Fiókátvétel és adatszivárgás

Modul 1: Miért Ön is célpont · Olvasási idő: 10 perc

Tanulási cél: E lecke után el tudja magyarázni, hogyan használják fel újra az ellopott bejelentkezési adatokat, és mi történik a kiszivárgott adatokkal.
Kulcsfogalmak: fiókátvétel, credential stuffing, infostealer, munkamenet-süti (sessiecookie), adatszivárgás, személyes adatok, combolista

Bejelentkezés betörés helyett

A legegyszerűbb módja annak, hogy valaki bejusson egy rendszerbe, nem a sebezhetőség keresése, hanem egyszerűen a bejelentkezés. Aki ismeri az Ön e-mail címét és jelszavát, annak semmit sem kell feltörnie. A rendszer számára egyszerűen Ön lesz. Ezt nevezzük fiókátvételnek: valaki más veszi át a fiókot, és úgy használja, mintha ő lenne a tulajdonosa.

Egy kisvállalkozás számára a postafiók a legfontosabb fiók. Aki hozzáfér az Ön postafiókjához, az:

• az „elfelejtett jelszó” funkcióval szinte az összes többi fiókja jelszavát visszaállíthatja;
• elolvashatja a leveleit, és pontosan a megfelelő pillanatban küldhet hamis számlát (1.2. lecke);
• az Ön nevében küldhet levelet az ügyfeleknek, akik megbíznak Önben;
• beállíthat egy továbbítási szabályt, így észrevétlenül továbbra is megkapja minden levele másolatát, még azután is, hogy módosította a jelszavát (2.5. lecke).

De hogyan jut hozzá a támadó az Ön jelszavához? Három fő útvonal van: Ön maga adja meg egy hamis weboldalon (adathalászat, 3. modul), kiszivárog egy másik szolgáltatásnál, és Ön ott is ugyanazt használta, vagy kártevő szoftver lopja el a számítógépéről. Az utóbbi kettőt itt tárgyaljuk.

Credential stuffing: egy szivárgás, mindenhol kipróbálva

A weboldalakat rendszeresen feltörik. Egy ilyen szivárgásnál gyakran nyilvánosságra kerülnek a felhasználók e-mail címei és jelszavai, néha olvasható formában, néha olyan formában, amely számítási kapacitással visszafejthető. Ezeket az adatokat összegyűjtik, összesítik és hatalmas, e-mail címeket és jelszavakat tartalmazó listákban árulják: combolisták.

Egy ilyen listával a támadó credential stuffinget végez: automatikusan kipróbál minden e-mail cím és jelszó párost más szolgáltatásoknál. Az OWASP, egy ismert, nyílt webbiztonsági szervezet, úgy írja le ezt, mint az ellopott bejelentkezési adatok automatizált megadását fiókokhoz való hozzáférés megszerzése céljából. Egyetlen okból működik: az emberek ugyanazt a jelszót használják több helyen is.

Egy példa. Petra, az Example Pékség tulajdonosa évekkel ezelőtt fiókot hozott létre egy sütőipari kellékeket árusító webáruháznál, az info@example.com címmel és azzal a jelszóval, amelyet akkoriban mindenhol használt. Ezt a webáruházat feltörik. Egy évvel később a kombinációja felkerül egy combolistára. Egy program egyetlen éjszaka alatt kipróbálja a következőknél:

Petra semmit sem vesz észre: nem látott adathalász levelet, és semmire sem kattintott. A tanulság: az egyedi jelszó szolgáltatásonként megakadályozza, hogy egyetlen szivárgás tovább terjedjen (2.1. és 2.2. lecke), a kétlépcsős azonosítás (2FA) pedig megállítja azt a támadót, aki rendelkezik a helyes jelszóval (2.3. lecke). Saját maga is ellenőrizheti a https://haveibeenpwned.com oldalon, hogy e-mail címe szerepel-e valamelyik ismert szivárgásban.

Gyakori hiba egy „rendszer” kialakítása a jelszavak variálására: Bakkerij2025! a levelezéshez és Bakkerij2025!boekhouding a könyveléshez. A combolistákat használó programok az ilyen, kézenfekvő variációkat is kipróbálják.

Infostealerek: a jelszó egyenesen a számítógépéről

Az infostealer olyan kártevő szoftver, amely adatokat gyűjt az Ön számítógépéről, és elküldi azokat a támadónak. A Microsoft leírása szerint az infostealerek többek között tárolt felhasználóneveket és jelszavakat, munkamenet-sütiket (sessiecookie), automatikusan kitöltött űrlapadatokat és bankkártyaadatokat gyűjtenek ki a böngészőkből. Egy ilyen program bekerülhet például egy hamis letöltés révén („egy drága program ingyenes verziója”), egy mellékleten keresztül, egy hamis hirdetésen keresztül, vagy egy olyan oldalon keresztül, amely arra kéri, hogy másoljon be és futtasson egy parancsot „egy probléma megoldása érdekében”.

Egy infostealer gyakran mindössze néhány percig működik, majd eltűnik. A zsákmányt, az adott számítógép összes adatát tartalmazó úgynevezett naplót (log) eladják. Olykor évekkel később használják fel.

Miért olyan veszélyes a munkamenet-süti

Amikor Ön bejelentkezik egy weboldalra jelszóval és kétlépcsős azonosítással, a böngészője kap egy munkamenet-sütit (sessiecookie): egy kis fájlt, amely minden további kérésnél jelzi, hogy Ön már be van jelentkezve. Emiatt nem kell minden kattintásnál újra megadnia a kódját.

Aki ellopja ezt a sütit, beillesztheti a saját böngészőjébe, és máris be van jelentkezve. Nincs szüksége az Ön jelszavára és a második azonosítási tényezőjére sem, mert a bejelentkezés már megtörtént. A MITRE ATT&CK, egy nyilvános, támadási technikákat tartalmazó tudásbázis, szó szerint kimondja: a munkamenet-sütik felhasználhatók egyes többfaktoros azonosítási formák megkerülésére.

Mi segít az infostealerek és az ellopott sütik ellen:

• ne telepítsen szoftvert ismeretlen forrásból, és ne dolgozzon rendszergazdai fiókkal, hogy a telepítés ne mehessen végbe egyszerűen (5.2. lecke);
• frissítse az operációs rendszerét és böngészőjét (5.1. lecke);
• fertőzés után először tisztítsa meg vagy telepítse újra a számítógépet, ezután egy tiszta eszközről módosítsa a jelszavakat, és vonjon vissza minden munkamenetet, hogy az ellopott sütik érvénytelenné váljanak (2.5. és 3.5. lecke);
• adathalászatbiztos bejelentkezési módszerek, mint a passkeyk, amelyek lehetetlenné teszik a bejelentkezési adatok hamis oldalakon keresztüli ellopását (2.4. lecke).

Mi az adatszivárgás

Eddig a saját fiókjairól volt szó. De ha egy támadó bejut az Ön postafiókjába, könyvelésébe vagy webáruházába, akkor mások adataihoz is hozzáfér: ügyfelekéhez, munkatársakéhoz, tagokéhoz. Ekkor adatszivárgásról beszélünk.

A GDPR személyes adatként határoz meg minden olyan információt, amely egy azonosított vagy azonosítható személyre vonatkozik: egy nevet, egy e-mail címet, egy telefonszámot, egy címet, de akár egy olyan ügyfélszámot is, amely egy adott személyhez köthető. Az adatszivárgás (a GDPR-ban: személyes adatokkal kapcsolatos jogsértés, 4. cikk 12. pont) olyan biztonsági incidens, amely véletlenül vagy jogellenesen a személyes adatok megsemmisítéséhez, elvesztéséhez, megváltoztatásához, jogosulatlan közléséhez vagy az azokhoz való jogosulatlan hozzáféréshez vezet.

Egy adatszivárgásnak nem kell feltörésnek lennie. Ez is adatszivárgásnak minősülhet:

• egy ügyféllista rossz címzettnek küldött levélben;
• egy ellopott vagy elveszett, titkosítás nélküli laptop;
• egy önéletrajzokat tartalmazó mappára mutató megosztási link, amely nyilvánosan elérhető az interneten;
• egy átvett postafiók, amelyben neveket és címeket tartalmazó számlák vannak;
• zsarolóvírus által titkosított fájlok, amelyekről nincs biztonsági mentése (megsemmisülés és elvesztés).

Egy adatszivárgáshoz kötelezettségek is kapcsolódnak: minden adatszivárgást rögzít az adatszivárgási nyilvántartásában, azt 72 órán belül bejelenti a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH), kivéve, ha az valószínűsíthetően nem jelent kockázatot az érintettekre nézve, magas kockázat esetén pedig az érintetteket magukat is tájékoztatja. Hogy ez pontosan hogyan működik, a 8.2. leckében tanulja meg. Most az a fontos, hogy a fiókátvételt ne csak „a mi problémánknak” tekintse: gyakran azokat is érinti, akiknek az adataival Ön rendelkezik.

Mi történik a kiszivárgott adatokkal

A kiszivárgott adatok nem tűnnek el. Lemásolják, összesítik és továbbértékesítik őket. Emiatt egy szivárgásnak hosszan tartó következményei vannak:

• Újrafelhasználás: a jelszavak bekerülnek a credential stuffinghez használt combolistákba.
• Hatékonyabb adathalászat: az Ön nevével, ügyfeleivel és legutóbbi rendelésével a csaló meggyőző levelet állít össze. Az az ügyfél, aki egy héttel az Ön webáruházát érintő szivárgás után „fizetési emlékeztetőt” kap Öntől, gyorsabban fizet.
• Személyazonosság-lopás: elegendő adattal egy adott személyről a csaló fiókokat nyithat, vagy kiadhatja magát annak a személynek.
• Zsarolás: „fizessen, különben elmondjuk az ügyfeleinek, hogy az adataik kiszivárogtak Öntől” (1.3. lecke).

Ezért a kevesebb tárolt adat is biztonsági intézkedésnek számít. Azok az adatok, amelyekkel Ön nem rendelkezik, nem is szivároghatnak ki.

Összefoglalás

• Fiókátvételnél a támadó egyszerűen bejelentkezik; a postafiók a legfontosabb fiók, mert ezzel állíthatók vissza a többi jelszó.
• A credential stuffing automatikusan kipróbálja a combolistákból származó, kiszivárgott e-mail cím és jelszó kombinációkat más szolgáltatásoknál; az egyedi jelszavak és a 2FA megállítják ezt.
• Az infostealerek jelszavakat és munkamenet-sütiket lopnak a böngészőből; egy ellopott sütivel a támadó megkerülhet bizonyos 2FA-megoldásokat, ezért fertőzés után vonjon vissza minden munkamenetet.
• Az adatszivárgás a személyes adatok biztonságát érintő bármilyen incidens, akár egy rossz címzettnek küldött levél vagy egy elveszett laptop is.
• A kiszivárgott adatokat új támadásokhoz használják fel újra; a kevesebb tárolt adat kevesebb kockázatot jelent.

Kvíz

Feladat

A1.4 feladat: Egy adatszivárgás, mely fiókok kerülnek veszélybe? Kap egy áttekintést egy kisvállalkozás fiókjairól: melyik jelszó (W1, W2 stb. jelöléssel, soha nem valódi jelszó) tartozik melyik szolgáltatáshoz, és be van-e kapcsolva a kétlépcsős azonosítás. Ezután kiszivárog az egyik szolgáltatás adatai. Adja meg, mely fiókok kerülnek azonnal veszélybe, milyen sorrendben kezeli őket, és hogy adatszivárgásról van-e szó. A program ellenőrzi és elmagyarázza a megoldást.

További olvasnivaló

A WebOké-cikkekben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.

• DirectAdmin útmutató 3.7: Biztonságos jelszavak és a teendők jelszó kiszivárgása esetén
• WebOké útmutató 3.6: Aktív munkamenetek megtekintése és kijelentkezés
• Have I Been Pwned (saját maga ellenőrizheti, hogy e-mail címe szerepel-e ismert szivárgásban): https://haveibeenpwned.com
• OWASP, Credential stuffing (angol nyelven): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (angol nyelven): https://attack.mitre.org/techniques/T1539/
• GDPR (2016/679 (EU) rendelet), hivatalos szöveg: https://eur-lex.europa.eu/eli/reg/2016/679/oj