Curenje podataka? Provjera i oporavak

Modul 2: Lozinke i prijava · Vrijeme čitanja: 10 minuta

Cilj učenja: Nakon ove lekcije moći ćete sami provjeriti jesu li Vaši podaci dio nekog curenja podataka, pravilnim redoslijedom reagirati na curenje te vratiti i očistiti preuzeti račun.

Ključni pojmovi: Have I Been Pwned, k-anonimnost, obavijesti o curenju podataka, poništavanje sesija, sesijski kolačić, podaci za oporavak, pravila preusmjeravanja

Kako doznajete da je nešto procurilo

Često to ne doznate. Procurjela lozinka može mjesecima stajati na combo listi prije nego je netko isproba. Zato obratite pažnju na sljedeće znakove:

• Neka usluga Vam šalje e-poštu da je došlo do povrede osobnih podataka. Prvo provjerite je li ta e-poruka stvarno autentična (modul 3): sami otiđite na stranicu umjesto da kliknete na poveznicu.
• Dobijete kod za prijavu ili obavijest o odobrenju koju niste sami zatražili (lekcija 2.3).
• Vidite obavijest "nova prijava s nepoznatog uređaja".
• Klijenti ili kolege dobivaju čudne e-poruke "od Vas", ili Vam nedostaje e-pošta koja je zapravo poslana.
• Vaš upravitelj lozinki upozorava da se neka lozinka pojavljuje u curenju podataka.
• Odjednom se više ne možete prijaviti ili su Vam promijenjeni podaci za oporavak.

Samostalna provjera putem Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) poznata je besplatna usluga koja prikuplja podatke iz javno poznatih povreda podataka. Tamo možete sami pretražiti svoju e-mail adresu. Vidjet ćete u kojim se curenjima ta adresa pojavljuje i koje su vrste podataka pritom bile uključene: samo adrese e-pošte, ili i lozinke, imena, telefonski brojevi ili adrese. Pomoću funkcije "Notify me" dobivate e-poruku kad se Vaša adresa pojavi u novom curenju.

To radite sami, na stranici te usluge. U ovom tečaju nikada od Vas ne tražimo da negdje unesete svoju e-mail adresu ili lozinku.

Postoji i dio Pwned Passwords, kojim upravitelji lozinki i web stranice provjeravaju je li neka lozinka ikad procurila. To funkcionira pomoću k-anonimnosti: Vaša se lozinka na Vašem vlastitom uređaju pretvara u hash (svojevrsni digitalni otisak), a usluzi se šalje samo prvih 5 znakova tog hasha. Usluga vraća sve poznate hasheve koji počinju tim s tih 5 znakova, a Vaš uređaj potom provjerava nalazi li se Vaš potpuni hash među njima. Usluga tako nikad ne vidi Vašu lozinku, štoviše, ni ne zna koji je od stotina vraćenih hasheva zapravo Vaš.

Dvije napomene:

• Nije na popisu ne znači da je sigurno. Curenje koje (još) nije poznato, neće se tamo nalaziti. Infostealeri (lekcija 1.4) kradu i lozinke koje nikad ne završe u objavljenom curenju podataka.
• Jest na popisu ne znači da je sve izgubljeno. Pogledajte koji su podaci procurili i kada. Lozinka koju već godinama ne koristite nije problem; lozinka koju još svugdje koristite jest.

Što prvo učiniti nakon curenja podataka

Redoslijed je bitan. Najvažnije pravilo: prvo svoj poštanski sandučić, jer s pristupom Vašem poštanskom sandučiću napadač putem "zaboravljena lozinka" može preuzeti gotovo sve Vaše druge račune.

Zašto poništiti sesije

Kad se prijavite, Vaš preglednik dobiva sesijski kolačić: svojevrsnu privremenu propusnicu, kako se ne biste morali ponovno prijavljivati pri svakom kliku. Tko ima taj kolačić, prijavljen je. Bez lozinke i bez drugog koraka.

Upravo to kradu infostealeri: ne samo Vaše lozinke, nego i Vaše kolačiće. A napadač koji se prijavio s Vašom lozinkom također ima sesiju. Ako promijenite samo lozinku, kod nekih usluga ta sesija jednostavno nastavlja raditi.

Zato nakon curenja podataka ili sumnjive prijave kod svake važne usluge pogledajte pregled aktivnih sesija ili uređaja, i odjavite sve što ne prepoznajete, ili sve osim uređaja na kojem trenutačno radite. Kod mnogih usluga nova lozinka automatski Vas odjavljuje posvuda; svejedno provjerite.

Pravilo preusmjeravanja kao stražnja vrata

Slučaj kakav se često događa. Knjigovotkinja Pekarnice Example klikne na phishing e-poruku i unese svoju lozinku za e-poštu. Napadač se prijavi na factuur@example.com i učini tri stvari:

1. Napravi pravilo: svaka e-poruka koja u predmetu sadrži "faktura", "plaćanje" ili "IBAN" preusmjerava se na vanjsku adresu na leverancier-administratie.example, a zatim se premješta u koš za smeće.
2. Postavi svoj vlastiti telefonski broj kao broj za oporavak.
3. Ponovno se odjavi.

Knjigovotkinja primijeti da nešto nije u redu i promijeni lozinku. Riješeno, pomisli. No pravilo i dalje radi. Napadač tjednima prati svaku fakturu, i jednog dana klijent dobije "izmijenjenu" fakturu s drugim IBAN-om (lekcija 1.2). Putem broja za oporavak napadač može i vratiti pristup računu.

Zato kod poštanskog sandučića uvijek provjerite:

• pravila i filtre: posebno pravila koja preusmjeravaju ili brišu poruke;
• preusmjeravanje u postavkama poštanskog sandučića i u Vašoj hosting administraciji;
• automatske odgovore koje niste sami postavili;
• lozinke za aplikacije i povezane aplikacije: uklonite ono što ne prepoznajete;
• podatke za oporavak i popis uređaja kod dvofaktorske autentifikacije.

Kad je račun stvarno preuzet

Ako se više ne možete prijaviti, koristite isključivo službeni postupak oporavka te usluge. Pronađite ga tako da sami odete na stranicu, a ne putem poveznice iz e-pošte ili oglasa u tražilici. Pazite na "pomoć pri oporavku" koju Vam nudi netko tko Vas sam kontaktira na društvenim mrežama ili koju sami potražite preko sumnjivog oglasa: to su često prevaranti koji Vas žele pogoditi po drugi put.

Nakon toga:

• napravite korake 3 do 8 iz gornje tablice;
• napravite nove kodove za oporavak i uključite jači drugi korak (lekcije 2.3 i 2.4);
• prijavite prijevaru ili phishing policiji (https://policija.gov.hr/) i Nacionalnom CERT-u (https://www.cert.hr/) te podnesite kaznenu prijavu ako je nastala šteta;
• zapišite što se dogodilo i kada. Ako su posrijedi podaci o klijentima, može biti riječ o povredi osobnih podataka (lekcija 8.2).

U praksi: ovako to izgleda

U okruženju WebOké u Moj WebOké, pod Podaci za prijavu, nalazi se kartica Aktivne sesije, s podacima o pregledniku, sustavu, IP adresi i vremenu trajanja svake sesije. Možete odjaviti jednu sesiju ili se odjaviti posvuda osim na uređaju na kojem trenutačno radite. U Nextcloud pod Security nalazi se pregled Apparaten & sessies (Uređaji i sesije), gdje također možete poništiti uređaj ili ga izbrisati na daljinu. Preusmjeravanje i filtre poštanskog sandučića pronaći ćete u hosting administraciji i u webmailu. Kod drugih pružatelja usluga postupak je sličan: potražite "sesije", "uređaji", "sigurnost" ili "nedavna aktivnost".

Sažetak

• Sami provjerite na haveibeenpwned.com je li Vaša e-mail adresa dio poznatog curenja podataka; Pwned Passwords radi na principu k-anonimnosti (šalje se samo prvih 5 znakova hasha).
• Nije na popisu nije isto što i sigurno.
• Nakon curenja podataka: prvo poštanski sandučić, zatim poništavanje sesija te provjera dvofaktorske autentifikacije i podataka za oporavak.
• Promjena lozinke ne uklanja pravila preusmjeravanja, lozinke za aplikacije niti ukradene sesije.
• Preuzeti račun vraćate isključivo službenim putem te usluge.

Kviz

Zadatak

Zadatak D2.5: Vlastita provjera curenja podataka i krug čišćenja. Sami na haveibeenpwned.com provjerite svoje poslovne e-mail adrese i uključite "Notify me". Kod svog poštanskog sandučića i najvažnijih računa pregledajte aktivne sesije, pravila preusmjeravanja, lozinke za aplikacije i podatke za oporavak, te uklonite ono što ne prepoznajete. Označite kontrolni popis i odgovorite na pitanja za razmišljanje. U tečaju ne unosite nikakvu e-mail adresu ni lozinku.

Dodatno štivo

Koraci u WebOké člancima vrijede za WebOké okruženje; kod drugih pružatelja usluga postupak je sličan.

• Priručnik za WebOké 3.6: Pregled aktivnih sesija i odjava
• Nextcloud priručnik 3.6: Uređaje i sesije pregledati, opozvati ili daljinski izbrisati
• DirectAdmin priručnik 3.7: Sigurne lozinke i što učiniti kod procurjele lozinke
• Prijava na Nextcloud nije moguća: lozinka, kod ili ograničenje pokušaja prijave
• Preuzeta poštanska pretinac ili neželjena pošta s Vaše adrese: kako to riješiti
• Have I Been Pwned (sami provjerite svoju e-mail adresu): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (na engleskom, objašnjenje k-anonimnosti): https://haveibeenpwned.com/Passwords
• Prijava prijevare ili phishinga Nacionalnom CERT-u: https://www.cert.hr/