Keskiviikkona Seattlen liittovaltion tuomioistuin saattoi päätökseen yhden viime aikojen suurimmista tietomurroista. Kitchenerissä Ontariossa asuva 26-vuotias Connor Riley Moucka myönsi syyllisyytensä tietokonepetokseen, sähköiseen petokseen, törkeään identiteettivarkauteen ja salaliittoon vuonna 2024 toteuttamastaan hakkerointikampanjasta, joka ulottui ainakin 165 organisaatioon ja paljasti ainakin 100 miljoonan ihmisen tietoja. Hän sai itse vähintään 495 000 dollaria lunnas- ja tietokaupoista. Tuomio annetaan 27. lokakuuta, ja häntä uhkaa pelkästään identiteettivarkaussyytteestä vähintään kahden vuoden pakollinen vankeusrangaistus sekä muista syytteistä enintään 30 vuoden rangaistus.

Nuo luvut ovat otsikkotasoa. Huomionarvoinen yksityiskohta on pienempi ja paljon vähemmän elokuvamainen: syyttäjien mukaan Mouckan pääsyn mahdollistivat vanhat salasanat. Ei nollapäivähaavoittuvuus. Ei kohteena olleen alustan puute, jonka oikeusministeriö ei vieläkään ole nimennyt julkisesti (Snowflake ja tietoturvaloukkausten tutkintayritys Mandiant kertoivat jo vuonna 2024 olleensa mukana tutkinnassa ja yhdistivät tapauksen samana vuonna tapahtuneeseen Snowflaken asiakastilien tietomurtoaaltoon). Tunnistetiedot oli varastettu vuosia aiemmin infostealer-haittaohjelmalla, ne olivat jääneet käyttämättömiksi eikä niitä ollut vaihdettu, ja niiden avulla pääsi tileille, joilla monivaiheinen tunnistautuminen sattui myös olemaan pois käytöstä.

Miksi ”vaihtamatta jättäminen” tekee tuossa virkkeessä kaiken työn

Infostealer-haittaohjelma on haittaohjelmaluokka, joka laitteelle päästyään — usein piraattisovelluksen, väärennetyn selainpäivityksen tai haitallisen liitetiedoston kautta — imee hiljaa talteen kaikki tunnistetiedot, jotka ovat laitteen selaimen automaattisessa täytössä ja tallennettujen salasanojen säilöissä, ja lähettää ne haittaohjelman ylläpitäjälle. Tämä ei ole uutta tai eksoottista; kyse on jo vuosia toimineesta rikollisesta bulkkipalvelusta, jossa varastettuja tunnistetietoja ostetaan ja myydään suurina erinä.

Snowflake-tapauksesta tekee hyödyllisen opetusesimerkin varkauden ja käytön väliin jäävä aika. Näiden salasanojen kerrotaan olevan peräisin ”vuosia aiemmin”. Se tarkoittaa, että pitkän aikaa kyseisten tilien omistajilla oli jossain tietokannassa aktiivisena vaarantunut tunnistetieto, eikä mikään pakottanut heitä vaihtamaan sitä. Yhtäkään kirjautumisyritystä ei merkitty epäilyttäväksi, koska hyökkääjä ei vielä yrittänyt kirjautua. Salasanan vaihtoa ei käynnistetty, koska aktiivista hyökkäystä ei ollut kenenkään havaittavaksi. Tunnistetieto vain odotti kelvollisena, kunnes joku päätti käyttää sitä laajamittaisesti Snowflaken asiakastilejä vastaan.

Tätä vaihtamatta jätetyt vanhat salasanat mahdollistavat: ongelma ei välttämättä ole niiden heikkous — infostealer-haittaohjelma varastaa mielellään myös vahvan ja yksilöllisen salasanan suoraan selaimen tallennettujen salasanojen säilöstä. Ongelma on siinä, ettei varastetulla salasanalla ole viimeistä käyttöpäivää, ellei ihminen tai käytäntö määritä sellaista. Vuonna 2021 tapahtunut tietomurto voi yhä avata ovia vuonna 2024, jos kukaan ei ole välillä vaihtanut tunnistetietoa.

Toinen lukko, jota ei ollut

Toinen syyttäjien esiin nostama yksityiskohta — monivaiheisen tunnistautumisen poistaminen käytöstä kohteena olleilla tileillä — muutti varastetun salasanan täydelliseksi tilipääsyksi. Monivaiheinen tunnistautuminen on suunniteltu juuri tällaista tilannetta varten: se olettaa salasanojen vuotavan ennemmin tai myöhemmin ja lisää toisen henkilöllisyystodisteen (koodin, push-ilmoituksen tai laiteavaimen), jota pelkkä varastettu salasana ei riitä täyttämään. Kun se on poistettu käytöstä, vuotanut tunnistetieto muodostaa koko suojan. Vuoden 2024 Snowflakeen yhdistettyä laajempaa tietomurtoaaltoa koskevissa raporteissa on todettu, ettei monivaiheinen tunnistautuminen ollut monilla kohteena olleilla tileillä oletusarvoisesti pakotettu käyttöön, joten asetus riippui siitä, ottiko kukin asiakasorganisaatio sen aktiivisesti käyttöön.

Mitä tämä oikeasti tarkoittaa sinulle

Useimmat tämän uutiskirjeen lukijat eivät pyöritä Snowflake-tietovarastoa, mutta tässä kuvatut toimintaperiaatteet koskevat kaikkia tilejäsi kaikkialla:

  • Oleta vanhojen salasanojen vaarantuneen, älä pelkästään heikoiksi. Jos käytit samaa salasanaa useilla sivustoilla etkä ole vaihtanut sitä sen jälkeen, pidä sitä menetettynä — ei siksi, että joku olisi arvannut sen, vaan koska se saattaa jo olla varastettujen tunnistetietojen luettelossa, jota et koskaan näe.
  • Vaihda tunnistetiedot, kun jokin käyttämäsi palvelu ilmoittaa tietomurrosta — vaikka sinulle kerrottaisiin, ettei oma tilisi ”ollut vaarantunut”. Alustavat tietomurtoilmoitukset ovat usein puutteellisia tutkimusten jatkuessa.
  • Ota monivaiheinen tunnistautuminen käyttöön kaikkialla, missä sitä tarjotaan äläkä oleta, että palvelu ottaa sen oletusarvoisesti käyttöön. Tarkista tilin suojausasetukset suoraan sen sijaan, että luottaisit turvallisimman vaihtoehdon olevan jo aktiivinen.
  • Salasanojen hallintaohjelma ratkaisee perimmäisen syyn, ei vain oiretta: se tekee yksilöllisistä, uudelleen käyttämättömistä salasanoista helpoimman vaihtoehdon sen sijaan, että ne olisivat asia, joka sinun täytyy muistaa tehdä.
  • Jos laitteesi on saattanut saada infostealer-haittaohjelmatartunnan (laitteelle on asennettu tuntematon ohjelma, olet ladannut piraattiohjelman tai saanut epäilyttävän kirjautumishälytyksen), vaihda sen jälkeen kaikki tallennetut salasanat — ei vain sitä, jonka uskot olleen tärkeä — sillä vain näin voit tietää, ettei vanha tartunta yhä tuota hyötyä tietojen kerääjälle.

Ero on opetus

Tässä näin merkittävässä tapauksessa on jotain lähes epämukavaa — enintään 30 vuoden rangaistusuhka, pakollinen vähimmäisrangaistus ja 100 miljoonan ihmisen tiedot — kun kaiken taustalla on näin arkinen mekanismi. Ei hyökkäysketjua, ei uutta tekniikkaa, vain salasana, jota kukaan ei tullut vaihtaneeksi, ja suojausasetus, jota kukaan ei ottanut käyttöön. Juuri tämä ristiriita tekee tapauksesta muistamisen arvoisen sen jälkeen, kun tuomiota koskevat otsikot ovat unohtuneet: suurimmat tietomurrot eivät yleensä tarvitse nerokasta hyökkääjää. Ne tarvitsevat yhden tunnistetiedon, jota ei koskaan vaihdettu, ja yhden tilin, jolla monivaiheista tunnistautumista ei koskaan otettu käyttöön.