Preuzimanje računa i povrede osobnih podataka

Modul 1: Zašto ste Vi meta · Vrijeme čitanja: 10 minuta

Cilj učenja: Nakon ove lekcije moći ćete objasniti kako se ukradeni podaci za prijavu ponovno koriste i što se događa s podacima koji procure.
Ključni pojmovi: preuzimanje računa, credential stuffing, infostealer, sesijski kolačić, povreda osobnih podataka, osobni podaci, kombolista

Prijava umjesto provale

Najlakši način da se netko ubaci u sustav nije traženje propusta, nego jednostavno prijava. Tko ima Vašu e-poštu i lozinku, ne mora ništa hakirati. Za sustav je jednostavno Vi. To se zove preuzimanje računa: netko drugi preuzima račun i koristi ga kao da je vlasnik.

Za malu tvrtku poštanski sandučić je najvažniji račun. Tko ima pristup Vašem poštanskom sandučiću, može:

• putem funkcije "zaboravljena lozinka" ponovno postaviti lozinke za gotovo sve Vaše druge račune;
• čitati Vašu poštu i poslati lažni račun u pravom trenutku (lekcija 1.2);
• u Vaše ime slati poštu klijentima koji Vam vjeruju;
• postaviti pravilo za prosljeđivanje, tako da neopaženo nastavi primati kopiju sve pošte, čak i nakon što promijenite lozinku (lekcija 2.5).

Ali kako napadač dođe do Vaše lozinke? Postoje tri glavna puta: sami je unesete na lažnu stranicu (phishing, modul 3), procuri kod neke druge usluge gdje ste je također koristili, ili je zlonamjerni softver na Vašem računalu ukrade. Posljednja dva razmotrit ćemo ovdje.

Credential stuffing: jedna povreda, isprobava se posvuda

Web stranice se redovito hakiraju. Kod takve povrede često procure e-adrese i lozinke korisnika, ponekad čitljive, ponekad u obliku koji se računalnom snagom može dešifrirati. Ti se podaci prikupljaju, spajaju i prodaju u golemim popisima e-adresa s lozinkama: kombolistama.

S takvim popisom napadač provodi credential stuffing: automatski isprobava svaki par e-adrese i lozinke na drugim uslugama. OWASP, poznata otvorena organizacija za sigurnost weba, opisuje to kao automatizirano unošenje ukradenih podataka za prijavu radi dobivanja pristupa računima. To funkcionira iz jednog razloga: ljudi koriste istu lozinku na više mjesta.

Primjer. Petra iz Pekarnice Example prije nekoliko godina otvorila je račun u internetskoj trgovini za pribor za pečenje, s adresom info@example.com i lozinkom koju je tada koristila posvuda. Ta internetska trgovina biva hakirana. Godinu dana kasnije njezina se kombinacija nalazi u kombolisti. Program je u jednoj noći isprobava na:

Petra ništa ne primjećuje: nije vidjela phishing e-poruku i ništa nije kliknula. Pouke iz ovoga: jedinstvena lozinka po usluzi sprječava širenje jedne povrede (lekcije 2.1 i 2.2), a dvofaktorska autentifikacija zaustavlja napadača koji doista ima ispravnu lozinku (lekcija 2.3). Sami možete na https://haveibeenpwned.com provjeriti pojavljuje li se Vaša e-adresa u poznatoj povredi podataka.

Česta je pogreška korištenje "sustava" za variranje lozinki: Bakkerij2025! za poštu i Bakkerij2025!boekhouding za knjigovodstvo. Programi koji koriste kombolliste isprobavaju i takve očite varijante.

Infostealeri: lozinka izravno s Vašeg računala

Takozvani infostealer je zlonamjerni softver koji prikuplja podatke s Vašeg računala i šalje ih napadaču. Microsoft opisuje da infostealeri, između ostalog, iz preglednika izvlače spremljena korisnička imena i lozinke, sesijske kolačiće, automatski popunjene podatke obrazaca i podatke o kreditnim karticama. Takav program dobijete, primjerice, putem lažnog preuzimanja ("besplatna verzija skupog programa"), privitka, lažnog oglasa ili stranice koja traži da kopirate i zalijepite naredbu "radi rješavanja problema".

Infostealer često djeluje svega nekoliko minuta i zatim nestane. Plijen, takozvani log sa svim podacima tog jednog računala, prodaje se. Ponekad se koristi tek godinama kasnije.

Zašto je sesijski kolačić toliko opasan

Kada se prijavite na web stranicu, lozinkom i dvofaktorskom autentifikacijom, Vaš preglednik dobiva sesijski kolačić: malu datoteku koja kod svakog sljedećeg zahtjeva pokazuje da ste već prijavljeni. Zahvaljujući tome ne morate kod svakog klika ponovno unositi kod.

Tko ukrade taj kolačić, može ga postaviti u svoj vlastiti preglednik i time je također prijavljen. Ne treba mu Vaša lozinka ni drugi faktor, jer je prijava već obavljena. MITRE ATT&CK, javna baza znanja o tehnikama napada, to doslovno kaže: sesijski kolačići mogu se koristiti za zaobilaženje nekih oblika višefaktorske autentifikacije.

Što pomaže protiv infostealera i ukradenih kolačića:

• ne instalirati softver iz nepoznatih izvora i ne raditi s administratorskim računom, tako da instalacija ne uspije bez napora (lekcija 5.2);
• redovito ažurirati operativni sustav i preglednik (lekcija 5.1);
• nakon zaraze prvo očistiti ili ponovno instalirati računalo, a tek zatim s čistog uređaja promijeniti lozinke i poništiti sve sesije, kako bi ukradeni kolačići postali nevažeći (lekcije 2.5 i 3.5);
• koristiti metode prijave otporne na phishing, poput passkeyeva, koje onemogućuju krađu podataka za prijavu putem lažnih stranica (lekcija 2.4).

Što je povreda osobnih podataka

Dosad je riječ bila o Vašim vlastitim računima. No ako je napadač u Vašem poštanskom sandučiću, Vašem knjigovodstvu ili Vašoj internetskoj trgovini, vidi i podatke drugih osoba: klijenata, zaposlenika, članova. Tada je riječ o povredi osobnih podataka.

GDPR (OUZP) definira osobne podatke kao sve informacije o identificiranoj ili prepoznatljivoj osobi: ime, e-adresu, telefonski broj, adresu, ali i broj klijenta koji se može povezati s osobom. Povreda osobnih podataka (u GDPR-u: povreda u vezi s osobnim podacima, članak 4. točka 12.) je povreda sigurnosti koja slučajno ili nezakonito dovodi do uništenja, gubitka, izmjene ili neovlaštenog otkrivanja odnosno pristupa osobnim podacima.

Povreda osobnih podataka ne mora biti hakerski napad. I ovo može biti povreda osobnih podataka:

• poruka s popisom klijenata poslana pogrešnom primatelju;
• ukradeno ili izgubljeno prijenosno računalo bez enkripcije;
• poveznica za dijeljenje mape sa životopisima koja je javno dostupna na internetu;
• preuzeti poštanski sandučić u kojem se nalaze računi s imenima i adresama;
• datoteke koje je ransomware šifrirao, a za koje nemate sigurnosnu kopiju (uništenje i gubitak).

Uz povredu osobnih podataka vezane su obveze: svaku povredu bilježite u evidenciju povreda osobnih podataka, prijavljujete je u roku od 72 sata nadležnoj Agenciji za zaštitu osobnih podataka (AZOP) osim ako vjerojatno ne predstavlja rizik za dotične osobe, a kod visokog rizika o tome obavještavate i same te osobe. Kako to točno funkcionira, naučit ćete u lekciji 8.2. Za sada je važno da preuzimanje računa ne promatrate samo kao "naš problem": često pogađa i osobe čije podatke posjedujete.

Što se događa s podacima koji procure

Podaci koji procure ne nestaju. Kopiraju se, spajaju i preprodaju. Zbog toga povreda ima posljedice koje traju dugo:

• Ponovna upotreba: lozinke završavaju u kombolistama za credential stuffing.
• Bolji phishing: s Vašim imenom, Vašim klijentima i Vašom posljednjom narudžbom prevarant sastavlja uvjerljivu poruku. Klijent koji tjedan dana nakon povrede u Vašoj internetskoj trgovini dobije "podsjetnik za plaćanje" od Vas, brže plaća.
• Krađa identiteta: s dovoljno podataka o osobi prevarant može otvarati račune ili se predstavljati kao ta osoba.
• Iznuda: "platite, ili ćemo Vašim klijentima reći da su njihovi podaci procurili kod Vas" (lekcija 1.3).

Zato je manje čuvanje podataka također sigurnosna mjera. Podaci koje nemate, ne mogu ni procuriti.

Sažetak

• Kod preuzimanja računa napadač se jednostavno prijavljuje; poštanski sandučić je najvažniji račun, jer njime obnavljate druge lozinke.
• Credential stuffing automatski isprobava procurjele kombinacije e-adrese i lozinke iz kombolista na drugim uslugama; jedinstvene lozinke i 2FA to zaustavljaju.
• Infostealeri kradu lozinke i sesijske kolačiće iz preglednika; ukradenim kolačićem napadač može zaobići neke oblike 2FA, zato nakon zaraze poništite sve sesije.
• Povreda osobnih podataka je svaka povreda sigurnosti osobnih podataka, uključujući pogrešno poslanu poruku ili izgubljeno prijenosno računalo.
• Podaci koji procure ponovno se koriste za nove napade; manje čuvanje podataka znači manji rizik.

Kviz

Zadatak

Zadatak A1.4: Jedno curenje podataka, koji su računi ugroženi? Dobivate pregled računa jedne male tvrtke: koja lozinka (označena kao W1, W2 i tako dalje, nikad prava lozinka) pripada kojoj usluzi i je li uključena dvofaktorska autentifikacija. Zatim procuri jedna usluga. Navedite koji su računi izravno ugroženi, kojim redoslijedom ih rješavate i je li riječ o povredi osobnih podataka. Program provjerava i objašnjava.

Dodatno štivo

Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.

• DirectAdmin priručnik 3.7: Sigurne lozinke i što učiniti kod procurjele lozinke
• Priručnik za WebOké 3.6: Pregled aktivnih sesija i odjava
• Have I Been Pwned (sami provjerite nalazi li se Vaša e-adresa u poznatoj povredi podataka): https://haveibeenpwned.com
• OWASP, Credential stuffing (na engleskom): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (na engleskom): https://attack.mitre.org/techniques/T1539/
• GDPR (Uredba (EU) 2016/679), službeni tekst: https://eur-lex.europa.eu/eli/reg/2016/679/oj