Szerdán egy seattle-i szövetségi bíróság lezárta az utóbbi idők egyik legnagyobb adatvédelmi incidensének ügyét. A 26 éves, az ontariói Kitchenerben élő Connor Riley Moucka bűnösnek vallotta magát számítógépes csalás, elektronikus átutalással elkövetett csalás, súlyosbított személyazonosság-lopás és összeesküvés vádjában egy 2024-es hackertámadási sorozat miatt, amely legalább 165 szervezetet ért el, és legalább 100 millió emberhez tartozó adatokat tett hozzáférhetővé. Váltságdíjakból és adatok értékesítéséből személyesen legalább 495 000 dollárt tett zsebre. Ítélethirdetésére október 27-én kerül sor; csak a személyazonosság-lopás vádja miatt legalább kétéves kötelező szabadságvesztés vár rá, a többi vádpont esetében pedig akár 30 évre is ítélhetik.

Ezek a számok kerültek a címlapokra. A részlet, amelyen érdemes elidőzni, kisebb és sokkal kevésbé filmszerű: az ügyészek szerint valójában régi jelszavak tették lehetővé Moucka bejutását. Nem egy nulladik napi sérülékenység. Nem a célba vett platform hibája, amelyet az igazságügyi minisztérium továbbra sem nevezett meg nyilvánosan (a Snowflake és az incidenskezeléssel foglalkozó Mandiant 2024-ben maga jelezte érintettségét, az ügyet az abban az évben a Snowflake ügyfélfiókjai ellen indított támadási hullámhoz kötve). A hitelesítő adatokat évekkel korábban infostealer kártevők gyűjtötték be, használatlanul és lecseréletlenül hevertek, majd olyan fiókokat nyitottak meg, amelyeken történetesen a többtényezős hitelesítés is ki volt kapcsolva.

Miért a „lecseréletlen” szó viszi a hátán az egész mondatot

Az infostealer kártevő olyan rosszindulatú szoftverek gyűjtőneve, amelyek miután felkerülnek egy eszközre — gyakran kalózalkalmazáson, hamis böngészőfrissítésen vagy rosszindulatú mellékleten keresztül — csendben kiszívják az adott gép böngészőjének automatikus kitöltési és mentett jelszavait tároló helyeiről az ott található hitelesítő adatokat, majd elküldik annak, aki a kártevőt működteti. Ez nem új vagy különleges jelenség; évek óta elérhető, tömegcikké vált bűnözői szolgáltatás, amelyben a lopott hitelesítőadat-csomagokat nagy tételben adják-veszik.

A Snowflake-ügy azért hasznos tanulságul, mert rávilágít a lopás és a felhasználás közötti résre. Ezeket a konkrét jelszavakat állítólag „évekkel korábban” gyűjtötték be. Ez azt jelenti, hogy hosszú időn át azoknak a fióktulajdonosoknak a feltört hitelesítő adatai aktív állapotban hevertek valahol egy adatbázisban, és semmi sem kényszerítette őket a megváltoztatásukra. Egyetlen bejelentkezési kísérletet sem jelöltek gyanúsként, mert a támadó még nem próbálkozott. Jelszó-visszaállítás sem indult, mert nem volt olyan aktív támadás, amelyet bárki észrevehetett volna. A hitelesítő adat egyszerűen várt, érvényesen, amíg valaki úgy nem döntött, hogy nagy léptékben felhasználja a Snowflake ügyfélfiókjai ellen.

Ezt a hibamódot teszik lehetővé az újra felhasznált és le nem cserélt jelszavak: nem feltétlenül gyengék — az infostealer kártevők egy erős, egyedi jelszót is készségesen ellopnak, egyenesen a böngésző mentett jelszavakat tároló tárából. Hanem arról van szó, hogy egy ellopott jelszónak nincs lejárati ideje, hacsak egy ember vagy egy szabályzat nem ad neki. Egy 2021-es adatvédelmi incidens 2024-ben is ajtókat nyithat, ha közben senki sem cserélte le a hitelesítő adatot.

A második zár, amely nem volt ott

Az ügyészek által kiemelt másik részlet — hogy az érintett fiókokon ki volt kapcsolva az MFA — változtatta a lopott jelszót teljes körű fiókhozzáféréssé. A többtényezős hitelesítést pontosan erre a helyzetre tervezték: abból indul ki, hogy a jelszavak előbb-utóbb kiszivárognak, ezért egy második személyazonosság-igazolást (kódot, leküldött értesítést vagy hardverkulcsot) is megkövetel, amelynek egyedül a lopott jelszó nem tud megfelelni. Ha ki van kapcsolva, a kiszivárgott hitelesítő adat az egész védelmi akadály. A Snowflake-hez kapcsolódó, 2024-es szélesebb adatvédelmi incidenshullámról szóló beszámolók szerint sok érintett fiókon alapértelmezés szerint nem volt kikényszerítve az MFA, így a beállítás attól függött, hogy az egyes ügyfélszervezetek aktívan bekapcsolják-e.

Mit jelent ez valójában az Ön számára

A hírlevél olvasóinak többsége nem Snowflake-adattárházat üzemeltet, de az itt bemutatott működés bármelyik, bárhol vezetett fiókra érvényes:

  • Tételezze fel, hogy a régi jelszavakat feltörték, ne csak azt, hogy gyengék. Ha ugyanazt a jelszót több oldalon is használta, és azóta nem változtatta meg, tekintse kompromittáltnak — nem azért, mert valaki kitalálta, hanem mert már szerepelhet egy olyan ellopott hitelesítőadat-listán, amelyet Ön soha nem fog látni.
  • Cserélje le a hitelesítő adatokat, miután bármelyik Ön által használt szolgáltatás adatvédelmi incidenst jelent be — még akkor is, ha azt közlik, hogy az Ön konkrét fiókja „nem volt érintett”. A kezdeti incidensértesítések a vizsgálatok előrehaladtával gyakran hiányosnak bizonyulnak.
  • Kapcsolja be az MFA-t mindenhol, ahol elérhető, és ne feltételezze, hogy a szolgáltatás alapértelmezés szerint engedélyezi. Közvetlenül ellenőrizze a fiók biztonsági beállításait, ahelyett hogy megbízna abban, hogy a legbiztonságosabb lehetőség már aktív.
  • A jelszókezelő a gyökérokot oldja meg, nem csupán a tünetet: az egyedi, máshol nem használt jelszavakat teszi a legkisebb ellenállás útjává, nem pedig olyasmivé, amire külön emlékeznie kell.
  • Ha egy eszköz infostealer kártevővel fertőződhetett meg (ismeretlen programot telepítettek rá, kalózletöltés történt, gyanús bejelentkezési riasztást kapott), akkor az összes mentett jelszó utólagos lecserélése — nem csak annak az egynek, amelyről úgy gondolja, hogy számított — az egyetlen módja annak, hogy biztosan tudja: egy régi fertőzés már nem hoz tovább hasznot annak, aki begyűjtötte az adatokat.

Az eltérés a tanulság

Van valami szinte zavarba ejtő egy ilyen súlyú ügyben — 30 éves maximális büntetési tétel, kötelező minimum, 100 millió ember adatai —, amely egy ennyire hétköznapi mechanizmuson alapul. Nincs támadási lánc, nincs újszerű technika, csak egy jelszó, amelyet senki sem vett a fáradságot megváltoztatni, és egy biztonsági beállítás, amelyet senki sem kapcsolt be. Pontosan ezért érdemes emlékezni erre az ügyre akkor is, amikor az ítéletről szóló hírek már elhalványulnak: a legnagyobb adatvédelmi incidensekhez általában nincs szükség zseniális támadóra. Elég egyetlen le nem cserélt hitelesítő adat, amely egy olyan fiókban ül, ahol soha nem kapcsolták be az MFA-t.