Převzetí účtu a úniky dat

Modul 1: Proč jste terčem i Vy · Doba čtení: 10 minut

Cíl lekce: Po této lekci dokážete vysvětlit, jak se znovu zneužívají odcizené přihlašovací údaje a co se děje s uniklými daty.
Klíčové pojmy: převzetí účtu, credential stuffing, infostealer, session cookie, únik dat, osobní údaje, combolist

Přihlášení místo vloupání

Nejjednodušší způsob, jak se dostat do systému, není hledat zranitelnost, ale prostě se přihlásit. Kdo má Váš e-mail a heslo, nemusí nic hackovat. Pro systém je prostě Vámi. Tomu se říká převzetí účtu: někdo jiný převezme účet a používá ho, jako by byl jeho vlastníkem.

Pro malou firmu je nejdůležitějším účtem schránka e-mailu. Kdo má přístup k Vaší schránce, může:

• pomocí funkce „zapomenuté heslo“ znovu nastavit hesla téměř ke všem Vašim ostatním účtům;
• číst Vaši poštu a přesně ve správný okamžik poslat falešnou fakturu (lekce 1.2);
• posílat jménem Vás e-maily klientům, kteří Vám důvěřují;
• nastavit pravidlo pro přeposílání, díky kterému bude nenápadně dostávat kopii veškeré pošty, i poté, co si změníte heslo (lekce 2.5).

Jak se ale útočník dostane k Vašemu heslu? Existují tři hlavní cesty: sami ho zadáte na falešné stránce (phishing, modul 3), unikne u jiné služby a Vy jste ho použili i tam, nebo ho z Vašeho počítače ukradne škodlivý software. Posledními dvěma se budeme zabývat zde.

Credential stuffing: jeden únik, vyzkoušený všude

Webové stránky bývají pravidelně napadány. Při takovém úniku se často na veřejnost dostanou e-maily a hesla uživatelů, někdy čitelné, jindy ve formě, kterou lze výpočetním výkonem zpětně rozluštit. Tyto údaje se shromažďují, slučují a obchodují se s nimi v obrovských seznamech e-mailů a hesel: combolisty.

S takovým seznamem provádí útočník credential stuffing: automaticky zkouší každou dvojici e-mailu a hesla na jiných službách. OWASP, známá otevřená organizace pro webovou bezpečnost, to popisuje jako automatizované zadávání odcizených přihlašovacích údajů za účelem získání přístupu k účtům. Funguje to z jednoho důvodu: lidé používají stejné heslo na více místech.

Příklad. Petra z pekárny Example si před lety založila účet u internetového obchodu s pekařskými potřebami, s adresou info@example.com a heslem, které tehdy používala všude. Tento obchod je napaden. O rok později se její kombinace objeví v combolistu. Program ji během jedné noci vyzkouší na:

Petra ničeho nepozoruje: neviděla žádný phishingový e-mail a na nic neklikla. Poučení z toho: jedinečné heslo pro každou službu zabrání tomu, aby se jeden únik rozšířil dál (lekce 2.1 a 2.2), a dvoufázové ověření zastaví útočníka, který sice má správné heslo, ale ne druhý faktor (lekce 2.3). Sami si můžete na https://haveibeenpwned.com ověřit, zda se Váš e-mail objevuje v některém známém úniku.

Častou chybou je „systém“ pro obměňování hesel: Bakkerij2025! pro poštu a Bakkerij2025!boekhouding pro účetnictví. Programy, které pracují s combolisty, zkoušejí i takové snadno odhadnutelné varianty.

Infostealery: heslo přímo z Vašeho počítače

Infostealer je škodlivý software, který shromažďuje údaje z Vašeho počítače a posílá je útočníkovi. Microsoft popisuje, že infostealery z prohlížečů mimo jiné získávají uložená uživatelská jména a hesla, session cookies, automaticky vyplněné údaje z formulářů a údaje o platebních kartách. Takový program se k Vám může dostat třeba přes falešné stažení („zdarma verze drahého programu“), přílohu, falešnou reklamu nebo stránku, která žádá, abyste zkopírovali a vložili příkaz „kvůli vyřešení problému“.

Infostealer často pracuje jen pár minut a pak zase zmizí. Kořist, takzvaný log se všemi údaji z daného počítače, se prodává. Někdy je použita až o několik let později.

Proč je session cookie tak nebezpečný

Když se přihlásíte na webovou stránku, heslem i dvoufázovým ověřením, Váš prohlížeč obdrží session cookie: malý soubor, který při každém dalším požadavku ukazuje, že jste již přihlášeni. Díky tomu nemusíte při každém kliknutí znovu zadávat svůj kód.

Kdo takový cookie ukradne, může ho vložit do svého vlastního prohlížeče a je tak také přihlášen. Nepotřebuje Vaše heslo ani druhý faktor, protože přihlášení už proběhlo. MITRE ATT&CK, veřejná znalostní databáze útočných technik, to říká doslova: session cookies mohou být použity k obejití některých forem vícefaktorového ověřování.

Co pomáhá proti infostealerům a odcizeným cookies:

• neinstalovat software z neznámých zdrojů a nepracovat s účtem správce, aby instalace nebyla snadno možná (lekce 5.2);
• aktualizovat operační systém a prohlížeč (lekce 5.1);
• po nákaze nejprve počítač vyčistit nebo přeinstalovat, poté z čistého zařízení změnit hesla a odhlásit všechny relace, aby odcizené cookies přestaly platit (lekce 2.5 a 3.5);
• přihlašovací metody odolné proti phishingu, jako jsou passkeys, které znemožňují odcizení přihlašovacích údajů přes falešné stránky (lekce 2.4).

Co je únik dat

Doposud šlo o Vaše vlastní účty. Pokud je ale útočník ve Vaší e-mailové schránce, účetnictví nebo internetovém obchodě, vidí také údaje jiných lidí: klientů, zaměstnanců, členů. Pak jde o únik dat.

GDPR definuje osobní údaje jako veškeré informace o identifikované nebo identifikovatelné osobě: jméno, e-mail, telefonní číslo, adresu, ale i zákaznické číslo, které lze spojit s konkrétní osobou. Únik dat (v GDPR: porušení zabezpečení osobních údajů, článek 4 bod 12) je porušení zabezpečení, které náhodně nebo protiprávně vede ke zničení, ztrátě, pozměnění nebo neoprávněnému poskytnutí nebo zpřístupnění osobních údajů.

Únik dat nemusí znamenat hackerský útok. Únikem dat může být i toto:

• e-mail se seznamem klientů odeslaný nesprávnému příjemci;
• odcizený nebo ztracený notebook bez šifrování;
• odkaz ke sdílení složky se životopisy, který je veřejně dostupný na internetu;
• převzatá e-mailová schránka, ve které jsou faktury se jmény a adresami;
• soubory zašifrované ransomwarem, ke kterým nemáte zálohu (zničení a ztráta).

S únikem dat jsou spojeny povinnosti: každý únik dat zaznamenáte do registru úniků dat, nahlásíte ho do 72 hodin Úřadu pro ochranu osobních údajů (ÚOOÚ), pokud pravděpodobně nepředstavuje riziko pro dotčené osoby, a při vysokém riziku informujete i samotné dotčené osoby. Jak to přesně funguje, se naučíte v lekci 8.2. Prozatím je důležité, abyste převzetí účtu nevnímali jen jako „náš problém“: často se totiž dotýká i lidí, jejichž údaje máte.

Co se děje s uniklými daty

Uniklá data nezmizí. Jsou kopírována, slučována a dále prodávána. Proto má únik následky, které přetrvávají dlouho:

• Opakované použití: hesla se dostávají do combolistů pro credential stuffing.
• Dokonalejší phishing: s Vaším jménem, Vašimi klienty a Vaší poslední objednávkou vytvoří podvodník přesvědčivý e-mail. Klient, který týden po úniku u Vašeho obchodu dostane od Vás „upomínku k platbě“, zaplatí rychleji.
• Krádež identity: s dostatkem údajů o osobě může podvodník založit účty nebo se za ni vydávat.
• Vydírání: „zaplaťte, jinak řekneme Vašim klientům, že jejich údaje u Vás unikly“ (lekce 1.3).

Proto je menší rozsah uchovávaných údajů také bezpečnostním opatřením. Údaje, které nemáte, také nemohou uniknout.

Shrnutí

• Při převzetí účtu se útočník jednoduše přihlásí; nejdůležitějším účtem je e-mailová schránka, protože přes ni obnovujete další hesla.
• Credential stuffing automaticky zkouší uniklé kombinace e-mailu a hesla z combolistů na jiných službách; jedinečná hesla a 2FA tomu brání.
• Infostealery kradou hesla a session cookies z prohlížeče; s odcizeným cookie může útočník obejít některé 2FA, proto po nákaze odhlaste všechny relace.
• Únik dat je jakékoli porušení zabezpečení osobních údajů, i omylem odeslaný e-mail nebo ztracený notebook.
• Uniklá data se znovu používají pro nové útoky; méně uchovávaných údajů znamená menší riziko.

Kvíz

Úkol

Úkol A1.4: Jeden únik, které účty jsou v ohrožení? Dostanete přehled účtů malé firmy: které heslo (označené jako W1, W2 atd., nikdy skutečné heslo) patří ke které službě a zda je zapnuté dvoufázové ověření. Poté unikne jedna služba. Určete, které účty jsou přímo ohroženy, v jakém pořadí se jimi budete zabývat a zda jde o únik dat. Program to vyhodnotí a vysvětlí.

Doporučená literatura

Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.

• Příručka k DirectAdmin 3.7: Bezpečná hesla a co dělat při úniku hesla
• Příručka WebOké 3.6: Zobrazení aktivních relací a odhlášení
• Have I Been Pwned (sami si ověřte, zda se Váš e-mail objevuje v některém známém úniku): https://haveibeenpwned.com
• OWASP, Credential stuffing (anglicky): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (anglicky): https://attack.mitre.org/techniques/T1539/
• GDPR (nařízení (EU) 2016/679), oficiální znění: https://eur-lex.europa.eu/eli/reg/2016/679/oj