Onsdag afsluttede en føderal domstol i Seattle en af de største datalækager i nyere tid. Connor Riley Moucka, 26, fra Kitchener i Ontario, erklærede sig skyldig i computerbedrageri, elektronisk bedrageri, groft identitetstyveri og sammensværgelse i forbindelse med en hackerkampagne i 2024, der ramte mindst 165 organisationer og afslørede oplysninger om mindst 100 millioner mennesker. Han stak personligt mindst 495.000 dollars i lommen fra løsepenge og salg af data. Han skal efter planen have sin straf udmålt den 27. oktober og risikerer en obligatorisk minimumsstraf på to år alene for identitetstyveriet samt op til 30 år for de øvrige forhold.

Det er de tal, der står i overskrifterne. Den detalje, der er værd at dvæle ved, er mindre og langt mindre filmisk: Anklagerne siger, at det, der faktisk gav Moucka adgang, var gamle adgangskoder. Ikke en zero-day. Ikke en fejl i den målrettede platform, som Justitsministeriet stadig ikke offentligt har navngivet (Snowflake og incident-response-firmaet Mandiant identificerede sig selv som involverede allerede i 2024 og knyttede sagen til bølgen af angreb mod Snowflake-kundekonti det år). Adgangsoplysningerne var blevet høstet flere år tidligere af infostealer-malware, lå ubrugte og var ikke blevet udskiftet, og de låste konti op, hvor multifaktorgodkendelse også tilfældigvis var slået fra.

Hvorfor »ikke blevet udskiftet« bærer hele sætningen

Infostealer-malware er en kategori af skadelig software, der, når den først lander på en enhed — ofte via en piratkopieret app, en falsk browseropdatering eller en skadelig vedhæftet fil — i stilhed suger alle de adgangsoplysninger til sig, der ligger i maskinens browseres autofyld- og gemte adgangskodelagre, og derefter sender dem til den, der driver malwaren. Det er hverken nyt eller eksotisk; det har i årevis været en kriminel standardtjeneste, hvor stjålne samlinger af adgangsoplysninger købes og sælges i bulk.

Det, der gør Snowflake-sagen til et nyttigt undervisningseksempel, er afstanden mellem tyveri og brug. Disse bestemte adgangskoder blev angiveligt høstet »flere år tidligere«. Det betyder, at de personer, der ejede kontiene, i lang tid havde en kompromitteret adgangsoplysning liggende aktiv i en database et sted, uden at noget tvang dem til at ændre den. Intet loginforsøg blev markeret som mistænkeligt, fordi angriberen endnu ikke forsøgte sig. Ingen nulstilling af adgangskoden blev udløst, fordi der ikke var noget aktivt angreb, som nogen kunne opdage. Adgangsoplysningen ventede bare, gyldig, indtil nogen besluttede at bruge den i stor skala mod Snowflake-kundekonti.

Det er den fejltilstand, som genbrugte og ikke-udskiftede adgangskoder skaber: Det er ikke nødvendigvis, fordi de er svage — infostealer-malware tager også gerne en stærk, unik adgangskode direkte fra en browsers lager med gemte adgangskoder. Det er, fordi en stjålet adgangskode ikke har nogen udløbsdato, medmindre et menneske eller en politik giver den en. Et datalæk fra 2021 kan stadig åbne døre i 2024, hvis ingen nogensinde har udskiftet adgangsoplysningen i mellemtiden.

Den anden lås, der ikke var der

Den anden detalje, som anklagerne fremhævede — at MFA var slået fra på de berørte konti — var det, der forvandlede en stjålet adgangskode til fuld kontoadgang. Multifaktorgodkendelse er designet præcis til dette scenarie: Den antager, at adgangskoder på et tidspunkt vil lække, og tilføjer et andet identitetsbevis (en kode, en push-notifikation eller en hardwaretoken), som en stjålet adgangskode alene ikke kan opfylde. Når det er slået fra, er en lækket adgangsoplysning hele barrieren. Rapporteringen om den bredere bølge af Snowflake-relaterede datalæk i 2024 har bemærket, at mange berørte konti ikke havde MFA håndhævet som standard, hvilket betød, at indstillingen afhang af, at hver kundeorganisation aktivt slog den til.

Hvad det faktisk betyder for dig

De fleste læsere af dette nyhedsbrev driver ikke et Snowflake-datavarehus, men mekanismerne her gælder for enhver konto, du har noget sted:

  • Antag, at gamle adgangskoder er kompromitterede, ikke bare svage. Hvis du har genbrugt en adgangskode på flere websteder og ikke har ændret den siden, så betragt den som brændt — ikke fordi nogen gættede den, men fordi den allerede kan ligge på en liste over stjålne adgangsoplysninger, som du aldrig kommer til at se.
  • Udskift adgangsoplysninger, efter at en tjeneste, du bruger, oplyser om et datalæk — også selv om du får at vide, at netop din konto »ikke var berørt«. De første meddelelser om datalæk er ofte ufuldstændige, mens undersøgelserne fortsætter.
  • Slå MFA til overalt, hvor det tilbydes, og gå ikke ud fra, at en tjeneste aktiverer det som standard. Tjek sikkerhedsindstillingerne på kontoen direkte i stedet for at stole på, at den sikreste mulighed allerede er aktiv.
  • En adgangskodeadministrator løser den grundlæggende årsag, ikke kun symptomet: Den gør unikke adgangskoder, der ikke genbruges, til den nemmeste løsning i stedet for noget, du skal huske at gøre.
  • Hvis en enhed kan være blevet inficeret med infostealer-malware (et ukendt program, der er installeret, en piratkopieret download eller en mistænkelig login-advarsel), er det den eneste måde at vide, at en gammel infektion ikke stadig giver udbytte til den, der indsamlede dataene, at udskifte alle gemte adgangskoder bagefter — ikke kun den, du tror var vigtig.

Uoverensstemmelsen er læren

Der er noget næsten ubehageligt ved, at en sag med så store konsekvenser — en maksimal straframme på 30 år, en obligatorisk minimumsstraf og oplysninger om 100 millioner mennesker — hviler på en så hverdagsagtig mekanisme. Ingen udnyttelseskæde, ingen ny teknik, bare en adgangskode, som ingen fik taget sig sammen til at ændre, og en sikkerhedsindstilling, som ingen slog til. Det er præcis derfor, sagen er værd at huske, efter at overskrifterne om strafudmålingen er forsvundet: De største datalæk har som regel ikke brug for en genial angriber. De har brug for én adgangsoplysning, der aldrig blev udskiftet, på én konto, hvor MFA aldrig blev slået til.