Konto ülevõtmine ja andmelekked

Moodul 1: Miks oled just sina sihtmärk · Lugemisaeg: 10 minutit

Õppeeesmärk: pärast seda õppetundi oskad selgitada, kuidas varastatud sisselogimisandmeid korduvalt kasutatakse ja mis juhtub lekkinud andmetega.
Põhimõisted: konto ülevõtmine, credential stuffing, infostealer, seansiküpsis, andmeleke, isikuandmed, kombolist

Sisselogimine, mitte sissemurdmine

Kõige lihtsam viis süsteemi siseneda ei ole turvaauku otsida, vaid lihtsalt sisse logida. Kellel on sinu e-posti aadress ja parool, ei pea midagi häkkima. Ta on süsteemi jaoks lihtsalt sina. Seda nimetatakse konto ülevõtmiseks: keegi teine võtab konto üle ja kasutab seda, nagu oleks ta selle omanik.

Väikese ettevõtte jaoks on kõige tähtsam konto postkast. Kellel on sinu postkast, saab:

• funktsiooni "unustasin parooli" abil lähtestada peaaegu kõigi su teiste kontode paroolid;
• lugeda su kirjavahetust kaasa ja saata täpselt õigel hetkel valearve (õppetund 1.2);
• saata sinu nimel kirju klientidele, kes sind usaldavad;
• seadistada edastusreegli, nii et ta saab märkamatult jätkuvalt koopia kõigist kirjadest, isegi pärast seda, kui oled oma parooli muutnud (õppetund 2.5).

Aga kuidas ründaja su parooli kätte saab? Selleks on kolm peamist teed: sisestad selle ise valesaidile (andmepüük, moodul 3), see lekib mõnest teisest teenusest, kus oled sama parooli kasutanud, või varastab selle sinu arvutisse jõudnud pahavara. Viimased kahte käsitleme siin.

Credential stuffing: üks leke, proovitakse kõikjal

Veebisaite häkitakse regulaarselt. Sellise lekke käigus satub tihti avalikkuse ette kasutajate e-posti aadresse ja paroole, mõnikord loetaval kujul, mõnikord kujul, mis on arvutusvõimsusega tagasi arvutatav. Need andmed kogutakse kokku, ühendatakse ja neid kaubeldakse tohutute e-posti aadresside ja paroolide nimekirjadena: kombolistid.

Sellise nimekirjaga teeb ründaja credential stuffingut: ta proovib iga e-posti aadressi ja parooli paari automaatselt teistes teenustes. OWASP, tuntud avatud veebiturbe organisatsioon, kirjeldab seda kui varastatud sisselogimisandmete automatiseeritud sisestamist, et pääseda ligi kontodele. See toimib ühel põhjusel: inimesed kasutavad sama parooli mitmes kohas.

Üks näide. Petra ettevõttest Bakkerij Example lõi aastaid tagasi konto küpsetustarvikute e-poes, kasutades aadressi info@example.com ja tol ajal kõikjal kasutatud parooli. See e-pood häkitakse. Aasta hiljem on tema kombinatsioon kombolistis. Programm proovib seda ühe öö jooksul järgmistes kohtades:

Petra ei märka midagi: ta pole näinud andmepüügikirja ega kuhugi klõpsanud. Siit tulenevad õppetunnid: iga teenuse jaoks unikaalne parool takistab ühe lekke levimist (õppetunnid 2.1 ja 2.2), ning kaheastmeline autentimine (2FA) peatab ründaja, kellel on õige parool (õppetund 2.3). Sa saad ise aadressil https://haveibeenpwned.com kontrollida, kas su e-posti aadress esineb mõnes teadaolevas lekkes.

Levinud viga on paroolide varieerimise "süsteem": Bakkerij2025! posti jaoks ja Bakkerij2025!boekhouding raamatupidamise jaoks. Programmid, mis kasutavad kombolistasid, proovivad ka selliseid ilmseid variante.

Infostealerid: parool otse su arvutist

Infostealer on pahavara, mis kogub andmeid sinu arvutist ja saadab need ründajale. Microsoft kirjeldab, et infostealerid hangivad brauseritest muuhulgas salvestatud kasutajanimesid ja paroole, seansiküpsiseid, automaatselt täidetud vormiandmeid ja krediitkaardiandmeid. Sellise programmi saad näiteks valelaadimise ("kalli programmi tasuta versioon"), manuse, valereklaami või saidi kaudu, mis palub kopeerida ja kleepida käsu, et "lahendada probleem".

Infostealer töötab sageli vaid mõne minuti ja kaob siis. Saak, nn logifail selle ühe arvuti kõigi andmetega, müüakse edasi. Mõnikord kasutatakse seda alles aastaid hiljem.

Miks seansiküpsis on nii ohtlik

Kui logid sisse veebisaidile parooli ja kaheastmelise autentimisega, saab su brauser seansiküpsise: väikese faili, mis näitab iga järgmise päringu juures, et oled juba sisse logitud. Tänu sellele ei pea sa iga klõpsu juures uuesti koodi sisestama.

Kes selle küpsise varastab, saab selle panna oma brauserisse ja on siis samuti sisse logitud. Tal pole vaja su parooli ega teist faktorit, sest sisselogimine on juba toimunud. MITRE ATT&CK, avalik rünnakutehnikate teadmusbaas, ütleb seda otsesõnu: seansiküpsiseid saab kasutada mõningate mitmefaktorilise autentimise vormide möödahiilimiseks.

Mis aitab infostealerite ja varastatud küpsiste vastu:

• mitte paigaldada tarkvara tundmatutest allikatest ja mitte töötada administraatorikontoga, nii et paigaldamine ei õnnestu lihtsalt niisama (õppetund 5.2);
• hoia oma operatsioonisüsteem ja brauser uuendatuna (õppetund 5.1);
• nakatumise järel puhasta arvuti kõigepealt või installi see uuesti, seejärel muuda puhtast seadmest paroole ja tühista kõik seansid, nii et varastatud küpsised muutuvad kehtetuks (õppetunnid 2.5 ja 3.5);
• andmepüügikindlad sisselogimismeetodid, nagu passkey'd, mis muudavad sisselogimisandmete varastamise valesaitide kaudu võimatuks (õppetund 2.4).

Mis on andmeleke

Seni rääkisime sinu enda kontodest. Aga kui ründaja on sinu postkastis, raamatupidamises või e-poes, näeb ta ka teiste andmeid: klientide, töötajate, liikmete omi. Siis on tegemist andmelekkega.

Isikuandmete kaitse üldmäärus (GDPR) defineerib isikuandmed kui igasuguse teabe tuvastatud või tuvastatava isiku kohta: nimi, e-posti aadress, telefoninumber, aadress, aga ka kliendinumber, mille saab isikuga siduda. Andmeleke (GDPR-is: isikuandmetega seotud rikkumine, artikkel 4 punkt 12) on turvarikkumine, mis põhjustab juhuslikult või ebaseaduslikult isikuandmete hävimise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu.

Andmeleke ei pea olema häkkimine. Ka need on andmelekked:

• kiri kliendinimekirjaga, mis saadetakse valele saajale;
• varastatud või kadunud sülearvuti ilma krüpteerimiseta;
• jagamislink CV-de kaustale, mis on internetis avalikult kättesaadav;
• ülevõetud postkast, kus on arved nimede ja aadressidega;
• failid, mis on lunavara poolt krüpteeritud ja millest sul puudub varukoopia (hävimine ja kaotsiminek).

Andmelekkega kaasnevad kohustused: sa fikseerid iga andmelekke andmelekke registris, teatad sellest 72 tunni jooksul Andmekaitse Inspektsioonile (AKI), välja arvatud juhul, kui see tõenäoliselt ei kujuta ohtu asjaomastele isikutele, ning suure riski korral teavitad ka inimesi endid. Kuidas see täpselt toimib, õpid õppetunnist 8.2. Praegu on tähtis mõista, et konto ülevõtmine ei ole ainult "meie probleem": see puudutab tihti ka inimesi, kelle andmeid sul on.

Mis juhtub lekkinud andmetega

Lekkinud andmed ei kao kuhugi. Neid kopeeritakse, ühendatakse ja müüakse edasi. Seetõttu on lekkel tagajärjed, mis kestavad kaua:

• Korduskasutus: paroolid satuvad kombolistidesse credential stuffingu jaoks.
• Parem andmepüük: su nime, klientide ja viimase tellimuse abil koostab petis veenva kirja. Klient, kes saab nädal pärast sinu e-poe lekget sinult "maksemeeldetuletuse", maksab kiiremini.
• Identiteedipettus: piisavate andmetega isiku kohta saab petis avada kontosid või esineda selle isikuna.
• Väljapressimine: "maksa, või räägime su klientidele, et nende andmed lekkisid sinu juurest" (õppetund 1.3).

Seetõttu on vähem hoidmine ka turvameede. Andmed, mida sul pole, ei saa ka lekkida.

Kokkuvõte

• Konto ülevõtmisel logib ründaja lihtsalt sisse; postkast on kõige tähtsam konto, sest selle abil taastad teiste kontode paroole.
• Credential stuffing proovib lekkinud e-posti aadressi ja parooli kombinatsioone kombolistidest automaatselt teistes teenustes; unikaalsed paroolid ja 2FA peatavad selle.
• Infostealerid varastavad paroole ja seansiküpsiseid brauserist; varastatud küpsisega saab ründaja möödumise osast 2FA-st, seega tühista nakatumise järel kõik seansid.
• Andmeleke on iga isikuandmete turvarikkumine, ka valesti saadetud kiri või kadunud sülearvuti.
• Lekkinud andmeid kasutatakse uute rünnakute jaoks uuesti; vähem hoidmine tähendab vähem riski.

Test

Ülesanne

Ülesanne A1.4: Üks lekе, millised kontod on ohus? Sa saad ülevaate väikese ettevõtte kontodest: milline parool (tähistatud kui W1, W2 jne, mitte kunagi päris parool) kuulub millise teenuse juurde ja kas kaheastmeline autentimine on sisse lülitatud. Seejärel lekib üks teenus. Märgi, millised kontod on kohe ohus, millises järjekorras nendega tegeled ja kas tegemist on andmelekkega. Programm kontrollib ja selgitab.

Rohkem lugemist

WebOké artiklites toodud sammud kehtivad WebOké keskkonnas; teiste pakkujate juures toimib see sarnaselt.

• DirectAdmin juhend 3.7: Turvalised paroolid ja mida teha lekkinud parooli korral
• WebOké juhend 3.6: Aktiivsete seansside vaatamine ja väljalogimine
• Have I Been Pwned (kontrolli ise, kas su e-posti aadress esineb teadaolevas lekkes): https://haveibeenpwned.com
• OWASP, Credential stuffing (inglise keeles): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (inglise keeles): https://attack.mitre.org/techniques/T1539/
• Isikuandmete kaitse üldmäärus (määrus (EL) 2016/679), ametlik tekst: https://eur-lex.europa.eu/eli/reg/2016/679/oj