Ο ερευνητής κυβερνοασφάλειας, Jeremiah Fowler, ανακάλυψε και ανέφερε στην Website Planet μια βάση δεδομένων που δεν προστατεύεται με κωδικό πρόσβασης και περιείχε 184 εκατομμύρια διαπιστευτήρια σύνδεσης και κωδικού πρόσβασης.
Η δημόσια εκτεθειμένη βάση δεδομένων δεν προστατεύτηκε με κωδικό πρόσβασης ούτε ήταν κρυπτογραφημένη.
Περιείχε 184.162.718 μοναδικά στοιχεία σύνδεσης και κωδικούς πρόσβασης , συνολικά 47,42 GB ακατέργαστων δεδομένων διαπιστευτηρίων . Σε ένα περιορισμένο δείγμα των εκτεθειμένων εγγράφων, είδα χιλιάδες αρχεία που περιελάμβαναν email, ονόματα χρήστη, κωδικούς πρόσβασης και συνδέσμους URL προς τη σύνδεση ή την εξουσιοδότηση για τους λογαριασμούς. Η βάση δεδομένων περιείχε διαπιστευτήρια σύνδεσης και κωδικού πρόσβασης για ένα ευρύ φάσμα υπηρεσιών, εφαρμογών και λογαριασμών, συμπεριλαμβανομένων παρόχων email, προϊόντων της Microsoft, Facebook, Instagram, Snapchat, Roblox και πολλών άλλων. Είδα επίσης διαπιστευτήρια για τραπεζικούς και χρηματοοικονομικούς λογαριασμούς, πλατφόρμες υγείας και κυβερνητικές πύλες από πολλές χώρες που θα μπορούσαν να θέσουν τα εκτεθειμένα άτομα σε σημαντικό κίνδυνο.
Η διεύθυνση IP υποδείκνυε ότι η βάση δεδομένων ήταν συνδεδεμένη με δύο ονόματα τομέα. Το ένα όνομα τομέα είναι δεσμευμένο και μη διαθέσιμο, ενώ το άλλο φαίνεται να μην είναι καταχωρημένο και διαθέσιμο για αγορά. Η καταχώριση Whois είναι ιδιωτική και δεν φαινόταν να υπάρχει επαληθεύσιμη μέθοδος για τον εντοπισμό του πραγματικού κατόχου της βάσης δεδομένων που περιείχε ενδεχομένως παράνομα δεδομένα. Έτσι, έστειλα αμέσως μια υπεύθυνη ειδοποίηση αποκάλυψης στον πάροχο φιλοξενίας και η πρόσβαση στη βάση δεδομένων περιορίστηκε σύντομα μετά.
Ο πάροχος φιλοξενίας δεν αποκάλυψε τα στοιχεία των πελατών του, επομένως δεν είναι γνωστό εάν η βάση δεδομένων χρησιμοποιήθηκε για εγκληματική δραστηριότητα ή εάν αυτές οι πληροφορίες συλλέχθηκαν για νόμιμους ερευνητικούς σκοπούς και στη συνέχεια εκτέθηκαν λόγω εποπτείας. Επίσης, δεν είναι γνωστό για πόσο καιρό η βάση δεδομένων ήταν εκτεθειμένη πριν την ανακαλύψω ή εάν κάποιος άλλος μπορεί να είχε αποκτήσει πρόσβαση σε αυτήν.
Τα αρχεία παρουσιάζουν πολλαπλά σημάδια ότι τα εκτεθειμένα δεδομένα συλλέχθηκαν από κάποιο είδος κακόβουλου λογισμικού infostealer. Το Infostealer είναι ένας τύπος κακόβουλου λογισμικού που έχει σχεδιαστεί ειδικά για τη συλλογή ευαίσθητων πληροφοριών από ένα μολυσμένο σύστημα. Αυτό το κακόβουλο λογισμικό συνήθως στοχεύει διαπιστευτήρια (όπως ονόματα χρήστη και κωδικούς πρόσβασης) που είναι αποθηκευμένα σε προγράμματα περιήγησης ιστού, προγράμματα-πελάτες email και εφαρμογές ανταλλαγής μηνυμάτων. Ορισμένες παραλλαγές του κακόβουλου λογισμικού μπορούν επίσης να κλέψουν δεδομένα αυτόματης συμπλήρωσης, cookies και πληροφορίες κρυπτογραφικού πορτοφολιού – μερικές μπορούν ακόμη και να καταγράψουν στιγμιότυπα οθόνης ή να καταγράψουν πληκτρολογήσεις.
Δεν είναι γνωστό ακριβώς πώς συλλέχθηκαν αυτά τα συγκεκριμένα δεδομένα, αλλά οι κυβερνοεγκληματίες χρησιμοποιούν μια σειρά μεθόδων για την ανάπτυξη infostealer. Για παράδειγμα, συχνά κρύβουν κακόβουλο λογισμικό μέσα σε email ηλεκτρονικού “ψαρέματος” (phishing), κακόβουλους ιστότοπους ή παραβιασμένο λογισμικό. Μόλις ο κλέφτης πληροφοριών ενεργοποιηθεί, τα κλεμμένα δεδομένα συχνά είτε διακινούνται σε αγορές του σκοτεινού ιστού και σε κανάλια Telegram είτε χρησιμοποιούνται απευθείας για τη διάπραξη απάτης, την απόπειρα κλοπής ταυτότητας ή την έναρξη περαιτέρω κυβερνοεπιθέσεων.
Για να επιβεβαιώσω την αυθεντικότητα των δεδομένων, έστειλα μήνυμα σε πολλές διευθύνσεις ηλεκτρονικού ταχυδρομείου που αναφέρονται στη βάση δεδομένων και εξήγησα ότι διερευνούσα μια έκθεση σε δεδομένα που μπορεί να αφορούσε τα στοιχεία τους. Μπόρεσα να επικυρώσω αρκετά αρχεία, καθώς αυτά τα άτομα επιβεβαίωσαν ότι τα αρχεία περιείχαν τους ακριβείς και έγκυρους κωδικούς πρόσβασής τους.
Πολλοί άνθρωποι, άθελά τους, αντιμετωπίζουν τους λογαριασμούς email τους σαν δωρεάν χώρο αποθήκευσης στο cloud και διατηρούν ευαίσθητα έγγραφα ετών, όπως φορολογικές φόρμες, ιατρικά αρχεία, συμβόλαια και κωδικούς πρόσβασης, χωρίς να λαμβάνουν υπόψη πόσο ευαίσθητα είναι. Αυτό θα μπορούσε να δημιουργήσει σοβαρούς κινδύνους για την ασφάλεια και το απόρρητο, εάν οι εγκληματίες αποκτήσουν πρόσβαση σε χιλιάδες ή και εκατομμύρια λογαριασμούς email.
Από την άποψη της κυβερνοασφάλειας, συνιστώ ανεπιφύλακτα να γνωρίζετε ποιες ευαίσθητες πληροφορίες αποθηκεύονται στον λογαριασμό email σας και να διαγράφετε τακτικά παλιά, ευαίσθητα email που περιέχουν προσωπικά δεδομένα, οικονομικά έγγραφα ή οποιαδήποτε άλλα σημαντικά αρχεία . Εάν πρέπει να κοινοποιηθούν ευαίσθητα αρχεία, συνιστώ να χρησιμοποιήσετε μια κρυπτογραφημένη λύση αποθήκευσης cloud αντί για email.
Οι πιθανοί κίνδυνοι αυτού του τύπου έκθεσης σε δεδομένα
Η γνώση των στοιχείων σύνδεσης και των κωδικών πρόσβασης εκατομμυρίων λογαριασμών είναι ένα όνειρο που γίνεται πραγματικότητα για τους εγκληματίες του κυβερνοχώρου — πιθανότατα έχουν μια μακρά λίστα με το πώς θα μπορούσαν να εκμεταλλευτούν τα εκτεθειμένα διαπιστευτήρια και τα email. Δεν θα επεκταθώ σε όλα αυτά εδώ, αλλά αυτές είναι οι πιο συνηθισμένες και εξαιρετικά επιτυχημένες μέθοδοι που χρησιμοποιούν οι εγκληματίες του κυβερνοχώρου για αυτό το είδος δεδομένων:
Επιθέσεις με παραποίηση διαπιστευτηρίων
Πολλοί άνθρωποι εξακολουθούν να χρησιμοποιούν τους ίδιους κωδικούς πρόσβασης σε πολλούς λογαριασμούς και υπηρεσίες. Είναι πολύ εύκολο για τους κυβερνοεγκληματίες να χρησιμοποιούν αυτοματοποιημένα σενάρια για να δοκιμάσουν αυτούς τους συνδυασμούς email και κωδικού πρόσβασης σε εκατοντάδες ή χιλιάδες ιστότοπους και υπηρεσίες. Ακόμα κι αν ένας λογαριασμός εξακολουθεί να είναι ενεργός και αποκτήσουν μη εξουσιοδοτημένη πρόσβαση, αυτό θα μπορούσε να δημιουργήσει σοβαρούς κινδύνους ασφαλείας και να ανοίξει την πόρτα σε ένα ευρύ φάσμα πιθανών επιθέσεων, ανάλογα με τον εν λόγω λογαριασμό.
Καταλήψεις Λογαριασμών (ATO) : Η απόκτηση ελέγχου λογαριασμών είναι σχετικά εύκολη όταν απαιτείται μόνο όνομα χρήστη και κωδικός πρόσβασης. Οι λογαριασμοί χωρίς 2FA διατρέχουν τον μεγαλύτερο κίνδυνο πλήρους κατάληψης λογαριασμού. Μόλις οι εγκληματίες καταλάβουν τον λογαριασμό, έχουν πρόσβαση σε όλα τα προσωπικά δεδομένα και άλλες πληροφορίες που ενδέχεται να υπάρχουν στον λογαριασμό. Αυτό θα μπορούσε να οδηγήσει σε κλοπή ταυτότητας, οικονομική απάτη ή απάτες κοινωνικής μηχανικής που στοχεύουν φίλους, συγγενείς, επιχειρηματικούς συνεργάτες ή επαφές που χρησιμοποιούν τον λογαριασμό του θύματος.
Εταιρική Κατασκοπεία
Σε αυτήν την παραβίαση, είδα πολλά επιχειρηματικά διαπιστευτήρια να περιλαμβάνονται στα αρχεία. Αυτό θα μπορούσε να δώσει στους εισβολείς την ευκαιρία να επιχειρήσουν να αποκτήσουν πρόσβαση στο εσωτερικό δίκτυο μιας εταιρείας για να κλέψουν κρίσιμα επιχειρηματικά δεδομένα, να πραγματοποιήσουν κατασκοπεία ή ακόμα και να εξαπολύσουν επιθέσεις ransomware.
Πολιτεία και Κυβέρνηση
Είδα πολυάριθμους λογαριασμούς .gov από χώρες σε όλο τον κόσμο. Αυτοί θα μπορούσαν να αποτελέσουν σοβαρό πιθανό κίνδυνο εάν κάποιος από αυτούς τους παραβιασμένους λογαριασμούς είχε άδεια ασφαλείας σε ευαίσθητες περιοχές των δικτύων ή δεδομένων της πολιτείας.
Ηλεκτρονικό “ψάρεμα” (phishing) και κοινωνική μηχανική
Ακόμα κι αν ο κωδικός πρόσβασης ενός συγκεκριμένου λογαριασμού είναι παλιός και δεν ισχύει πλέον, η γνώση του email και ενός προηγούμενου κωδικού πρόσβασης μπορεί να κάνει τις επιθέσεις ηλεκτρονικού “ψαρέματος” (phishing) πιο πειστικές. Τα email που λαμβάνονται από μια αξιόπιστη επαφή θα μπορούσαν να αυξήσουν τον κίνδυνο μιας επιτυχημένης προσπάθειας κοινωνικής μηχανικής. Τα email ετών θα μπορούσαν να παρέχουν έναν πλούτο εμπιστευτικών γνώσεων που θα μπορούσαν να χρησιμοποιηθούν για την έναρξη μιας στοχευμένης εκστρατείας ηλεκτρονικού “ψαρέματος” (phishing) εναντίον του κατόχου του λογαριασμού email.
Πώς μπορούν οι χρήστες να προστατευτούν
Δεδομένης της κλίμακας, της παγκόσμιας εμβέλειας και της ενδεχομένως παράνομης φύσης αυτής της παραβίασης, χρησιμεύει ως μια πολύ σημαντική υπενθύμιση να ελέγξετε τον προσωπικό σας κωδικό πρόσβασης και τα μέτρα ασφαλείας σας για να διασφαλίσετε ότι οι λογαριασμοί σας είναι ασφαλείς. Δεν υπάρχει μια πανάκεια ή μια ενιαία προσέγγιση, αλλά υπάρχουν μερικά βασικά, εύλογα βήματα που μπορείτε να ακολουθήσετε για να προστατεύσετε τους λογαριασμούς σας από μη εξουσιοδοτημένη πρόσβαση.
Ακολουθούν τα βασικά βήματα που θα πρότεινα:
Αλλάζετε τους κωδικούς πρόσβασής σας ετησίως
Πολλοί άνθρωποι έχουν μόνο μία διεύθυνση email και συχνά συνδέεται με οικονομικούς λογαριασμούς, μέσα κοινωνικής δικτύωσης, εφαρμογές και άλλα. Οι κίνδυνοι αυξάνονται εάν τα εκτεθειμένα διαπιστευτήρια email συνδέονται με κρίσιμα συστήματα που σχετίζονται με την εργασία ή την επιχείρηση. Η αλλαγή κωδικών πρόσβασης μπορεί να βοηθήσει στην προστασία του λογαριασμού εάν ο παλιός κωδικός πρόσβασης έχει αποκαλυφθεί σε μια γνωστή ή άγνωστη παραβίαση δεδομένων.
Χρησιμοποιήστε μοναδικούς και δύσκολους στην μαντεία κωδικούς πρόσβασης για κάθε λογαριασμό
Όλοι έχουν βιώσει κάτι τέτοιο κάποια στιγμή, αλλά, κατά γενικό κανόνα, δεν πρέπει ποτέ να επαναχρησιμοποιείτε κωδικούς πρόσβασης. Αυτό θα μπορούσε ενδεχομένως να επιτρέψει σε εγκληματίες να παραβιάσουν πολλούς λογαριασμούς και να προκαλέσουν πολύ μεγαλύτερη ζημιά.
Ενεργοποίηση ελέγχου ταυτότητας δύο παραγόντων (2FA)
Οι περισσότεροι λογαριασμοί προσφέρουν αυτό το κρίσιμο επιπλέον επίπεδο ασφάλειας και θα πρέπει οπωσδήποτε να είναι ενεργοποιημένος για ευαίσθητους λογαριασμούς. Ναι — προσθέτει επιπλέον βήματα στη διαδικασία σύνδεσης, αλλά πρέπει να αποδεχτούμε ότι αυτό είναι το τίμημα που πρέπει να πληρώσουμε για την ασφάλεια. Εάν είναι ενεργοποιημένος ο έλεγχος ταυτότητας δύο παραγόντων, τότε οι εγκληματίες δεν μπορούν να χρησιμοποιήσουν μόνο έναν κωδικό πρόσβασης για να παρακάμψουν τη διαδικασία εξουσιοδότησης.
Ελέγξτε αν τα διαπιστευτήριά σας έχουν εκτεθεί
Υπάρχουν πολλές υπηρεσίες (όπως το haveibeenpwned) για να δείτε αν το email σας εμφανίζεται σε γνωστές παραβιάσεις. Ακόμα κι αν αυτές οι υπηρεσίες δεν εντοπίσουν κάποια έκθεση, αυτό δεν σημαίνει ότι ο λογαριασμός δεν έχει ενδεχομένως παραβιαστεί. Γι’ αυτό είναι καλή ιδέα να αλλάζετε περιστασιακά τους κωδικούς πρόσβασης — για να λαμβάνετε προληπτικά μέτρα.
Παρακολούθηση των λογαριασμών σας
Ορισμένοι λογαριασμοί παρέχουν ειδοποιήσεις σύνδεσης, ειδοποιήσεις ύποπτης δραστηριότητας ή τη δυνατότητα προβολής γεωγραφικών τοποθεσιών σύνδεσης. Εάν ο λογαριασμός προσφέρει αυτές τις λειτουργίες, μπορεί να βοηθήσει στον εντοπισμό μη εξουσιοδοτημένης πρόσβασης ή προσπαθειών επαναφοράς κωδικών πρόσβασης.
Σκεφτείτε να χρησιμοποιήσετε Διαχειριστές Κωδικών Πρόσβασης
Κατά τη γνώμη μου, η χρήση ενός διαχειριστή κωδικών πρόσβασης έχει τα πλεονεκτήματα και τα μειονεκτήματά της. Αφενός, είναι πολύ καλοί στη δημιουργία και αποθήκευση μοναδικών, σύνθετων κωδικών πρόσβασης για μεγάλο αριθμό λογαριασμών. Από την άλλη πλευρά, ο κύριος κίνδυνος χρήσης ενός διαχειριστή κωδικών πρόσβασης είναι ότι, σε περίπτωση που ο κύριος κωδικός πρόσβασης πέσει σε λάθος χέρια, θεωρητικά θα αποκτήσουν πρόσβαση σε όλους τους λογαριασμούς σας ταυτόχρονα. Αν και δεν είναι συνηθισμένο, έχουν υπάρξει περιπτώσεις όπου ο ίδιος ο πάροχος της υπηρεσίας διαχείρισης κωδικών πρόσβασης έχει παραβιαστεί. Η παραβίαση δεδομένων LastPass το 2022 είναι ένα χαρακτηριστικό παράδειγμα ενός χειρότερου σεναρίου όπου οι κυβερνοεγκληματίες αντέγραψαν ένα αντίγραφο ασφαλείας του θησαυροφυλακίου πελατών που βασίζεται σε cloud.
Επενδύστε σε ένα καλό antivirus
Η χρήση λογισμικού προστασίας από ιούς μπορεί να βοηθήσει στην ανίχνευση και την αφαίρεση κακόβουλου λογισμικού και spyware που προκαλούν κλοπή πληροφοριών, εάν αποτελούν γνωστές απειλές και περιλαμβάνονται στη βάση δεδομένων ιών τους. Το ποσοστό ανίχνευσης μπορεί να είναι υψηλότερο εάν το antivirus χρησιμοποιεί ανίχνευση που βασίζεται τόσο σε υπογραφές όσο και σε συμπεριφορές. Ωστόσο, τα κακά νέα είναι ότι το τροποποιημένο κακόβουλο λογισμικό και οι νέες άγνωστες παραλλαγές μπορούν να αποφύγουν την ανίχνευση χρησιμοποιώντας συσκότιση και άλλες μεθόδους. Επομένως, το καλύτερο που μπορούμε να κάνουμε είναι να διεξάγουμε τακτικά μια πλήρη σάρωση συστήματος με ένα αξιόπιστο λογισμικό προστασίας από ιούς και να βεβαιωνόμαστε ότι το λογισμικό ενημερώνεται πάντα με την πιο πρόσφατη έκδοση. Για πιο προχωρημένους χρήστες, η σύστασή μου είναι να χρησιμοποιούν λύσεις Endpoint Detection & Response (EDR) για τον εντοπισμό ασυνήθιστης συμπεριφοράς συστήματος, άγνωστων διεργασιών ή απροσδόκητης κίνησης δικτύου.
Κατά την έρευνα για αυτήν την έκθεση, διαπίστωσα ότι η κατοχή ή η διανομή ενδεχομένως κλεμμένων προσωπικών δεδομένων μπορεί να συνιστά ποινικό αδίκημα. Τα περισσότερα ηλεκτρονικά μηνύματα περιέχουν μερικά ή πλήρη ονόματα χρηστών και, όταν συνδυάζονται με ονόματα χρήστη και κωδικούς πρόσβασης, θα μπορούσαν αναμφισβήτητα να θεωρηθούν ως προσωπικά αναγνωρίσιμες πληροφορίες (PII). Ως ερευνητής δεοντολογίας, δεν αποθηκεύω ποτέ δεδομένα ούτε δοκιμάζω εκτεθειμένα διαπιστευτήρια.
Πολλές χώρες έχουν νόμους για το κυβερνοέγκλημα και την προστασία της ιδιωτικής ζωής, αν και τα πρότυπα και οι ορισμοί επιβολής ποικίλλουν, με αποτέλεσμα ένα συνονθύλευμα νομικών πλαισίων που διέπουν τι συνιστά παράνομη δραστηριότητα. Στις ΗΠΑ, νόμοι όπως ο Νόμος περί Απάτης και Κατάχρησης Υπολογιστών (CFAA) καθιστούν παράνομη την διακίνηση κλεμμένων διαπιστευτηρίων σύνδεσης. (18 Κώδικας ΗΠΑ § 1029 – Απάτη και σχετική δραστηριότητα σε σχέση με συσκευές πρόσβασης). Στην ΕΕ, ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) αντιμετωπίζει την κατοχή και την επεξεργασία κλεμμένων προσωπικών δεδομένων ως σοβαρή παραβίαση της νομοθεσίας περί προστασίας δεδομένων.
Δεν υπονοώ καμία αδικοπραγία από τον πάροχο φιλοξενίας ή IP ή/και τους υπαλλήλους, τους αντιπροσώπους, τους εργολάβους, τις θυγατρικές ή/και τις σχετικές οντότητες. Δεν ισχυρίζομαι ότι οποιαδήποτε εσωτερικά δεδομένα ή δεδομένα χρηστών διατρέχουν ποτέ άμεσο κίνδυνο. Τα υποθετικά σενάρια κινδύνου δεδομένων που έχω παρουσιάσει σε αυτήν την έκθεση προορίζονται αυστηρά και αποκλειστικά για εκπαιδευτικούς σκοπούς και δεν αντικατοπτρίζουν, υποδηλώνουν ή υπονοούν οποιαδήποτε πραγματική παραβίαση της ακεραιότητας των δεδομένων. Δεν θα πρέπει να ερμηνεύεται ως αντανάκλαση ή σχολιασμός των συγκεκριμένων πρακτικών, συστημάτων ή μέτρων ασφαλείας οποιουδήποτε οργανισμού.
Ως ερευνητής ηθικής ασφάλειας, δεν κατεβάζω τα δεδομένα που ανακαλύπτω. Λαμβάνω μόνο περιορισμένο αριθμό στιγμιότυπων οθόνης, όπως απαιτείται, και αποκλειστικά για σκοπούς επαλήθευσης και τεκμηρίωσης. Δεν διεξάγω καμία δραστηριότητα πέρα από τον εντοπισμό της ευπάθειας ασφαλείας και την ενημέρωση των αρμόδιων μερών. Αποποιούμαι κάθε ευθύνης για οποιεσδήποτε ενέργειες που ενδέχεται να ληφθούν ως αποτέλεσμα αυτής της αποκάλυψης. Δημοσιεύω τα ευρήματά μου αποκλειστικά για την ευαισθητοποίηση σχετικά με ζητήματα ασφάλειας και απορρήτου δεδομένων. Στόχος μου είναι να ενθαρρύνω τους οργανισμούς να εφαρμόζουν προληπτικά μέτρα για την προστασία των ευαίσθητων πληροφοριών από μη εξουσιοδοτημένη πρόσβαση.
Ο Jeremiah Fowler είναι Ερευνητής Ασφαλείας και συνιδρυτής του Security Discovery. Ο Jeremiah ξεκίνησε την καριέρα του στην έρευνα ασφάλειας το 2015 και έχει ως αποστολή την προστασία δεδομένων. Έχει βοηθήσει στον εντοπισμό και την ασφάλεια των δεδομένων εκατομμυρίων ανθρώπων σε όλο τον κόσμο. Οι ανακαλύψεις του έχουν καλυφθεί, μεταξύ άλλων, από το Forbes, το BBC, το Gizmodo. Η ασφάλεια και η υπεύθυνη γνωστοποίηση δεν είναι μόνο πάθος, αλλά και ένας τρόπος προστασίας της ψηφιακής μας ζωής.
Πηγή: websiteplanet.com
