Κατάληψη λογαριασμού και παραβιάσεις δεδομένων

Ενότητα 1: Γιατί είστε στόχος · Χρόνος ανάγνωσης: 10 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε πώς επαναχρησιμοποιούνται κλεμμένα στοιχεία σύνδεσης και τι συμβαίνει με δεδομένα που έχουν διαρρεύσει.
Βασικές έννοιες: κατάληψη λογαριασμού, credential stuffing, infostealer, session cookie, παραβίαση δεδομένων, δεδομένα προσωπικού χαρακτήρα, combolist

Σύνδεση αντί για διάρρηξη

Ο ευκολότερος τρόπος για να μπει κανείς σε ένα σύστημα δεν είναι να αναζητήσει ένα κενό ασφαλείας, αλλά απλώς να συνδεθεί. Όποιος έχει το email σας και τον κωδικό πρόσβασής σας δεν χρειάζεται να χακάρει τίποτα. Για το σύστημα, είναι απλώς εσείς. Αυτό ονομάζεται κατάληψη λογαριασμού: κάποιος άλλος αναλαμβάνει έναν λογαριασμό και τον χρησιμοποιεί σαν να είναι ο ιδιοκτήτης του.

Για μια μικρή επιχείρηση, το mailbox είναι ο σημαντικότερος λογαριασμός. Όποιος έχει το mailbox σας μπορεί να:

• επαναφέρει μέσω της επιλογής «ξέχασα τον κωδικό πρόσβασης» τους κωδικούς σχεδόν όλων των άλλων λογαριασμών σας·
• διαβάσει τα email σας και να στείλει ένα ψεύτικο τιμολόγιο ακριβώς τη σωστή στιγμή (μάθημα 1.2)·
• στείλει email εξ ονόματός σας σε πελάτες, οι οποίοι σας εμπιστεύονται·
• ρυθμίσει έναν κανόνα προώθησης, ώστε να συνεχίσει να λαμβάνει ανεπαίσθητα αντίγραφο όλων των email, ακόμη και αφού αλλάξετε τον κωδικό πρόσβασής σας (μάθημα 2.5).

Πώς όμως αποκτά ένας επιτιθέμενος τον κωδικό πρόσβασής σας; Υπάρχουν τρεις κύριες διαδρομές: τον καταχωρείτε εσείς οι ίδιοι σε έναν ψεύτικο ιστότοπο (phishing, ενότητα 3), διαρρέει από κάποια άλλη υπηρεσία όπου τον είχατε χρησιμοποιήσει κι εσείς, ή κακόβουλο λογισμικό στον υπολογιστή σας τον κλέβει. Τις δύο τελευταίες τις εξετάζουμε εδώ.

Credential stuffing: μία διαρροή, δοκιμάζεται παντού

Οι ιστότοποι παραβιάζονται τακτικά. Σε μια τέτοια παραβίαση συχνά διαρρέουν στο κοινό τα email και οι κωδικοί πρόσβασης χρηστών, μερικές φορές σε αναγνώσιμη μορφή, μερικές φορές σε μορφή που μπορεί να αποκρυπτογραφηθεί με υπολογιστική ισχύ. Αυτά τα δεδομένα συλλέγονται, συνδυάζονται και διακινούνται σε τεράστιες λίστες email με κωδικούς πρόσβασης: τα λεγόμενα combolists.

Με μια τέτοια λίστα, ένας επιτιθέμενος κάνει credential stuffing: δοκιμάζει αυτόματα κάθε ζεύγος email και κωδικού πρόσβασης σε άλλες υπηρεσίες. Το OWASP, ένας γνωστός ανοιχτός οργανισμός για την ασφάλεια ιστού, το περιγράφει ως την αυτοματοποιημένη εισαγωγή κλεμμένων στοιχείων σύνδεσης για την απόκτηση πρόσβασης σε λογαριασμούς. Λειτουργεί για έναν λόγο: οι άνθρωποι χρησιμοποιούν τον ίδιο κωδικό πρόσβασης σε πολλά σημεία.

Ένα παράδειγμα. Η Πέτρα από το Αρτοποιείο Παράδειγμα δημιούργησε πριν από χρόνια έναν λογαριασμό σε ένα ηλεκτρονικό κατάστημα είδη ζαχαροπλαστικής, με το info@example.com και τον κωδικό πρόσβασης που χρησιμοποιούσε τότε παντού. Αυτό το ηλεκτρονικό κατάστημα χακάρεται. Έναν χρόνο αργότερα, ο συνδυασμός της βρίσκεται σε ένα combolist. Ένα πρόγραμμα τον δοκιμάζει μέσα σε μία νύχτα στα εξής:

Η Πέτρα δεν αντιλαμβάνεται τίποτα: δεν είδε κανένα phishing email και δεν έκανε κλικ σε τίποτα. Τα διδάγματα από αυτό: ένας μοναδικός κωδικός πρόσβασης ανά υπηρεσία αποτρέπει την εξάπλωση μιας διαρροής (μαθήματα 2.1 και 2.2), και ο έλεγχος ταυτότητας δύο παραγόντων (2FA) σταματά έναν επιτιθέμενο που έχει πράγματι τον σωστό κωδικό πρόσβασης (μάθημα 2.3). Μπορείτε να ελέγξετε οι ίδιοι στο https://haveibeenpwned.com αν το email σας εμφανίζεται σε κάποια γνωστή παραβίαση.

Ένα συχνό λάθος είναι ένα «σύστημα» παραλλαγής κωδικών πρόσβασης: Bakkerij2025! για το email και Bakkerij2025!boekhouding για τη λογιστική. Τα προγράμματα που χρησιμοποιούν combolists δοκιμάζουν και τέτοιες προφανείς παραλλαγές.

Infostealers: ο κωδικός πρόσβασης κατευθείαν από τον υπολογιστή σας

Ένα infostealer είναι κακόβουλο λογισμικό που συλλέγει δεδομένα από τον υπολογιστή σας και τα στέλνει στον επιτιθέμενο. Η Microsoft περιγράφει ότι τα infostealers εξάγουν από browsers, μεταξύ άλλων, αποθηκευμένα ονόματα χρήστη και κωδικούς πρόσβασης, session cookies, αυτόματα συμπληρωμένα δεδομένα φορμών και στοιχεία πιστωτικών καρτών. Ένα τέτοιο πρόγραμμα το αποκτάτε για παράδειγμα μέσω ψεύτικης λήψης («δωρεάν έκδοση ενός ακριβού προγράμματος»), ενός συνημμένου, μιας ψεύτικης διαφήμισης ή ενός ιστότοπου που σας ζητά να αντιγράψετε και να επικολλήσετε μια εντολή «για να λύσετε ένα πρόβλημα».

Ένα infostealer λειτουργεί συχνά μέσα σε λίγα λεπτά και στη συνέχεια εξαφανίζεται. Η λεία, ένα λεγόμενο log με όλα τα δεδομένα αυτού του συγκεκριμένου υπολογιστή, πωλείται. Μερικές φορές χρησιμοποιείται χρόνια αργότερα.

Γιατί ένα session cookie είναι τόσο επικίνδυνο

Όταν συνδέεστε σε έναν ιστότοπο, με κωδικό πρόσβασης και έλεγχο ταυτότητας δύο παραγόντων, ο browser σας λαμβάνει ένα session cookie: ένα μικρό αρχείο που σε κάθε επόμενο αίτημα δείχνει ότι είστε ήδη συνδεδεμένος/η. Έτσι δεν χρειάζεται να εισάγετε ξανά τον κωδικό σας σε κάθε κλικ.

Όποιος κλέψει αυτό το cookie μπορεί να το τοποθετήσει στον δικό του browser και είναι τότε κι αυτός συνδεδεμένος. Δεν χρειάζεται τον κωδικό πρόσβασής σας ούτε τον δεύτερο παράγοντά σας, γιατί η σύνδεση έχει ήδη γίνει. Το MITRE ATT&CK, μια δημόσια βάση γνώσεων τεχνικών επίθεσης, το αναφέρει κατά γράμμα: τα session cookies μπορούν να χρησιμοποιηθούν για την παράκαμψη ορισμένων μορφών ελέγχου ταυτότητας πολλαπλών παραγόντων.

Τι βοηθά ενάντια σε infostealers και κλεμμένα cookies:

• μην εγκαθιστάτε λογισμικό από άγνωστες πηγές και μην εργάζεστε με λογαριασμό διαχειριστή, ώστε η εγκατάσταση να μην γίνεται εύκολα (μάθημα 5.2)·
• ενημερώνετε το λειτουργικό σας σύστημα και τον browser (μάθημα 5.1)·
• μετά από μόλυνση, πρώτα καθαρίστε ή επανεγκαταστήστε τον υπολογιστή, έπειτα αλλάξτε τους κωδικούς πρόσβασης από μια καθαρή συσκευή και ανακαλέστε όλες τις συνεδρίες (sessions), ώστε τα κλεμμένα cookies να ακυρωθούν (μαθήματα 2.5 και 3.5)·
• μεθόδους σύνδεσης ανθεκτικές στο phishing όπως τα passkeys, που καθιστούν αδύνατη την κλοπή στοιχείων σύνδεσης μέσω ψεύτικων ιστότοπων (μάθημα 2.4).

Τι είναι μια παραβίαση δεδομένων

Μέχρι τώρα μιλήσαμε για τους δικούς σας λογαριασμούς. Όμως αν ένας επιτιθέμενος βρίσκεται στο mailbox σας, στη λογιστική σας ή στο ηλεκτρονικό σας κατάστημα, βλέπει επίσης δεδομένα άλλων: πελατών, εργαζομένων, μελών. Τότε πρόκειται για παραβίαση δεδομένων.

Ο GDPR (ΓΚΠΔ) ορίζει τα δεδομένα προσωπικού χαρακτήρα ως κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο: ένα όνομα, μια διεύθυνση email, έναν αριθμό τηλεφώνου, μια διεύθυνση, αλλά και έναν αριθμό πελάτη που μπορεί να συνδεθεί με ένα συγκεκριμένο πρόσωπο. Μια παραβίαση δεδομένων (στον GDPR: παραβίαση δεδομένων προσωπικού χαρακτήρα, άρθρο 4 σημείο 12) είναι παραβίαση της ασφάλειας που οδηγεί, τυχαία ή παράνομα, σε καταστροφή, απώλεια, μεταβολή ή μη εξουσιοδοτημένη κοινολόγηση ή πρόσβαση σε δεδομένα προσωπικού χαρακτήρα.

Μια παραβίαση δεδομένων δεν χρειάζεται να είναι χακάρισμα. Και τα παρακάτω μπορεί να αποτελούν παραβίαση δεδομένων:

• ένα email με λίστα πελατών που εστάλη στον λάθος παραλήπτη·
• ένα κλεμμένο ή χαμένο laptop χωρίς κρυπτογράφηση·
• ένας σύνδεσμος κοινής χρήσης προς έναν φάκελο με βιογραφικά που είναι δημόσια διαθέσιμος στο internet·
• ένα mailbox που έχει καταληφθεί και περιέχει τιμολόγια με ονόματα και διευθύνσεις·
• αρχεία που έχουν κρυπτογραφηθεί από ransomware και για τα οποία δεν έχετε αντίγραφο ασφαλείας (καταστροφή και απώλεια).

Σε μια παραβίαση δεδομένων συνδέονται υποχρεώσεις: καταγράφετε κάθε παραβίαση δεδομένων σε ένα μητρώο παραβιάσεων, τη γνωστοποιείτε εντός 72 ωρών στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) εκτός εάν είναι απίθανο να προκύψει κίνδυνος για τα υποκείμενα των δεδομένων, και σε περίπτωση υψηλού κινδύνου ενημερώνετε και τα ίδια τα πρόσωπα. Πώς γίνεται αυτό ακριβώς, θα το μάθετε στο μάθημα 8.2. Προς το παρόν είναι σημαντικό να μη θεωρείτε μια κατάληψη λογαριασμού μόνο ως «δικό μας πρόβλημα»: συχνά επηρεάζει και τα πρόσωπα των οποίων τα δεδομένα διαθέτετε.

Τι συμβαίνει με δεδομένα που διέρρευσαν

Τα δεδομένα που διαρρέουν δεν εξαφανίζονται. Αντιγράφονται, συνδυάζονται και μεταπωλούνται. Έτσι μια διαρροή έχει συνέπειες που διαρκούν πολύ:

• Επαναχρησιμοποίηση: οι κωδικοί πρόσβασης καταλήγουν σε combolists για credential stuffing.
• Καλύτερο phishing: με το όνομά σας, τους πελάτες σας και την τελευταία σας παραγγελία, ένας απατεώνας συντάσσει ένα πειστικό email. Ένας πελάτης που λαμβάνει μια εβδομάδα μετά από διαρροή στο ηλεκτρονικό σας κατάστημα μια «υπενθύμιση πληρωμής» από εσάς, πληρώνει πιο γρήγορα.
• Κλοπή ταυτότητας: με αρκετά δεδομένα για ένα πρόσωπο, ένας απατεώνας μπορεί να ανοίξει λογαριασμούς ή να παρουσιαστεί ως εκείνο το πρόσωπο.
• Εκβιασμός: «πληρώστε, αλλιώς θα πούμε στους πελάτες σας ότι τα δεδομένα τους διέρρευσαν από εσάς» (μάθημα 1.3).

Γι' αυτό η λιγότερη αποθήκευση είναι επίσης μέτρο ασφαλείας. Δεδομένα που δεν διαθέτετε δεν μπορούν ούτε να διαρρεύσουν.

Σύνοψη

• Σε μια κατάληψη λογαριασμού, ένας επιτιθέμενος απλώς συνδέεται· το mailbox είναι ο σημαντικότερος λογαριασμός, επειδή μέσω αυτού επαναφέρετε άλλους κωδικούς πρόσβασης.
• Το credential stuffing δοκιμάζει αυτόματα διαρρεύσαντες συνδυασμούς email και κωδικού πρόσβασης από combolists σε άλλες υπηρεσίες· μοναδικοί κωδικοί πρόσβασης και 2FA το αποτρέπουν.
• Τα infostealers κλέβουν κωδικούς πρόσβασης και session cookies από τον browser· με ένα κλεμμένο cookie ένας επιτιθέμενος μπορεί να παρακάμψει ορισμένες μορφές 2FA, γι' αυτό μετά από μόλυνση ανακαλέστε όλες τις συνεδρίες.
• Μια παραβίαση δεδομένων είναι κάθε παραβίαση της ασφάλειας δεδομένων προσωπικού χαρακτήρα, ακόμη και ένα λανθασμένα απεσταλμένο email ή ένα χαμένο laptop.
• Τα δεδομένα που διαρρέουν επαναχρησιμοποιούνται για νέες επιθέσεις· η λιγότερη αποθήκευση σημαίνει λιγότερο κίνδυνο.

Κουίζ

Άσκηση

Άσκηση A1.4: Μία διαρροή, ποιοι λογαριασμοί κινδυνεύουν; Λαμβάνετε μια επισκόπηση των λογαριασμών μιας μικρής επιχείρησης: ποιος κωδικός πρόσβασης (αναφερόμενος ως W1, W2 κ.ο.κ., ποτέ πραγματικός κωδικός πρόσβασης) αντιστοιχεί σε ποια υπηρεσία και αν είναι ενεργοποιημένος ο έλεγχος ταυτότητας δύο παραγόντων. Στη συνέχεια διαρρέει μία υπηρεσία. Υποδείξτε ποιοι λογαριασμοί κινδυνεύουν άμεσα, με ποια σειρά τους αντιμετωπίζετε και αν πρόκειται για παραβίαση δεδομένων. Το πρόγραμμα ελέγχει και εξηγεί.

Διαβάστε περισσότερα

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους λειτουργεί με παρόμοιο τρόπο.

• Εγχειρίδιο DirectAdmin 3.7: Ασφαλείς κωδικοί πρόσβασης και τι κάνετε όταν διαρρεύσει ένας κωδικός πρόσβασης
• Εγχειρίδιο WebOké 3.6: Προβολή ενεργών συνδέσεων και αποσύνδεση
• Have I Been Pwned (ελέγξτε μόνοι σας αν το email σας εμφανίζεται σε γνωστή παραβίαση): https://haveibeenpwned.com
• OWASP, Credential stuffing (στα αγγλικά): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (στα αγγλικά): https://attack.mitre.org/techniques/T1539/
• GDPR (Κανονισμός (ΕΕ) 2016/679), επίσημο κείμενο: https://eur-lex.europa.eu/eli/reg/2016/679/oj