Uniklo? Kontrola a náprava

Modul 2: Hesla a přihlašování · Doba čtení: 10 minut

Cíl lekce: Po této lekci dokážete sami zkontrolovat, zda se Vaše údaje nacházejí v nějakém úniku, reagovat na únik ve správném pořadí a získat zpět a vyčistit napadený účet.

Klíčové pojmy: Have I Been Pwned, k-anonymita, oznámení o únicích, odhlášení relací, relační cookie, obnovovací údaje, přeposílací pravidla

Jak se dozvíte, že něco uniklo

Často se to nedozvíte vůbec. Uniklé heslo může měsíce ležet v seznamu kombinací, než ho někdo zkusí použít. Všímejte si proto těchto signálů:

• Nějaká služba Vám napíše, že došlo k úniku dat. Nejprve ověřte, zda je ten e-mail skutečně pravý (modul 3): jděte na stránku sami, místo klikání na odkaz.
• Dostanete přihlašovací kód nebo žádost o schválení, o kterou jste sami nežádali (lekce 2.3).
• Zobrazí se Vám oznámení „nové přihlášení z neznámého zařízení“.
• Zákazníci nebo kolegové dostávají podivné e-maily „od Vás“, nebo Vám chybí e-mail, který byl prokazatelně odeslán.
• Váš správce hesel upozorní, že se nějaké heslo objevilo v úniku.
• Najednou se nemůžete přihlásit, nebo se změnily Vaše obnovovací údaje.

Kontrola na vlastní pěst přes Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) je známá a bezplatná služba, která shromažďuje údaje z veřejně známých úniků dat. Můžete si zde sami vyhledat svůj e-mailový adresu. Uvidíte, ve kterých únicích se adresa objevuje a jaké typy údajů k ní patřily: jen e-mailové adresy, nebo i hesla, jména, telefonní čísla či adresy. Pomocí funkce „Notify me“ dostanete e-mail, pokud se Vaše adresa objeví v novém úniku.

Udělejte to sami, na stránkách dané služby. V tomto kurzu Vás nikdy nežádáme, abyste někam zadávali svůj e-mail nebo heslo.

Existuje také část Pwned Passwords, pomocí které správci hesel a webové stránky kontrolují, zda heslo už někdy uniklo. Funguje to na principu k-anonymity: Vaše heslo se na Vašem vlastním zařízení převede na hash (jedinečný otisk) a ke službě se pošle pouze prvních 5 znaků z něj. Služba vrátí všechny známé hashe, které těmito 5 znaky začínají, a Vaše vlastní zařízení pak zkontroluje, zda se mezi nimi nachází i Váš úplný hash. Služba tedy Vaše heslo nikdy neuvidí a dokonce ani neví, který z vrácených stovek hashů je ten Váš.

Dvě poznámky:

• Nebýt v seznamu neznamená být v bezpečí. Únik, který (zatím) není známý, v seznamu není. Infostealery (lekce 1.4) navíc kradou i hesla, která se nikdy nedostanou do zveřejněného úniku.
• Být v seznamu neznamená, že je vše ztraceno. Podívejte se, jaké údaje unikly a kdy. Heslo, které už léta nepoužíváte, problém není; heslo, které ještě všude používáte, ano.

Co dělat jako první po úniku

Na pořadí záleží. Nejdůležitější pravidlo: nejprve e-mailová schránka, protože přes ni může útočník pomocí „zapomenuté heslo“ získat přístup téměř ke všem Vašim ostatním účtům.

Proč odhlašovat relace

Když se přihlásíte, Váš prohlížeč dostane relační cookie: jakýsi dočasný vstupní lístek, abyste se nemuseli přihlašovat znovu při každém kliknutí. Kdo má tento cookie, je přihlášený. Bez hesla a bez druhého kroku.

Přesně to kradou infostealery: nejen Vaše hesla, ale i Vaše cookies. A útočník, který se přihlásil pomocí Vašeho hesla, má také relaci. Pokud změníte jen heslo, u některých služeb tato relace dál klidně funguje.

Proto po úniku nebo podivném přihlášení u každé důležité služby zkontrolujte přehled aktivních relací nebo zařízení a odhlaste vše, co nepoznáváte, případně vše kromě zařízení, na kterém právě pracujete. U mnoha služeb nové heslo odhlásí všude automaticky; přesto to zkontrolujte.

Přeposílací pravidlo jako zadní vrátka

Případ, jak se to často odehrává. Účetní firmy Pekárna Example klikne na phishingový e-mail a zadá své heslo k e-mailu. Útočník se přihlásí na factuur@example.com a udělá tři věci:

1. Vytvoří pravidlo: každý e-mail obsahující v předmětu „faktura“, „platba“ nebo „IBAN“ se přeposílá na externí adresu leverancier-administratie.example a poté se přesune do koše.
2. Nastaví své vlastní telefonní číslo jako obnovovací číslo.
3. Opět se odhlásí.

Účetní si všimne, že něco není v pořádku, a změní heslo. Vyřešeno, myslí si. Ale pravidlo zůstává aktivní. Útočník týdny spolu s ní čte každou fakturu, a jednoho dne obdrží zákazník „upravenou“ fakturu s jiným IBAN (lekce 1.2). Přes obnovovací číslo si navíc může účet znovu přivlastnit.

Při kontrole e-mailové schránky proto vždy zkontrolujte:

• pravidla a filtry: zejména pravidla pro přeposílání nebo mazání;
• přeposílání v nastavení schránky i v hostingovém panelu;
• automatické odpovědi, které jste si sami nevytvořili;
• hesla aplikací a propojené aplikace: odstraňte vše, co nepoznáváte;
• obnovovací údaje a seznam zařízení u dvoufázového ověření.

Pokud je účet skutečně napaden

Pokud se už nedostanete dovnitř, použijte pouze oficiální postup obnovy dané služby. Najdete ho tak, že na stránku přejdete sami, ne přes odkaz z e-mailu nebo z reklamy ve vyhledávači. Dejte si pozor na „pomoc s obnovou“, kterou nabízí někdo na sociálních sítích nebo kdo sám osloví Vás: často jde o podvodníky, kteří Vás chtějí zasáhnout podruhé.

Poté:

• proveďte kroky 3 až 8 z tabulky výše;
• vytvořte nové obnovovací kódy a zapněte silnější druhý krok ověření (lekce 2.3 a 2.4);
• nahlaste podvod nebo phishing a v případě škody podejte trestní oznámení u Policie České republiky;
• zapište si, co se stalo a kdy. Pokud šlo o údaje zákazníků, může jít o únik dat (lekce 8.2).

V praxi: takto to vypadá

V prostředí WebOké najdete v sekci Můj WebOké u Přihlašovacích údajů kartu Aktivní relace, kde u každé relace vidíte prohlížeč, systém, IP adresu a datum od kdy je aktivní. Jednu relaci můžete odhlásit, nebo odhlásit vše kromě zařízení, na kterém právě pracujete. V Nextcloud najdete u Bezpečnost přehled Zařízení a relace, kde lze zařízení také odebrat nebo vzdáleně vymazat. Přeposílání a filtry e-mailové schránky najdete v hostingovém panelu i ve webmailu. U jiných poskytovatelů to funguje podobně: hledejte „relace“, „zařízení“, „zabezpečení“ nebo „nedávná aktivita“.

Shrnutí

• Na haveibeenpwned.com si sami ověřte, zda se Vaše e-mailová adresa nachází ve známém úniku; Pwned Passwords funguje na principu k-anonymity (odesílá se jen prvních 5 znaků hashe).
• Nebýt v seznamu neznamená být v bezpečí.
• Po úniku: nejprve e-mailová schránka, poté odhlášení relací, kontrola dvoufázového ověření a obnovovacích údajů.
• Změna hesla neodstraní přeposílací pravidla, hesla aplikací ani ukradené relace.
• Napadený účet obnovujte pouze oficiální cestou dané služby.

Kvíz

Úkol

Úkol D2.5: Vaše vlastní kontrola úniků a úklidové kolo. Zkontrolujte si na haveibeenpwned.com své firemní e-mailové adresy a zapněte „Notify me“. U e-mailové schránky a svých nejdůležitějších účtů zkontrolujte aktivní relace, přeposílací pravidla, hesla aplikací a obnovovací údaje a vyčistěte vše, co nepoznáváte. Zaškrtněte checklist a zodpovězte reflektivní otázky. V kurzu nikam nezadáváte e-mailovou adresu ani heslo.

Další čtení

Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje podobně.

• Příručka WebOké 3.6: Zobrazení aktivních relací a odhlášení
• Příručka k Nextcloud 3.6: Zobrazení, odvolání nebo vzdálené vymazání zařízení a sezení
• Příručka k DirectAdmin 3.7: Bezpečná hesla a co dělat při úniku hesla
• Nelze se přihlásit do Nextcloud: heslo, kód nebo omezení přihlašování
• Zabraný e-mail nebo spam z Vaší adresy: jak to vyřešit
• Have I Been Pwned (vyhledání vlastní e-mailové adresy): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (anglicky, vysvětlení k-anonymity): https://haveibeenpwned.com/Passwords
• Nahlášení podvodu nebo phishingu národnímu týmu CSIRT.CZ: https://csirt.cz/