Ve středu skončilo u federálního soudu v Seattlu jedno z největších úniků dat za poslední dobu. Connor Riley Moucka, 26 let, z Kitcheneru v Ontariu, se přiznal k počítačovému podvodu, podvodu prostřednictvím elektronické komunikace, kvalifikované krádeži identity a spiknutí v souvislosti s hackerskou sérií z roku 2024, která zasáhla nejméně 165 organizací a odhalila záznamy nejméně 100 milionů lidí. Osobně získal nejméně 495 000 dolarů na výkupném a prodeji dat. Trest mu má být uložen 27. října; za samotný bod týkající se krádeže identity mu hrozí povinné minimum dva roky a za zbývající obvinění až 30 let.

Tato čísla jsou tím, co se objevuje v titulcích. Detail, u kterého stojí za to se zastavit, je menší a mnohem méně filmový: podle žalobců Mouckovi ve skutečnosti umožnila přístup stará hesla. Ne zranitelnost typu zero-day. Ani chyba v napadené platformě, jejíž název ministerstvo spravedlnosti dosud veřejně neuvedlo (Snowflake a firma Mandiant zabývající se reakcí na incidenty v roce 2024 samy potvrdily své zapojení a spojily případ s vlnou útoků na účty zákazníků Snowflake z téhož roku). Přihlašovací údaje byly před lety získány malwarem typu infostealer, zůstaly nepoužívané a nezměněné a odemykaly účty, u nichž navíc nebylo zapnuté vícefaktorové ověřování.

Proč je v této větě právě „nezměněné“ to nejdůležitější

Malware typu infostealer je kategorie škodlivého softwaru, který po proniknutí do zařízení — často prostřednictvím pirátské aplikace, falešné aktualizace prohlížeče nebo škodlivé přílohy — potichu odsaje veškeré přihlašovací údaje uložené v automatickém doplňování prohlížeče a v úložištích uložených hesel a následně je odešle tomu, kdo malware provozuje. Není to nic nového ani exotického; už řadu let jde o běžně dostupnou kriminální službu, přičemž odcizené balíky přihlašovacích údajů se nakupují a prodávají ve velkém.

Část, která z případu Snowflake dělá užitečný názorný příklad, spočívá v prodlevě mezi krádeží a použitím. Tato konkrétní hesla byla údajně získána „před lety“. To znamená, že po dlouhou dobu měli lidé, kterým účty patřily, kompromitované přihlašovací údaje stále aktivní někde v databázi a nic je nenutilo je změnit. Žádný pokus o přihlášení nebyl označen jako podezřelý, protože útočník se o to zatím nepokoušel. Nebyl spuštěn reset hesla, protože neexistoval žádný aktivní útok, kterého by si někdo všiml. Přihlašovací údaje jednoduše čekaly, platné, dokud se je někdo nerozhodl ve velkém použít proti účtům zákazníků Snowflake.

To je způsob selhání, který vytvářejí znovu používaná a neměněná hesla: nejde nutně o to, že jsou slabá — malware typu infostealer ochotně sebere i silné, jedinečné heslo, přímo z úložiště uložených hesel v prohlížeči. Jde o to, že odcizené heslo nemá datum expirace, pokud mu ho nedá člověk nebo zásada. Únik z roku 2021 může stále otevírat dveře v roce 2024, pokud mezitím nikdo přihlašovací údaje nezměnil.

Druhý zámek, který chyběl

Další detail, na který žalobci upozornili — vypnuté MFA u dotčených účtů — proměnil odcizené heslo v úplný přístup k účtu. Vícefaktorové ověřování je navrženo přesně pro tento scénář: předpokládá, že hesla dříve či později uniknou, a přidává druhý důkaz identity (kód, oznámení s výzvou k potvrzení, hardwarový klíč), který samotné odcizené heslo nedokáže splnit. Když je vypnuté, uniklé přihlašovací údaje představují celou překážku. Zprávy o širší vlně úniků spojených se Snowflake z roku 2024 uváděly, že u mnoha dotčených účtů nebylo MFA ve výchozím nastavení vynuceno, takže jeho zapnutí záviselo na tom, zda ho každá zákaznická organizace aktivně povolila.

Co to ve skutečnosti znamená pro vás

Většina čtenářů tohoto newsletteru neprovozuje datový sklad Snowflake, ale zde popsaný mechanismus se týká jakéhokoli účtu, který kdekoli máte:

  • Předpokládejte, že stará hesla jsou kompromitovaná, nejen slabá. Pokud jste stejné heslo použili na více webech a od té doby jste ho nezměnili, považujte ho za zneplatněné — ne proto, že ho někdo uhodl, ale protože už může být na seznamu odcizených přihlašovacích údajů, který nikdy neuvidíte.
  • Po každém oznámení úniku u služby, kterou používáte, přihlašovací údaje změňte — i když vám někdo řekne, že váš konkrétní účet „nebyl zasažen“. První oznámení o úniku bývají v průběhu vyšetřování často neúplná.
  • Zapněte MFA všude, kde je nabízeno a nepředpokládejte, že ho služba aktivuje automaticky. Zkontrolujte přímo nastavení zabezpečení účtu, místo abyste spoléhali na to, že nejbezpečnější možnost už je aktivní.
  • Správce hesel řeší příčinu problému, nejen jeho příznak: díky němu jsou jedinečná, znovu nepoužívaná hesla tou nejsnazší cestou, místo aby šlo o něco, na co si musíte pamatovat.
  • Pokud mohlo být zařízení infikováno malwarem typu infostealer (nainstalovaný neznámý program, pirátské stažení, podezřelé upozornění na přihlášení), je následná změna všech uložených hesel — nejen toho, o kterém si myslíte, že bylo důležité — jediným způsobem, jak zjistit, že stará infekce stále nepřináší užitek tomu, kdo data získal.

Ponaučení spočívá v tom nesouladu

Na případu s tak závažnými důsledky — s maximálním možným trestem 30 let, povinným minimem a záznamy 100 milionů lidí — je téměř znepokojivé, že spočívá na tak všedním mechanismu. Žádný řetězec zneužití, žádná novátorská technika, jen heslo, které nikdo nezměnil, a bezpečnostní nastavení, které nikdo nezapnul. Právě tento nesoulad je důvodem, proč stojí za to si případ pamatovat i poté, co titulky o vynesení rozsudku odezní: k největším únikům obvykle není potřeba geniální útočník. Stačí jedny přihlašovací údaje, které nikdo nikdy nezměnil, na jednom účtu, kde nikdy nebylo zapnuté MFA.