Preluarea contului și încălcările securității datelor

Modulul 1: De ce sunteți o țintă · Timp de citire: 10 minute

Obiectiv de învățare: După această lecție veți putea explica modul în care sunt refolosite datele de autentificare furate și ce se întâmplă cu datele scurse.
Concepte cheie: preluarea contului, credential stuffing, infostealer, cookie de sesiune, încălcare a securității datelor, date cu caracter personal, listă combo

Autentificare în loc de spargere

Cel mai simplu mod de a pătrunde într-un sistem nu este căutarea unei breșe, ci pur și simplu autentificarea. Cine are adresa dumneavoastră de e-mail și parola nu trebuie să spargă nimic. Pentru sistem, el este pur și simplu dumneavoastră. Aceasta se numește preluarea contului: altcineva preia un cont și îl folosește ca și cum ar fi proprietarul.

Pentru o afacere mică, căsuța de e-mail este cel mai important cont. Cine are căsuța dumneavoastră de e-mail poate:

• să resetați, prin „am uitat parola”, parolele aproape tuturor celorlalte conturi ale dumneavoastră;
• să citească e-mailurile dumneavoastră și să trimită exact la momentul potrivit o factură falsă (lecția 1.2);
• să trimită e-mailuri în numele dumneavoastră către clienți, care au încredere în dumneavoastră;
• să configureze o regulă de redirecționare, astfel încât să primească pe ascuns în continuare o copie a tuturor e-mailurilor, chiar și după ce v-ați schimbat parola (lecția 2.5).

Dar cum ajunge un atacator la parola dumneavoastră? Există trei căi principale: o introduceți chiar dumneavoastră pe un site fals (phishing, modulul 3), aceasta scapă la un alt serviciu unde ați folosit-o de asemenea, sau un program dăunător de pe calculatorul dumneavoastră o fură. Pe ultimele două le tratăm aici.

Credential stuffing: o singură scurgere, încercată peste tot

Site-urile web sunt sparte în mod regulat. La o astfel de scurgere ajung adesea pe internet adresele de e-mail și parolele utilizatorilor, uneori lizibile, alteori într-o formă care poate fi recalculată cu putere de calcul. Aceste date sunt colectate, combinate și tranzacționate în liste uriașe de adrese de e-mail cu parole: liste combo.

Cu o astfel de listă, un atacator face credential stuffing: încearcă automat fiecare pereche de adresă de e-mail și parolă pe alte servicii. OWASP, o organizație cunoscută și deschisă pentru securitatea web, descrie acest lucru ca introducerea automatizată a datelor de autentificare furate pentru a obține acces la conturi. Funcționează dintr-un singur motiv: oamenii folosesc aceeași parolă în mai multe locuri.

Un exemplu. Petra de la Brutăria Example și-a creat acum ani de zile un cont la un magazin online de articole de patiserie, cu info@example.com și parola pe care o folosea atunci peste tot. Acel magazin online este spart. Un an mai târziu, combinația ei apare într-o listă combo. Un program o încearcă într-o singură noapte pe:

Petra nu observă nimic: nu a văzut niciun e-mail de phishing și nu a dat clic pe nimic. Lecțiile de aici: o parolă unică pentru fiecare serviciu previne răspândirea unei singure scurgeri (lecțiile 2.1 și 2.2), iar autentificarea în doi pași oprește un atacator care are totuși parola corectă (lecția 2.3). Puteți verifica personal pe https://haveibeenpwned.com dacă adresa dumneavoastră de e-mail apare într-o scurgere cunoscută.

O greșeală frecventă este un „sistem” de variere a parolelor: Bakkerij2025! pentru e-mail și Bakkerij2025!boekhouding pentru contabilitate. Programele care folosesc liste combo încearcă și astfel de variante evidente.

Infostealers: parola direct de pe calculatorul dumneavoastră

Un infostealer este un program dăunător care colectează date de pe calculatorul dumneavoastră și le trimite atacatorului. Microsoft descrie că infostealerii preiau din browsere, printre altele, numele de utilizator și parolele salvate, cookie-urile de sesiune, datele completate automat în formulare și datele cardurilor de credit. Un astfel de program ajunge la dumneavoastră, de exemplu, printr-un fals download („versiune gratuită a unui program scump”), un atașament, o reclamă falsă sau un site care cere să copiați și să lipiți o comandă „pentru a rezolva o problemă”.

Un infostealer funcționează adesea în câteva minute și apoi dispare din nou. Prada, un așa-numit log cu toate datele de pe acel calculator, este vândută. Uneori este folosită abia ani mai târziu.

De ce un cookie de sesiune este atât de periculos

Când vă autentificați pe un site web, cu parolă și autentificare în doi pași, browserul dumneavoastră primește un cookie de sesiune: un fișier mic care, la fiecare cerere ulterioară, arată că sunteți deja autentificat. De aceea nu trebuie să introduceți din nou codul la fiecare clic.

Cine fură acel cookie îl poate pune în propriul browser și este astfel și el autentificat. Nu are nevoie de parola dumneavoastră și nici de al doilea factor, pentru că autentificarea a avut deja loc. MITRE ATT&CK, o bază de cunoștințe publică despre tehnicile de atac, spune textual: cookie-urile de sesiune pot fi folosite pentru a ocoli unele forme de autentificare multifactor.

Ce ajută împotriva infostealerilor și a cookie-urilor furate:

• nu instalați software din surse necunoscute și nu lucrați cu un cont de administrator, astfel încât instalarea să nu reușească ușor (lecția 5.2);
• actualizați sistemul de operare și browserul (lecția 5.1);
• după o infectare, curățați mai întâi calculatorul sau reinstalați-l, după aceea schimbați parolele de pe un dispozitiv curat și revocați toate sesiunile, astfel încât cookie-urile furate să devină nevalide (lecțiile 2.5 și 3.5);
• metode de autentificare rezistente la phishing, precum passkey-urile, care fac imposibilă furarea datelor de autentificare prin site-uri false (lecția 2.4).

Ce este o încălcare a securității datelor

Până acum a fost vorba despre propriile dumneavoastră conturi. Dar dacă un atacator se află în căsuța dumneavoastră de e-mail, în contabilitatea sau în magazinul dumneavoastră online, vede și date ale altora: clienți, angajați, membri. Atunci este vorba despre o încălcare a securității datelor.

GDPR definește datele cu caracter personal ca fiind orice informație referitoare la o persoană identificată sau identificabilă: un nume, o adresă de e-mail, un număr de telefon, o adresă, dar și un număr de client care poate fi asociat unei persoane. O încălcare a securității datelor (în GDPR: o încălcare a securității datelor cu caracter personal, articolul 4 punctul 12) este o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor cu caracter personal sau la accesul neautorizat la acestea.

O încălcare a securității datelor nu trebuie să fie un atac cibernetic. Și acestea pot fi o încălcare a securității datelor:

• un e-mail cu o listă de clienți trimis destinatarului greșit;
• un laptop furat sau pierdut fără criptare;
• un link de partajare către un folder cu CV-uri care este public pe internet;
• o căsuță de e-mail preluată în care se află facturi cu nume și adrese;
• fișiere criptate de ransomware pentru care nu aveți o copie de siguranță (distrugere și pierdere).

O încălcare a securității datelor implică obligații: înregistrați fiecare încălcare a securității datelor într-un registru al încălcărilor de securitate a datelor, o notificați în termen de 72 de ore la ANSPDCP, cu excepția cazului în care este puțin probabil să genereze un risc pentru persoanele vizate, iar în caz de risc ridicat informați și persoanele în cauză. Cum funcționează exact acest lucru, veți învăța în lecția 8.2. Pentru moment este important să nu priviți o preluare de cont doar ca pe „problema noastră”: adesea afectează și persoanele ale căror date le dețineți.

Ce se întâmplă cu datele scurse

Datele scurse nu dispar. Sunt copiate, combinate și revândute. De aceea, o scurgere are efecte care se resimt mult timp:

• Refolosire: parolele ajung în liste combo pentru credential stuffing.
• Phishing mai bun: cu numele dumneavoastră, clienții dumneavoastră și ultima dumneavoastră comandă, un escroc creează un e-mail convingător. Un client care primește în săptămâna următoare unei scurgeri de la magazinul dumneavoastră online o „reamintire de plată” aparent de la dumneavoastră, plătește mai repede.
• Fraudă de identitate: cu suficiente date despre o persoană, un escroc poate deschide conturi sau se poate da drept acea persoană.
• Șantaj: „plătiți, altfel le spunem clienților dumneavoastră că datele lor au scăpat la dumneavoastră” (lecția 1.3).

De aceea, a păstra mai puține date este și o măsură de securitate. Datele pe care nu le aveți nu pot nici scăpa.

Rezumat

• La o preluare de cont, atacatorul pur și simplu se autentifică; căsuța de e-mail este cel mai important cont, deoarece cu ea puteți reseta alte parole.
• Credential stuffing încearcă automat combinații scurse de adresă de e-mail și parolă din liste combo pe alte servicii; parolele unice și 2FA opresc acest lucru.
• Infostealerii fură parole și cookie-uri de sesiune din browser; cu un cookie furat, un atacator poate ocoli unele forme de 2FA, deci revocați toate sesiunile după o infectare.
• O încălcare a securității datelor este orice încălcare a securității datelor cu caracter personal, chiar și un e-mail trimis greșit sau un laptop pierdut.
• Datele scurse sunt refolosite pentru noi atacuri; a păstra mai puține date înseamnă mai puțin risc.

Test

Exercițiu

Exercițiul A1.4: O singură scurgere de date, care conturi sunt în pericol? Primiți o prezentare generală a conturilor unei afaceri mici: ce parolă (notată W1, W2 etc., niciodată o parolă reală) corespunde cărui serviciu și dacă autentificarea în doi pași este activă. Apoi un serviciu suferă o scurgere. Indicați care conturi sunt în pericol imediat, în ce ordine le abordați și dacă este vorba despre o încălcare a securității datelor. Programul verifică și explică.

Lecturi suplimentare

Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar.

• Manual DirectAdmin 3.7: Parole sigure și ce faceți în cazul unei parole compromise
• Manual WebOké 3.6: Vizualizarea și deconectarea sesiunilor active
• Have I Been Pwned (verificați personal dacă adresa dumneavoastră de e-mail apare într-o scurgere cunoscută): https://haveibeenpwned.com
• OWASP, Credential stuffing (în limba engleză): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (în limba engleză): https://attack.mitre.org/techniques/T1539/
• GDPR (Regulamentul (UE) 2016/679), textul oficial: https://eur-lex.europa.eu/eli/reg/2016/679/oj