Ogromny wyciek czy wydmuszka? Co wiemy o ostatnim incydencie z milionami polskich haseł

Obserwujemy trochę skrajnych podejść jeśli chodzi o temat, który jako pierwszy opisała Z3S. Tutaj możesz sprawdzić czy Twoje dane znalazły się w wycieku.

Rzeczywiście w sieci pojawiła się duża baza (czy raczej plik) zwierający dane należące w dużej mierze do polskich użytkowników (m.in. adresy / loginy / hasła). Warto jednak podkreślić, że baza powstała w wyniku działania malware / wirusa (czy będąc bardziej precyzyjnym – stealera). Przy okazji warto spojrzeć na krótką relację z 2022 roku, gdzie pisaliśmy o innym dumpie (z którego zostały wyłuskane dane logowania do domen gov.pl)

Wracając do oryginalnego wycieku – w kontekście ofiar mamy dobre i złe wieści.

Dobra: jeśli w bazie widnieje np. adres należący do x-kom.pl, wcale automatem nie oznacza to, że mieliśmy masowy wyciek z tego sklepu (AKA ktoś zhackował x-kom). Wręcz przeciwnie, biorąc pod uwagę charakter obecnego 'dumpa’ szansa, że doszło do dużego hacku serwisu (i dane z niego są w tym dumpie) jest raczej nikła.

Zła strona: jeśli logowałeś się np. do x-kom.pl i Twoje dane znajdują się w dumpie, powinieneś mieć pewne powody do niepokoju. Być może na Twoim komputerze działa wcześniej wspomniany malware i cały czas kradnie Twoje hasła? Inna możliwość – zalogowałeś się na komputerze kolegi lub (o zgrozo) publicznym komputerze, gdzie działa(ł) malware. Używasz tego samego hasła w wielu różnych miejscach? Ponownie: możesz mieć problem, bo atakujący mogą „na głupiego” próbować wyciekniętą parę login/hasło gdziekolwiek.

Może być również tak, że pracownik firmy X (pojawiającej się w dumpie) stworzył konto w zupełnie zewnętrznym serwisie (dla odmiany załóżmy niech będzie to Facebook) i użył tam firmowego adresu e-mail. Znowu – być może zakładanie konta było realizowane z domowego komputera (gdzie działa malware). Niby „luzik”, ale co jeśli taki użytkownik ma dostęp do sieci korporacyjnej (poprzez VPN)? A może takie konto było założone z firmowego komputera? (wtedy trzeba założyć, że stealer działa w naszej infrastrukturze IT).

Jeszcze inny wariant – wyciekło hasło do jednego z paneli administracyjnych aplikacji należących do firmy X.

Jak widać scenariuszów jest tutaj sporo, a jeśli nałożyć spory przedział dat, w trakcie których najprawdopodobniej dump był realizowany (w dumpie widać np. trochę „fraz” 2017 i „starszych) – to w ogóle mamy niezły bigos.

W skrócie nie ma tutaj prostej, zerojedynkowej odpowiedzi na zasadzie – „luzik, małe ryzyko”, czy „ooo moja firma jest w wycieku – makabra”. Tzn. taka odpowiedź jest do uzyskania, ale wymaga to trochę zachodu.

Na koniec warto zaznaczyć, że tym razem nie zadziała zasada – „stosuj silne hasła”. Nie ważne jak złożone hasło mamy – stealer takie hasło jest w stanie wyciągnąć z naszego komputera (jeśli je wpisujemy, bądź mamy gdzieś zapisane).

Na pewno pomoże jednak dwuczynnikowe uwierzytelnienie – tj. jeśli ktoś posiada Twój login/hasło (np. do Facebooka) to i tak się nie zaloguje.

Jak z kolei bronić się przed malware / stealerami?

1. Nie pracuj z uprawnieniami administratora
2. Miej zainstalowanego ad blockera w przeglądarce (patrz też: Nasz czytelnik wygooglał pakiet instalacyjny Gimpa. Trafił na fejkową reklamę, zainfekował komputer i stracił dostęp do konta Google)
3. Aktualizuj używane oprogramowanie.
4. Uważaj z jakiego miejsca pobierasz / instalujesz oprogramowanie.
5. Uważaj na emaile phishingowe zawierające załączniki lub sugerujące pobranie / zainstalowanie plików na Twoim komputerze
6. Posiadaj aktualne oprogramowanie antywirusowe (instalowane oprogramowanie możesz również spróbować sprawdzić w serwisie virustotal.com).

To tylko kilka przykładów. Przy okazji odsyłam również np. do dokumentu 18 CIS Critical Security Controls (rozdział 10 – Malware Defenses).

Czy stealer może wykraść dane z password managera? To zależy od stealera (więcej informacji np. tutaj czy tutaj).

No dobra, ale czy to jest wyciek czy nie? Formalnie i realnie jest. Tylko jest to przede wszystkim wyciek z komputerów użytkowników a nie masowy wyciek z konkretnych firm / serwisów.

~ms