Konta pārņemšana un datu aizsardzības pārkāpumi

1. modulis: Kāpēc Jūs esat mērķis · Lasīšanas laiks: 10 minūtes

Mērķis: pēc šīs nodarbības Jūs varēsiet izskaidrot, kā tiek atkārtoti izmantoti nozagti pieteikšanās dati un kas notiek ar noplūdušiem datiem.
Pamatjēdzieni: konta pārņemšana, credential stuffing, infostealer, sesijas sīkdatne, datu aizsardzības pārkāpums, personas dati, combo saraksts

Pieteikšanās ielaušanās vietā

Visvienkāršākais veids, kā iekļūt sistēmā, nav ievainojamības meklēšana, bet vienkārši pieteikšanās. Tam, kam ir Jūsu e-pasta adrese un parole, nekas nav jāuzlauž. Sistēmai viņš vienkārši ir Jūs. To sauc par konta pārņemšanu: kāds cits pārņem kontu un izmanto to tā, it kā būtu tā īpašnieks.

Mazam uzņēmumam pastkastīte ir vissvarīgākais konts. Tas, kam ir Jūsu pastkastīte, var:

• izmantojot "aizmirsu paroli", no jauna uzstādīt paroles gandrīz visiem pārējiem Jūsu kontiem;
• lasīt Jūsu e-pastu un tieši īstajā brīdī nosūtīt viltus rēķinu (1.2. nodarbība);
• Jūsu vārdā sūtīt e-pastus klientiem, kuri Jums uzticas;
• iestatīt pārsūtīšanas noteikumu, lai nepamanīti turpinātu saņemt visu e-pasta kopiju, arī pēc tam, kad Jūs esat mainījis paroli (2.5. nodarbība).

Bet kā uzbrucējs iegūst Jūsu paroli? Ir trīs galvenie ceļi: Jūs paši to ievadāt viltus vietnē (pikšķerēšana, 3. modulis), tā noplūst kādā citā pakalpojumā, kur Jūs to arī esat izmantojuši, vai arī ļaunprātīga programmatūra to nozog no Jūsu datora. Pēdējos divus aplūkosim šeit.

Credential stuffing: viena noplūde, izmēģināta visur

Tīmekļa vietnes regulāri tiek uzlauztas. Šādas noplūdes rezultātā bieži publiski nonāk lietotāju e-pasta adreses un paroles, dažkārt salasāmā veidā, dažkārt formā, ko ar skaitļošanas jaudu var atšifrēt. Šie dati tiek apkopoti, apvienoti un tirgoti milzīgos e-pasta adrešu un paroļu sarakstos: combo sarakstos.

Izmantojot šādu sarakstu, uzbrucējs veic credential stuffing: viņš automātiski izmēģina katru e-pasta adreses un paroles pāri citos pakalpojumos. OWASP, pazīstama atvērta tīmekļa drošības organizācija, to raksturo kā automatizētu nozagtu pieteikšanās datu ievadīšanu, lai iegūtu piekļuvi kontiem. Tas darbojas viena iemesla dēļ: cilvēki vairākās vietās izmanto to pašu paroli.

Piemērs. Pētere no Bakkerij Example pirms vairākiem gadiem izveidojusi kontu konditorejas piederumu interneta veikalā, izmantojot info@example.com un paroli, ko toreiz lietoja visur. Šis interneta veikals tiek uzlauzts. Gadu vēlāk viņas kombinācija parādās combo sarakstā. Programma to vienā naktī izmēģina:

Pētere neko nepamana: viņa nav redzējusi pikšķerēšanas e-pastu un uz neko nav klikšķinājusi. Secinājumi: unikāla parole katram pakalpojumam novērš vienas noplūdes izplatīšanos (2.1. un 2.2. nodarbība), un divu faktoru autentifikācija aptur uzbrucēju, kuram gan ir pareizā parole (2.3. nodarbība). Jūs pats varat pārbaudīt vietnē https://haveibeenpwned.com, vai Jūsu e-pasta adrese parādās kādā zināmā noplūdē.

Bieži pieļauta kļūda ir "sistēma" paroļu dažādošanai: Bakkerij2025! pastam un Bakkerij2025!boekhouding grāmatvedībai. Programmas, kas izmanto combo sarakstus, izmēģina arī šādus acīmredzamus variantus.

Infostealers: parole tieši no Jūsu datora

Infostealer ir ļaunprātīga programmatūra, kas apkopo datus no Jūsu datora un nosūta tos uzbrucējam. Microsoft apraksta, ka infostealers cita starpā no pārlūkprogrammām iegūst saglabātus lietotājvārdus un paroles, sesijas sīkdatnes, automātiski aizpildītus veidlapu datus un maksājumu karšu datus. Šādu programmu Jūs varat iegūt, piemēram, ar viltus lejupielādi ("dārgas programmas bezmaksas versija"), pielikumu, viltus reklāmu vai vietni, kas lūdz kopēt un ielīmēt komandu, "lai atrisinātu problēmu".

Infostealer bieži darbojas dažas minūtes un tad pazūd. Ieguvums, tā sauktais žurnāls ar visiem konkrētā datora datiem, tiek pārdots. Dažkārt to izmanto gadiem vēlāk.

Kāpēc sesijas sīkdatne ir tik bīstama

Kad Jūs piesakāties tīmekļa vietnē, izmantojot paroli un divu faktoru autentifikāciju, Jūsu pārlūkprogramma saņem sesijas sīkdatni: nelielu failu, kas katrā nākamajā pieprasījumā parāda, ka Jūs jau esat pieteicies. Tāpēc Jums nav katru reizi no jauna jāievada kods.

Tas, kurš nozog šo sīkdatni, var ievietot to savā pārlūkprogrammā un tādējādi arī būt pieteicies. Viņam nav vajadzīga ne Jūsu parole, ne otrais faktors, jo pieteikšanās jau ir notikusi. MITRE ATT&CK, publiski pieejama uzbrukuma tehniku zināšanu bāze, to apraksta tiešā tekstā: sesijas sīkdatnes var izmantot, lai apietu dažus daudzfaktoru autentifikācijas veidus.

Kas palīdz pret infostealers un nozagtām sīkdatnēm:

• neinstalēt programmatūru no nezināmiem avotiem un nestrādāt ar administratora kontu, lai instalēšana tik vienkārši neizdotos (5.2. nodarbība);
• atjaunināt operētājsistēmu un pārlūkprogrammu (5.1. nodarbība);
• pēc inficēšanās vispirms notīrīt vai pārinstalēt datoru, pēc tam no tīras ierīces mainīt paroles un atsaukt visas sesijas, lai nozagtās sīkdatnes vairs nebūtu derīgas (2.5. un 3.5. nodarbība);
• pikšķerēšanai noturīgas pieteikšanās metodes, piemēram, passkeys, kas padara pieteikšanās datu zagšanu caur viltus vietnēm neiespējamu (2.4. nodarbība).

Kas ir datu aizsardzības pārkāpums

Līdz šim runa bija par Jūsu pašu kontiem. Bet, ja uzbrucējs atrodas Jūsu pastkastītē, grāmatvedībā vai interneta veikalā, viņš redz arī citu cilvēku datus: klientu, darbinieku, biedru. Tad runa ir par datu aizsardzības pārkāpumu.

DSGVO (GDPR) definē personas datus kā jebkuru informāciju par identificētu vai identificējamu personu: vārdu, e-pasta adresi, tālruņa numuru, adresi, bet arī klienta numuru, ko var saistīt ar konkrētu personu. Datu aizsardzības pārkāpums (DSGVO terminoloģijā: personas datu aizsardzības pārkāpums, 4. panta 12. punkts) ir drošības pārkāpums, kas nejauši vai nelikumīgi izraisa personas datu iznīcināšanu, nozaudēšanu, pārveidošanu vai neatļautu izpaušanu vai piekļuvi tiem.

Datu aizsardzības pārkāpumam nav obligāti jābūt uzlaušanai. Arī šādi gadījumi var būt datu aizsardzības pārkāpums:

• e-pasts ar klientu sarakstu, kas nosūtīts nepareizam adresātam;
• nozagts vai pazaudēts klēpjdators bez šifrēšanas;
• koplietošanas saite uz mapi ar CV, kas publiski pieejama internetā;
• pārņemta pastkastīte, kurā ir rēķini ar vārdiem un adresēm;
• faili, kurus izspiedējvīruss šifrējis un no kuriem Jums nav rezerves kopijas (iznīcināšana un nozaudēšana).

Ar datu aizsardzības pārkāpumu ir saistīti pienākumi: Jūs reģistrējat katru datu aizsardzības pārkāpumu datu aizsardzības pārkāpumu reģistrā, 72 stundu laikā par to ziņojat Datu valsts inspekcijai (DVI), ja vien tas, visticamāk, nerada risku attiecīgajām personām, un augsta riska gadījumā informējat arī pašas skartās personas. Kā tas tieši darbojas, Jūs uzzināsiet 8.2. nodarbībā. Pagaidām ir svarīgi saprast, ka konta pārņemšana nav tikai "mūsu problēma": bieži tā skar arī cilvēkus, kuru dati Jums ir.

Kas notiek ar noplūdušiem datiem

Noplūdušie dati nekur nepazūd. Tie tiek kopēti, apvienoti un tālākpārdoti. Tāpēc noplūdei ir sekas, kas ilgi turpina darboties:

• Atkārtota izmantošana: paroles nonāk combo sarakstos credential stuffing vajadzībām.
• Labāka pikšķerēšana: ar Jūsu vārdu, Jūsu klientiem un Jūsu pēdējo pasūtījumu krāpnieks izveido pārliecinošu e-pastu. Klients, kurš nedēļu pēc noplūdes Jūsu interneta veikalā saņem no Jums "maksājuma atgādinājumu", samaksā ātrāk.
• Identitātes zādzība: ar pietiekami daudz datu par personu krāpnieks var atvērt kontus vai izlikties par šo personu.
• Izspiešana: "maksājiet, vai arī mēs pastāstīsim Jūsu klientiem, ka viņu dati pie Jums ir noplūduši" (1.3. nodarbība).

Tāpēc datu mazāka uzglabāšana arī ir drošības pasākums. Dati, kuru Jums nav, arī nevar noplūst.

Kopsavilkums

• Konta pārņemšanas gadījumā uzbrucējs vienkārši piesakās; pastkastīte ir vissvarīgākais konts, jo ar to Jūs atjaunojat citas paroles.
• Credential stuffing automātiski izmēģina noplūdušas e-pasta adreses un paroļu kombinācijas no combo sarakstiem citos pakalpojumos; unikālas paroles un 2FA to aptur.
• Infostealers zog paroles un sesijas sīkdatnes no pārlūkprogrammas; ar nozagtu sīkdatni uzbrucējs var apiet dažus 2FA veidus, tāpēc pēc inficēšanās atsauciet visas sesijas.
• Datu aizsardzības pārkāpums ir jebkurš personas datu drošības pārkāpums, arī nepareizi nosūtīts e-pasts vai pazaudēts klēpjdators.
• Noplūdušie dati tiek atkārtoti izmantoti jauniem uzbrukumiem; mazāka datu uzglabāšana nozīmē mazāku risku.

Tests (quiz)

Uzdevums

Uzdevums A1.4: Viena noplūde, kuri konti ir apdraudēti? Jūs saņemsiet pārskatu par neliela uzņēmuma kontiem: kura parole (apzīmēta kā W1, W2 un tā tālāk, nekad īsta parole) atbilst kuram pakalpojumam un vai ir ieslēgta divu faktoru autentifikācija. Pēc tam noplūst viens pakalpojums. Norādiet, kuri konti ir tieši apdraudēti, kādā secībā Jūs tos risinātu un vai tas ir datu aizsardzības pārkāpums. Programma pārbaudīs un paskaidros.

Papildu lasāmviela

Soļi WebOké rakstos attiecas uz WebOké vidi; citiem pakalpojumu sniedzējiem darbība ir līdzīga.

• DirectAdmin rokasgrāmata 3.7: Drošas paroles un kas jādara, ja parole ir noplūdusi
• WebOké rokasgrāmata 3.6: Aktīvo sesiju apskate un iziešana
• Have I Been Pwned (pats pārbaudiet, vai Jūsu e-pasta adrese ir kādā zināmā noplūdē): https://haveibeenpwned.com
• OWASP, Credential stuffing (angļu valodā): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (angļu valodā): https://attack.mitre.org/techniques/T1539/
• DSGVO (Regula (ES) 2016/679), oficiālais teksts: https://eur-lex.europa.eu/eli/reg/2016/679/oj