacji

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to w podobny sposób.

• Podręcznik WebOké 3.6: Przeglądanie aktywnych sesji i wylogowywanie się
• Podręcznik Nextcloud 3.6: Przeglądanie, cofanie dostępu lub zdalne czyszczenie urządzeń i sesji
• Instrukcja DirectAdmin 3.7: Bezpieczne hasła i co zrobić w przypadku wycieku hasła
• Logowanie do Nextcloud nie jest możliwe: hasło, kod lub ograniczenie liczby prób
• Przejęcie skrzynki pocztowej lub spam wysyłany z Państwa adresu: jak to uporządkować
• Have I Been Pwned (samodzielne wyszukiwanie swojego adresu e-mail): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (po angielsku, wyjaśnienie k-anonimowości): https://haveibeenpwned.com/Passwords
• CERT Polska (zgłaszanie oszustw i phishingu): https://incydent.cert.pl/