Διέρρευσαν τα στοιχεία σας; Έλεγχος και αποκατάσταση

Ενότητα 2: Κωδικοί πρόσβασης και σύνδεση · Χρόνος ανάγνωσης: 10 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να ελέγχετε μόνοι σας αν τα στοιχεία σας βρίσκονται σε κάποια διαρροή, να αντιδράτε με τη σωστή σειρά σε μια διαρροή και να ανακτάτε και να καθαρίζετε έναν λογαριασμό που έχει καταληφθεί.

Κεντρικές έννοιες: Have I Been Pwned, k-ανωνυμία, ειδοποιήσεις διαρροών, ανάκληση συνεδριών, cookie συνεδρίας, στοιχεία ανάκτησης, κανόνες προώθησης

Πώς μαθαίνετε ότι κάτι έχει διαρρεύσει

Συχνά δεν το μαθαίνετε. Ένας κωδικός πρόσβασης που έχει διαρρεύσει μπορεί να παραμένει μήνες σε μια combolist προτού κάποιος τον δοκιμάσει. Γι' αυτό προσέξτε αυτά τα σημάδια:

• Μια υπηρεσία σάς στέλνει email ότι υπήρξε παραβίαση δεδομένων (datalek). Ελέγξτε πρώτα αν το email είναι πραγματικά γνήσιο (ενότητα 3): πηγαίνετε μόνοι σας στον ιστότοπο αντί να κάνετε κλικ στον σύνδεσμο.
• Λαμβάνετε έναν κωδικό σύνδεσης ή ειδοποίηση έγκρισης που δεν ζητήσατε εσείς (μάθημα 2.3).
• Βλέπετε μια ειδοποίηση «νέα σύνδεση από άγνωστη συσκευή».
• Πελάτες ή συνάδελφοι λαμβάνουν περίεργα email «από εσάς», ή εσείς δεν βλέπετε email που όμως έχει σταλεί.
• Ο διαχειριστής κωδικών πρόσβασης σάς προειδοποιεί ότι ένας κωδικός εμφανίζεται σε διαρροή.
• Ξαφνικά δεν μπορείτε πλέον να συνδεθείτε, ή τα στοιχεία ανάκτησής σας έχουν αλλάξει.

Ελέγξτε μόνοι σας με το Have I Been Pwned

Το Have I Been Pwned (haveibeenpwned.com) είναι μια γνωστή, δωρεάν υπηρεσία που συγκεντρώνει στοιχεία από δημοσίως γνωστές παραβιάσεις δεδομένων. Μπορείτε να κάνετε αναζήτηση με το δικό σας email. Έτσι βλέπετε σε ποιες διαρροές εμφανίζεται η διεύθυνση και τι είδους δεδομένα περιλάμβανε η κάθε διαρροή: μόνο διευθύνσεις email ή και κωδικούς πρόσβασης, ονόματα, τηλέφωνα ή διευθύνσεις. Με τη λειτουργία «Notify me» λαμβάνετε email αν η διεύθυνσή σας εμφανιστεί σε νέα διαρροή.

Κάντε το αυτό μόνοι σας, στον ιστότοπο της υπηρεσίας. Σε αυτό το μάθημα δεν σας ζητάμε ποτέ να συμπληρώσετε κάπου το email ή τον κωδικό πρόσβασής σας.

Υπάρχει επίσης το τμήμα Pwned Passwords, με το οποίο διαχειριστές κωδικών πρόσβασης και ιστότοποι ελέγχουν αν ένας κωδικός πρόσβασης έχει διαρρεύσει ποτέ. Αυτό λειτουργεί με k-ανωνυμία: ο κωδικός σας μετατρέπεται στη δική σας συσκευή σε hash (ένα δακτυλικό αποτύπωμα) και μόνο οι πρώτοι 5 χαρακτήρες αυτού στέλνονται στην υπηρεσία. Η υπηρεσία επιστρέφει όλα τα γνωστά hashes που αρχίζουν με αυτούς τους 5 χαρακτήρες, και η δική σας συσκευή ελέγχει αν το πλήρες hash σας βρίσκεται ανάμεσά τους. Έτσι η υπηρεσία δεν βλέπει ποτέ τον κωδικό σας και δεν γνωρίζει καν ποιο από τα εκατοντάδες επιστρεφόμενα hashes είναι το δικό σας.

Δύο σημαντικές παρατηρήσεις:

• Το να μην βρίσκεστε στη λίστα δεν σημαίνει ότι είστε ασφαλείς. Μια διαρροή που δεν είναι (ακόμα) γνωστή δεν περιλαμβάνεται. Τα infostealers (μάθημα 1.4) κλέβουν επίσης κωδικούς πρόσβασης που ποτέ δεν καταλήγουν σε δημοσιευμένη διαρροή.
• Το να βρίσκεστε στη λίστα δεν σημαίνει ότι όλα είναι χαμένα. Δείτε ποια δεδομένα διέρρευσαν και πότε. Ένας κωδικός πρόσβασης που δεν χρησιμοποιείτε πλέον εδώ και χρόνια δεν αποτελεί πρόβλημα· ένας κωδικός που εξακολουθείτε να χρησιμοποιείτε παντού, όμως, ναι.

Τι κάνετε πρώτα μετά από μια διαρροή

Η σειρά έχει σημασία. Ο πιο σημαντικός κανόνας: πρώτα το γραμματοκιβώτιό σας, γιατί μέσω του γραμματοκιβωτίου σας ένας επιτιθέμενος μπορεί, μέσω του «ξέχασα τον κωδικό πρόσβασης», να καταλάβει σχεδόν όλους τους άλλους λογαριασμούς σας.

Γιατί να ανακαλέσετε τις συνεδρίες

Όταν συνδέεστε, ο browser σας λαμβάνει ένα cookie συνεδρίας: ένα είδος προσωρινής απόδειξης πρόσβασης, ώστε να μη χρειάζεται να συνδέεστε ξανά σε κάθε κλικ. Όποιος έχει αυτό το cookie είναι συνδεδεμένος. Χωρίς κωδικό πρόσβασης και χωρίς δεύτερο βήμα.

Ακριβώς αυτό κλέβουν τα infostealers: όχι μόνο τους κωδικούς πρόσβασής σας, αλλά και τα cookies σας. Και ένας επιτιθέμενος που έχει συνδεθεί με τον κωδικό πρόσβασής σας έχει επίσης μια συνεδρία. Αν αλλάξετε μόνο τον κωδικό πρόσβασης, η συνεδρία αυτή σε ορισμένες υπηρεσίες συνεχίζει απλώς να λειτουργεί.

Γι' αυτό, μετά από μια διαρροή ή μια ύποπτη σύνδεση, ελέγχετε σε κάθε σημαντική υπηρεσία την επισκόπηση ενεργών συνεδριών ή συσκευών, και αποσυνδέετε οτιδήποτε δεν αναγνωρίζετε, ή όλα εκτός από τη συσκευή στην οποία εργάζεστε αυτή τη στιγμή. Σε πολλές υπηρεσίες ένας νέος κωδικός πρόσβασης σας αποσυνδέει επίσης αυτόματα παντού· ελέγξτε το ωστόσο.

Ο κανόνας προώθησης ως κερκόπορτα

Μια περίπτωση όπως συμβαίνει συχνά. Η λογίστρια του αρτοποιείου Example κάνει κλικ σε ένα email phishing και συμπληρώνει τον κωδικό πρόσβασης του email της. Ο επιτιθέμενος συνδέεται στο factuur@example.com και κάνει τρία πράγματα:

1. Δημιουργεί έναν κανόνα: κάθε email με «factuur» (τιμολόγιο), «betaling» (πληρωμή) ή «IBAN» στο θέμα προωθείται σε μια εξωτερική διεύθυνση στο leverancier-administratie.example και στη συνέχεια μεταφέρεται στον κάδο απορριμμάτων.
2. Ορίζει το δικό του τηλέφωνο ως αριθμό ανάκτησης.
3. Αποσυνδέεται ξανά.

Η λογίστρια αντιλαμβάνεται ότι κάτι δεν πάει καλά και αλλάζει τον κωδικό πρόσβασής της. Λύθηκε, σκέφτεται. Όμως ο κανόνας συνεχίζει να λειτουργεί. Ο επιτιθέμενος διαβάζει επί εβδομάδες κάθε τιμολόγιο, και μια μέρα ένας πελάτης λαμβάνει ένα «τροποποιημένο» τιμολόγιο με διαφορετικό IBAN (μάθημα 1.2). Μέσω του αριθμού ανάκτησης μπορεί επίσης να ανακτήσει τον λογαριασμό.

Γι' αυτό ελέγχετε πάντα σε ένα γραμματοκιβώτιο:

• κανόνες και φίλτρα: ειδικά κανόνες που προωθούν ή διαγράφουν·
• προώθηση στις ρυθμίσεις του γραμματοκιβωτίου και στον πίνακα φιλοξενίας σας·
• αυτόματες απαντήσεις που δεν δημιουργήσατε εσείς·
• κωδικούς πρόσβασης εφαρμογών και συνδεδεμένες εφαρμογές: διαγράψτε ό,τι δεν αναγνωρίζετε·
• στοιχεία ανάκτησης και τη λίστα συσκευών στον έλεγχο ταυτότητας δύο παραγόντων.

Όταν ένας λογαριασμός έχει πράγματι καταληφθεί

Αν δεν μπορείτε πλέον να συνδεθείτε, χρησιμοποιήστε μόνο την επίσημη διαδικασία ανάκτησης της υπηρεσίας. Τη βρίσκετε πηγαίνοντας μόνοι σας στον ιστότοπο, όχι μέσω συνδέσμου από email ή διαφήμισης σε μηχανή αναζήτησης. Προσέξτε «βοήθεια ανάκτησης» που σας προσεγγίζει μόνη της στα social media ή στην οποία απευθύνεστε εσείς: συχνά πρόκειται για απατεώνες που θέλουν να σας χτυπήσουν για δεύτερη φορά.

Στη συνέχεια:

• κάντε τα βήματα 3 έως και 8 από τον παραπάνω πίνακα·
• δημιουργήστε νέους κωδικούς ανάκτησης και ενεργοποιήστε ισχυρότερο δεύτερο βήμα (μαθήματα 2.3 και 2.4)·
• αναφέρετε την απάτη ή το phishing στη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος (https://www.cyberalert.gr/) και υποβάλετε καταγγελία στην αστυνομία αν υπάρχει ζημία·
• σημειώστε τι συνέβη και πότε. Αν επρόκειτο για δεδομένα πελατών, μπορεί να πρόκειται για παραβίαση δεδομένων (μάθημα 8.2).

Στην πράξη: έτσι μοιάζει

Στο περιβάλλον του WebOké, στο Το WebOké μου, στην ενότητα Στοιχεία σύνδεσης, βλέπετε την κάρτα Ενεργές συνεδρίες, με για κάθε συνεδρία τον browser, το σύστημα, τη διεύθυνση IP και από πότε είναι ενεργή. Μπορείτε να αποσυνδέσετε μία συνεδρία ή να αποσυνδεθείτε παντού εκτός από τη συσκευή στην οποία βρίσκεστε τώρα. Στο Nextcloud, στην ενότητα Security, υπάρχει η επισκόπηση Συσκευές & συνεδρίες, όπου μπορείτε επίσης να ανακαλέσετε μια συσκευή ή να τη διαγράψετε εξ αποστάσεως. Η προώθηση και τα φίλτρα ενός γραμματοκιβωτίου βρίσκονται στον πίνακα φιλοξενίας και στο webmail. Σε άλλους παρόχους λειτουργεί παρόμοια: αναζητήστε «συνεδρίες», «συσκευές», «ασφάλεια» ή «πρόσφατη δραστηριότητα».

Σύνοψη

• Ελέγξτε μόνοι σας στο haveibeenpwned.com αν η διεύθυνση email σας βρίσκεται σε γνωστή διαρροή· το Pwned Passwords λειτουργεί με k-ανωνυμία (μόνο οι πρώτοι 5 χαρακτήρες του hash αποστέλλονται).
• Το να μην βρίσκεστε στη λίστα δεν ισοδυναμεί με ασφάλεια.
• Μετά από μια διαρροή: πρώτα το γραμματοκιβώτιό σας, μετά ανάκληση συνεδριών, έλεγχος του ελέγχου ταυτότητας δύο παραγόντων και των στοιχείων ανάκτησης.
• Μια αλλαγή κωδικού πρόσβασης δεν αφαιρεί κανόνες προώθησης, κωδικούς πρόσβασης εφαρμογών ή κλεμμένες συνεδρίες.
• Έναν λογαριασμό που έχει καταληφθεί τον ανακτάτε μόνο μέσω της επίσημης οδού της υπηρεσίας.

Κουίζ

Άσκηση

Άσκηση D2.5: Ο δικός σας έλεγχος διαρροών και γύρος καθαρισμού. Ελέγξτε μόνοι σας στο haveibeenpwned.com τις επαγγελματικές σας διευθύνσεις email και ενεργοποιήστε το «Notify me». Ελέγξτε στο γραμματοκιβώτιό σας και στους σημαντικότερους λογαριασμούς σας τις ενεργές συνεδρίες, τους κανόνες προώθησης, τους κωδικούς πρόσβασης εφαρμογών και τα στοιχεία ανάκτησης, και καθαρίστε ό,τι δεν αναγνωρίζετε. Συμπληρώστε τη λίστα ελέγχου και απαντήστε στις ερωτήσεις αναστοχασμού. Δεν συμπληρώνετε στο μάθημα κανένα email ή κωδικό πρόσβασης.

Περισσότερα για ανάγνωση

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους λειτουργεί παρόμοια.

• Εγχειρίδιο WebOké 3.6: Προβολή ενεργών συνδέσεων και αποσύνδεση
• Οδηγός Nextcloud 3.6: Συσκευές και συνεδρίες προβολή, ανάκληση ή απομακρυσμένη εκκαθάριση
• Εγχειρίδιο DirectAdmin 3.7: Ασφαλείς κωδικοί πρόσβασης και τι κάνετε όταν διαρρεύσει ένας κωδικός πρόσβασης
• Δεν είναι δυνατή η σύνδεση στο Nextcloud: κωδικός πρόσβασης, κωδικός ή επιβράδυνση
• Το mailbox σας παραβιάστηκε ή αποστέλλεται spam από τη διεύθυνσή σας: δείτε πώς να το διορθώσετε
• Have I Been Pwned (αναζήτηση με το δικό σας email): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (στα αγγλικά, εξήγηση k-ανωνυμίας): https://haveibeenpwned.com/Passwords
• Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος (αναφορά απάτης και phishing): https://www.cyberalert.gr/