Woensdag het ’n federale hofsaal in Seattle een van die grootste dataskendings in onlangse geheue afgesluit. Connor Riley Moucka, 26, van Kitchener, Ontario, het skuldig gepleit aan rekenaarbedrog, elektroniese bedrog, verswarende identiteitsdiefstal en sameswering oor ’n inbraakveldtog in 2024 wat minstens 165 organisasies bereik het en rekords van minstens 100 miljoen mense blootgelê het. Hy het persoonlik minstens $495,000 uit lospryse en dataverkope in sy sak gesteek. Hy sal na verwagting op 27 Oktober gevonnis word en staar ’n verpligte minimumstraf van twee jaar op die identiteitsdiefstaltelling alleen in die gesig, met ’n moontlike maksimum van 30 jaar vir die res.

Daardie syfers is die opskrif. Die detail waarby ’n mens moet stilstaan, is kleiner en baie minder filmies: aanklaers sê dit wat Moucka eintlik toegang gegee het, was ou wagwoorde. Nie ’n zero-day nie. Nie ’n fout in die geteikende platform nie, wat die Departement van Justisie steeds nie in die openbaar by name genoem het nie (Snowflake en die voorvalreaksiefirma Mandiant het hul betrokkenheid reeds in 2024 bekend gemaak en die saak verbind aan die vlaag skendings teen Snowflake-kliënte se rekeninge daardie jaar). Die geloofsbriewe is jare tevore deur infostealer-wanware ingesamel, het ongebruik en onveranderd bly lê, en het rekeninge ontsluit waarop veelvuldige-faktor-verifikasie toevallig ook afgeskakel was.

Waarom “onveranderd” al die werk in daardie sin doen

Infostealer-wanware is ’n kategorie kwaadwillige sagteware wat, sodra dit op ’n toestel beland — dikwels via ’n seerower-toepassing, ’n vals blaaieropdatering of ’n kwaadwillige aanhegsel — stilweg alles wat in daardie toestel se blaaier-outovul- en gestoorde-wagwoordbergings lê, afsuig en dit dan aanstuur na wie ook al die wanware bedryf. Dit is nie nuut of eksoties nie; dit is al jare lank ’n algemene kriminele diens, met gesteelde bondels geloofsbriewe wat in grootmaat gekoop en verkoop word.

Die deel wat die Snowflake-saak ’n nuttige voorbeeld vir onderrig maak, is die gaping tussen diefstal en gebruik. Hierdie spesifieke wagwoorde is glo “jare tevore” ingesamel. Dit beteken dat die mense wat daardie rekeninge besit het, vir ’n lang tyd ’n gekompromitteerde geloofsbrief gehad het wat iewers in ’n databasis aktief gebly het, en niks hulle gedwing het om dit te verander nie. Geen aanmeldpoging is as verdag gemerk nie, omdat die aanvaller nog nie probeer het nie. Geen wagwoordterugstelling is geaktiveer nie, omdat daar geen aktiewe uitbuiting was wat iemand kon raaksien nie. Die geloofsbrief het bloot geldig gewag totdat iemand besluit het om dit op groot skaal teen Snowflake-kliënte se rekeninge te gebruik.

Dit is die faalmodus wat hergebruikte en onveranderde wagwoorde skep: dit is nie noodwendig dat hulle swak is nie — infostealer-wanware gryp net so graag ’n sterk, unieke wagwoord direk uit ’n blaaier se gestoorde-wagwoordkluis. Dit is dat ’n gesteelde wagwoord geen vervaldatum het nie, tensy ’n mens of ’n beleid een daaraan gee. ’n Skending uit 2021 kan in 2024 steeds deure oopmaak as niemand die geloofsbrief intussen verander het nie.

Die tweede slot wat nie daar was nie

Die ander detail wat aanklaers uitgelig het — veelvuldige-faktor-verifikasie wat op die geaffekteerde rekeninge afgeskakel was — is wat ’n gesteelde wagwoord in volle rekeningtoegang verander het. Veelvuldige-faktor-verifikasie is presies vir hierdie scenario ontwerp: dit aanvaar dat wagwoorde uiteindelik sal uitlek en voeg ’n tweede bewys van identiteit by (’n kode, ’n stootkennisgewing, ’n hardeware-sleutel) waaraan ’n gesteelde wagwoord alleen nie kan voldoen nie. Wanneer dit afgeskakel is, is ’n uitlekte geloofsbrief die hele versperring. Beriggewing oor die breër golf van Snowflake-gekoppelde skendings in 2024 het daarop gewys dat baie geaffekteerde rekeninge nie by verstek MFA afgedwing het nie, wat beteken het dat die instelling daarvan afgehang het of elke kliënteorganisasie dit aktief aangeskakel het.

Wat dit werklik vir jou beteken

Die meeste lesers van hierdie nuusbrief bedryf nie ’n Snowflake-datapakhuis nie, maar die meganika hier is van toepassing op enige rekening wat jy enige plek het:

  • Aanvaar dat ou wagwoorde gekompromitteer is, nie net swak nie. As jy ’n wagwoord op verskeie webwerwe hergebruik het en dit sedertdien nie verander het nie, behandel dit as uitgebrand — nie omdat iemand dit geraai het nie, maar omdat dit dalk reeds in ’n gesteelde-geloofsbriewelys sit wat jy nooit sal sien nie.
  • Verander geloofsbriewe nadat enige diens wat jy gebruik ’n skending bekend maak — selfs al word daar vir jou gesê jou spesifieke rekening “is nie geraak nie”. Aanvanklike skendingkennisgewings is dikwels onvolledig namate ondersoeke voortgaan.
  • Skakel MFA oral aan waar dit aangebied word, en moenie aanvaar dat ’n diens dit by verstek aktiveer nie. Gaan rekeningsekuriteitinstellings direk na eerder as om te vertrou dat die veiligste opsie reeds aktief is.
  • ’n Wagwoordbestuurder los die grondoorsaak op, nie net die simptoom nie: dit maak unieke, nie-hergebruikte wagwoorde die weg van die minste weerstand, eerder as iets wat jy moet onthou om te doen.
  • As ’n toestel moontlik met infostealer-wanware besmet is (’n onbekende program wat geïnstalleer is, ’n seeroweraflaai, ’n verdagte aanmeldwaarskuwing), is die verandering van elke gestoorde wagwoord daarna — nie net die een wat jy dink saak gemaak het nie — die enigste manier om te weet dat ’n ou infeksie nie steeds opbrengste lewer vir wie ook al die data ingesamel het nie.

Die teenstrydigheid is die les

Daar is iets byna ongemaklik aan ’n saak met hierdie omvang — ’n maksimumblootstelling van 30 jaar, ’n verpligte minimumstraf, die rekords van 100 miljoen mense — wat op ’n meganisme so alledaags berus. Geen uitbuitingsketting nie, geen nuwe tegniek nie, net ’n wagwoord wat niemand daartoe gekom het om te verander nie en ’n sekuriteitsinstelling wat niemand aangeskakel het nie. Daardie teenstrydigheid is presies waarom dit die moeite werd is om die saak te onthou nadat die opskrifte oor die vonnis vervaag het: die grootste skendings het gewoonlik nie ’n briljante aanvaller nodig nie. Hulle het een geloofsbrief nodig wat nooit verander is nie, op een rekening waar MFA nooit aangeskakel is nie.