Την Τετάρτη, δικαστήριο ομοσπονδιακού δικαίου στο Σιάτλ έκλεισε μία από τις μεγαλύτερες παραβιάσεις δεδομένων της πρόσφατης μνήμης. Ο Connor Riley Moucka, 26 ετών, από το Kitchener του Ontario, δήλωσε ένοχος για ηλεκτρονική απάτη, απάτη μέσω ηλεκτρονικών επικοινωνιών, διακεκριμένη κλοπή ταυτότητας και συνωμοσία, για μια εκστρατεία παραβιάσεων του 2024 που έφτασε τουλάχιστον 165 οργανισμούς και εξέθεσε αρχεία που ανήκαν σε τουλάχιστον 100 εκατομμύρια ανθρώπους. Προσωπικά έβαλε στην τσέπη του τουλάχιστον $495,000 από λύτρα και πωλήσεις δεδομένων. Η καταδίκη του έχει προγραμματιστεί για τις 27 Οκτωβρίου και αντιμετωπίζει υποχρεωτική ελάχιστη ποινή δύο ετών μόνο για την κατηγορία της κλοπής ταυτότητας, ενώ για τις υπόλοιπες κατηγορίες η έκθεσή του φτάνει έως και τα 30 χρόνια.
Αυτοί οι αριθμοί είναι ο τίτλος της είδησης. Η λεπτομέρεια που αξίζει να προσέξουμε είναι μικρότερη και πολύ λιγότερο κινηματογραφική: οι εισαγγελείς λένε ότι αυτό που επέτρεψε στην πραγματικότητα στον Moucka να εισέλθει ήταν παλιοί κωδικοί πρόσβασης. Όχι μια ευπάθεια μηδενικής ημέρας. Ούτε κάποιο ελάττωμα στην πλατφόρμα-στόχο, την οποία το Υπουργείο Δικαιοσύνης δεν έχει ακόμη κατονομάσει δημόσια (η Snowflake και η εταιρεία αντιμετώπισης περιστατικών Mandiant είχαν δηλώσει το 2024 ότι εμπλέκονταν, συνδέοντας την υπόθεση με το κύμα παραβιάσεων λογαριασμών πελατών της Snowflake εκείνη τη χρονιά). Τα διαπιστευτήρια είχαν συλλεχθεί χρόνια νωρίτερα από κακόβουλο λογισμικό κλοπής πληροφοριών, παρέμεναν αχρησιμοποίητα και χωρίς αλλαγή και ξεκλείδωσαν λογαριασμούς στους οποίους, επιπλέον, ο έλεγχος ταυτότητας πολλαπλών παραγόντων ήταν απενεργοποιημένος.
Γιατί το «χωρίς αλλαγή» κάνει όλη τη δουλειά σε αυτή την πρόταση
Το κακόβουλο λογισμικό κλοπής πληροφοριών είναι μια κατηγορία κακόβουλου λογισμικού που, μόλις εγκατασταθεί σε μια συσκευή — συχνά μέσω μιας πειρατικής εφαρμογής, μιας ψεύτικης ενημέρωσης προγράμματος περιήγησης ή ενός κακόβουλου συνημμένου — αντλεί κρυφά όσα διαπιστευτήρια βρίσκονται στην αυτόματη συμπλήρωση του προγράμματος περιήγησης και στις αποθήκες αποθηκευμένων κωδικών πρόσβασης του μηχανήματος και στη συνέχεια τα στέλνει σε όποιον χειρίζεται το κακόβουλο λογισμικό. Αυτό δεν είναι κάτι νέο ή εξωτικό· εδώ και χρόνια αποτελεί υπηρεσία εγκληματιών διαθέσιμη ως εμπόρευμα, με κλεμμένες δέσμες διαπιστευτηρίων να αγοράζονται και να πωλούνται χονδρικά.
Το στοιχείο που κάνει την υπόθεση της Snowflake χρήσιμο διδακτικό παράδειγμα είναι το κενό ανάμεσα στην κλοπή και τη χρήση. Αυτοί οι συγκεκριμένοι κωδικοί πρόσβασης φέρεται να είχαν συλλεχθεί «χρόνια νωρίτερα». Αυτό σημαίνει ότι για μεγάλο διάστημα οι άνθρωποι στους οποίους ανήκαν εκείνοι οι λογαριασμοί είχαν ένα παραβιασμένο διαπιστευτήριο ενεργό σε κάποια βάση δεδομένων και τίποτα δεν τους υποχρέωνε να το αλλάξουν. Καμία απόπειρα σύνδεσης δεν επισημάνθηκε ως ύποπτη, επειδή ο εισβολέας δεν είχε ακόμη προσπαθήσει. Δεν ενεργοποιήθηκε επαναφορά κωδικού πρόσβασης, επειδή δεν υπήρχε ενεργή εκμετάλλευση που θα μπορούσε κάποιος να αντιληφθεί. Το διαπιστευτήριο απλώς περίμενε, έγκυρο, μέχρι κάποιος να αποφασίσει να το χρησιμοποιήσει μαζικά εναντίον λογαριασμών πελατών της Snowflake.
Αυτός είναι ο τρόπος αποτυχίας που δημιουργούν οι κωδικοί πρόσβασης όταν επαναχρησιμοποιούνται και δεν αλλάζουν: δεν είναι απαραίτητα αδύναμοι — το κακόβουλο λογισμικό κλοπής πληροφοριών θα αρπάξει ευχαρίστως και έναν ισχυρό, μοναδικό κωδικό πρόσβασης, κατευθείαν από το θησαυροφυλάκιο αποθηκευμένων κωδικών ενός προγράμματος περιήγησης. Το πρόβλημα είναι ότι ένας κλεμμένος κωδικός πρόσβασης δεν έχει ημερομηνία λήξης, εκτός αν ένας άνθρωπος ή μια πολιτική τού ορίσει μία. Μια παραβίαση από το 2021 μπορεί ακόμη να ανοίγει πόρτες το 2024, αν κανείς δεν άλλαξε το διαπιστευτήριο στο μεταξύ.
Η δεύτερη κλειδαριά που δεν υπήρχε
Η άλλη λεπτομέρεια που επισήμαναν οι εισαγγελείς — ο έλεγχος ταυτότητας πολλαπλών παραγόντων ήταν απενεργοποιημένος στους επηρεαζόμενους λογαριασμούς — είναι αυτή που μετέτρεψε έναν κλεμμένο κωδικό πρόσβασης σε πλήρη πρόσβαση στον λογαριασμό. Ο έλεγχος ταυτότητας πολλαπλών παραγόντων έχει σχεδιαστεί ακριβώς για αυτό το σενάριο: θεωρεί δεδομένο ότι οι κωδικοί πρόσβασης κάποια στιγμή θα διαρρεύσουν και προσθέτει μια δεύτερη απόδειξη ταυτότητας (έναν κωδικό, μια ειδοποίηση push, ένα κλειδί υλικού) που ένας κλεμμένος κωδικός πρόσβασης από μόνος του δεν μπορεί να παράσχει. Όταν είναι απενεργοποιημένος, ένα διαρρεύσαν διαπιστευτήριο είναι ολόκληρο το εμπόδιο. Οι αναφορές για το ευρύτερο κύμα παραβιάσεων του 2024 που συνδεόταν με τη Snowflake έχουν επισημάνει ότι σε πολλούς επηρεαζόμενους λογαριασμούς ο MFA δεν ήταν υποχρεωτικός από προεπιλογή, πράγμα που σήμαινε ότι η ρύθμιση εξαρτιόταν από το αν κάθε οργανισμός-πελάτης θα τον ενεργοποιούσε.
Τι σημαίνει αυτό στην πράξη για εσάς
Οι περισσότεροι αναγνώστες αυτού του ενημερωτικού δελτίου δεν διαχειρίζονται αποθήκη δεδομένων Snowflake, όμως ο μηχανισμός εδώ ισχύει για κάθε λογαριασμό που διατηρείτε οπουδήποτε:
- Θεωρήστε ότι οι παλιοί κωδικοί πρόσβασης έχουν παραβιαστεί, όχι απλώς ότι είναι αδύναμοι. Αν επαναχρησιμοποιήσατε έναν κωδικό πρόσβασης σε πολλούς ιστότοπους και δεν τον έχετε αλλάξει από τότε, θεωρήστε τον καμένο — όχι επειδή κάποιος τον μάντεψε, αλλά επειδή μπορεί ήδη να βρίσκεται σε μια λίστα κλεμμένων διαπιστευτηρίων που δεν θα δείτε ποτέ.
- Αλλάξτε τα διαπιστευτήρια μετά την αποκάλυψη παραβίασης από οποιαδήποτε υπηρεσία χρησιμοποιείτε — ακόμη κι αν σας πουν ότι ο συγκεκριμένος λογαριασμός σας «δεν επηρεάστηκε». Οι αρχικές ειδοποιήσεις παραβίασης είναι συχνά ελλιπείς όσο συνεχίζονται οι έρευνες.
- Ενεργοποιήστε τον MFA παντού όπου προσφέρεται και μην υποθέτετε ότι μια υπηρεσία τον ενεργοποιεί από προεπιλογή. Ελέγξτε απευθείας τις ρυθμίσεις ασφαλείας του λογαριασμού, αντί να θεωρείτε ότι η ασφαλέστερη επιλογή είναι ήδη ενεργή.
- Ένας διαχειριστής κωδικών πρόσβασης αντιμετωπίζει τη βασική αιτία, όχι μόνο το σύμπτωμα: κάνει τους μοναδικούς και μη επαναχρησιμοποιούμενους κωδικούς πρόσβασης την ευκολότερη επιλογή, αντί για κάτι που πρέπει να θυμάστε να κάνετε.
- Αν μια συσκευή μπορεί να έχει μολυνθεί από κακόβουλο λογισμικό κλοπής πληροφοριών (εγκαταστάθηκε ένα άγνωστο πρόγραμμα, έγινε λήψη πειρατικού λογισμικού, εμφανίστηκε ύποπτη ειδοποίηση σύνδεσης), η αλλαγή όλων των αποθηκευμένων κωδικών πρόσβασης στη συνέχεια — όχι μόνο εκείνου που θεωρείτε ότι είχε σημασία — είναι ο μόνος τρόπος να γνωρίζετε ότι μια παλιά μόλυνση δεν συνεχίζει να αποδίδει για όποιον συνέλεξε τα δεδομένα.
Η αναντιστοιχία είναι το δίδαγμα
Υπάρχει κάτι σχεδόν άβολο σε μια υπόθεση τόσο σημαντική — μέγιστη έκθεση 30 ετών, υποχρεωτική ελάχιστη ποινή, αρχεία 100 εκατομμυρίων ανθρώπων — που βασίζεται σε έναν τόσο πεζό μηχανισμό. Καμία αλυσίδα εκμετάλλευσης, καμία πρωτοποριακή τεχνική, απλώς ένας κωδικός πρόσβασης που κανείς δεν μπήκε στον κόπο να αλλάξει και μια ρύθμιση ασφαλείας που κανείς δεν ενεργοποίησε. Αυτή η αναντιστοιχία είναι ακριβώς ο λόγος για τον οποίο αξίζει να θυμόμαστε την υπόθεση αφού ξεθωριάσουν οι τίτλοι για την καταδίκη: οι μεγαλύτερες παραβιάσεις συνήθως δεν χρειάζονται έναν ιδιοφυή εισβολέα. Χρειάζονται ένα διαπιστευτήριο που δεν άλλαξε ποτέ, σε έναν λογαριασμό όπου ο MFA δεν ενεργοποιήθηκε ποτέ.
