Négy egymással össze nem függő biztonsági eset robbant ki az elmúlt hetekben. Egy kutató felfedezte, hogy egy utólag beszerelhető, KARR nevű autóriasztót — amelyet becslések szerint több mint 2 millió járműbe építettek be — bárki csendben kinyithatja, kikapcsolhatja vagy hatástalaníthatja, ha Bluetooth-hatótávolságon belül van. A Bitsight egyik fenyegetéselemzője kiderítette, hogy egy népszerű, olcsó streaming-eszköz, a H96, évek óta csendben bérbe adja tulajdonosai internetkapcsolatát, és csalárd hirdetésekre kattintgat, miközben mobiltelefonnak adja ki magát. Egy hacker bűnösnek vallotta magát olyan betörésekben, amelyek több mint 100 millió ember adatait érintették, és nem valamiféle ravasz exploiton keresztül jutott be, hanem olyan ügyféljelszavakon át, amelyek egy évekkel korábbi infostealer-fertőzés óta hevertek érintetlenül, olyan fiókokon, amelyeken sosem kapcsolták be a többtényezős hitelesítést. A kutatók pedig bebizonyították, hogy megfelelő körülmények között a kártevők képesek kinyerni a Google Password Manageren keresztül szinkronizált jelszókulcsokat (passkey-ket) — pontosan abból a rendszerből, amelyet sokan kifejezetten azért választottunk, hogy megszabaduljunk a jelszavak kockázatától.

Ha külön-külön nézzük, ez négy különböző problémakategória: egy hardverhiba, egy ellátási láncot érintő csalási séma, egy vállalati adatszivárgás és egy kriptográfiai megvalósítási hiba. Ám van egy közös gyökerük, aminek semmi köze a technológiához. Minden esetben a sebezhető dolgot egyszer telepítették, aktiválták vagy hozták létre — és utána senki sem nézett rá többé.

A minta a szalagcímek mögött

A biztonsági adósság pontosan ott halmozódik fel, ahol abbahagyjuk a figyelmet. Egy autóriasztót beépítenek egy kereskedői extracsomag részeként, és soha többé nem jut eszünkbe, egészen addig, amíg ez nem lesz az oka annak, hogy a kocsink idegen kezekbe kerül. Egy streaming-eszközt bedugnak a tévébe, évekig hibátlanul működik, és soha nem kelt gyanút, mert továbbra is azt játssza le, amit kérünk tőle — a hirdetéscsalásból származó forgalom és a sávszélesség-megosztás mindeközben láthatatlanul zajlik a háttérben. Egy bejelentkezési adatot létrehoznak, működik egy bejelentkezési ablaknál, majd évekig ott lapul egy adatbázisban, jóval azután is, hogy azt az eszközt, amelyről kiszivárgott, már rég elfelejtettük, mert egy olyan jelszó cseréje, amire nem is gondolunk, senkinek sincs benne a naptárában. Egy jelszókulcsot kifejezetten azért állítanak be, hogy „biztonságosabb legyen a jelszónál”, és ez a hírnév maga lesz az ok arra, hogy leálljunk azon gondolkodni, mi is védi valójában azt az eszközt, amelyen él.

Egyikhez sem kellett kifinomult támadó, aki valami vadonatúj, előre nem látott hibát talál. Az autóriasztóval és a jelszókulcs-lopással kapcsolatos munka valóban komoly technikai kutatást igényelt. De ami a kárt valójában ekkora léptékben lehetővé tette, az a szakadék volt az „egyszer beállítottuk” és a „soha többé nem néztük meg” között.

Egy 20 perces átvilágítás a dolgokról, amiket már úgyis birtokolunk

Nem kell semmit vásárolnod, és nem kell más emberré válnod ahhoz, hogy ennek a szakadéknak a nagy részét befoltozd. Egyetlen körre van szükség a fenti kategóriákon, amit ismétlődő teendőként kezelsz, nem pedig egyszeri beállításként.

1. Utólag felszerelt és kiegészítő eszközök

Nézz körül mindenen, amit nem gyárilag építettek be, hanem harmadik fél szerelt fel — autóriasztók, fedélzeti kamerák, okoszárak, utólagos nyomkövetők. Ellenőrizd a gyártó appjában vagy weboldalán, van-e firmware-frissítési lehetőség, és tényleg futtasd is le. Kifejezetten a KARR riasztóval kapcsolatban a kutatók megjegyezték, hogy egy könnyen felismerhető jel egy „KARR” matrica a sofőr oldali ablakon; ha van ilyened, mielőtt feltételeznéd, hogy minden rendben, kérdezd meg a szerelőt vagy a gyártót egy esetleges javításról. Az általánosabb, érdemes kialakítandó szokás: minden, aminek van rádiója és gyártói appja, olyan eszköz, amelynek időnkénti karbantartásra van szüksége, ugyanúgy, mint a telefonodnak vagy a laptopodnak.

2. Bármi, ami a tévédbe van dugva

Az olyan generikus, piactereken árult streaming-boxokat, mint amilyen a H96 — amelyeket gyakran egyszeri díjért kínált „korlátlan” tartalommal reklámoznak —, érdemes alaposan szemügyre venni. Ha van ilyened, tudnod kell, hogy a kockázat nem csak a kalózkodó tartalom; az eszköz maga is úgy viselkedhet, mint egy második, saját napirenddel rendelkező számítógép a hálózatodon. Ha nem tudod ellenőrizni, hogy egy eszköz mit csinál a hálózatodon, és egy ismeretlen márkától származik, amely túl jót ígér az árához képest, ez önmagában is elég ok arra, hogy vendéghálózatra különítsd el, vagy lecseréld egy elterjedt márkájú streaming-eszközre olyan cégtől, amelynek van vesztenivaló hírneve.

3. Régi jelszavak, különösen az újrafelhasznált vagy szunnyadó fiókoké

A Snowflake-hez köthető hacker bűnösségi beismeréséhez vezető adatszivárgást nem a platform hibája okozta. Egy évekkel korábban, valakinek a számítógépén futó kártevő által gyűjtött hitelesítő adatok okozták, amelyeket senki sem cserélt le, olyan fiókokon, ahol a többtényezős hitelesítést kikapcsolták. Ez egy teljesen elkerülhető hibamód, és nagyon gyakori: bármelyik fiók, amit egyszer beállítottál, és amibe ritkán jelentkezel be, pontosan az a fajta fiók, amelyiken most is ülhet egy évekkel ezelőtt kiszivárgott jelszó. Ha a jelszókezelőd kínál adatszivárgás- vagy újrafelhasználás-ellenőrzést, futtasd le. Ha egy fiók lehetővé teszi a többtényezős hitelesítést, és az ki van kapcsolva, kapcsold be — ez az egyetlen intézkedés is megállította volna azt a betörést, amely több mint 100 millió ember adatait tárta fel.

4. A fiók, amely a jelszókulcsaidat őrzi

A jelszókulcsok valódi előrelépést jelentenek a jelszavakhoz képest a phishing és az újrafelhasználás konkrét problémájában. De a nemrégiben publikált kutatás, amely a Google Password Manageren keresztül szinkronizált jelszókulcsok ellopásáról szól, hasznos emlékeztető arra, hogy egy jelszókulcs nem varázslat — annak a fióknak és eszköznek a biztonságát örökli, amelyen keresztül szinkronizálják. Ez azt jelenti, hogy a fiók, amely a jelszókezelődet vagy a jelszókulcs-szinkronizálást tartalmazza, megérdemli a legerősebb védelmet, amit csak nyújtani tudsz: erős, egyedi belépőkódot magán az eszközön, többtényezős hitelesítést a szinkronizálást végző fiókon, és odafigyelést arra, mit telepítesz arra az eszközre, hiszen a kutatás olyan kártevőre támaszkodik, amely már fut a gépen, nem pedig egy olyan hibára, amit „be lehetne foltozni” magukban a jelszókulcsokban.

Miért érdemes ezt most megtenni, nem pedig később

Ez a négy történet egyike sem olyan fenyegetést ír le, ami miatt ma pánikba kellene esned. De mind a négy olyan fenyegetést mutat be, amely hónapokon vagy éveken át nőtt, pontosan azért, mert senki nem tért vissza rá. A megoldás nem egy új eszköz vagy előfizetés — hanem az, hogy kiválasztasz egy ismétlődő időpontot, talán egy már meglévő szokásod mellé, mint amilyen a bankszámlakivonatod ellenőrzése, hogy feltegyél egy unalmas kérdést azokról a dolgokról, amelyeket már birtokolsz és amelyekben már megbízol: mikor néztem meg ezt utoljára, és van-e még valakinek rajtam kívül oka arra, hogy figyelje?