A legtöbben úgy gondolunk a fiók feltörésére, mint amikor valaki kitalálja vagy ellopja a jelszavunkat. Az utóbbi idők több esete azonban egy másfajta mintázatra mutat rá: a támadó ezúttal hozzá sem nyúl a jelszavunkhoz. Ehelyett rávesz minket, hogy adjunk át valamit, ami olyan, mint egy pótkulcs egy már bejelentkezett fiókhoz – egy összekapcsolt eszközt, egy jogosultsági tokent, egy munkamenetet –, és így egyszerűen megkerüli azokat a zárakat, amelyekre normál esetben támaszkodnánk.

Két példa is jól szemlélteti a mechanizmust. Biztonsági kutatók nemrég egy WhatsApp-os csalást írtak le, amely már feltört fiókokból terjed tovább: egy üzenet arra kér, hogy „szavazz” egy ismerősödre egy versenyen. Ez egy olyan oldalra irányít, amely a WhatsApp „összekapcsolt eszköz” beállítását utánozza, vagy arra utasít, hogy írj be egy kódot a saját összekapcsolt eszközök menüdbe. Ha végigcsinálod ezt a folyamatot, a támadó telefonja egy második, teljes jogosultságú eszközként kerül a fiókodhoz – teljes olvasási és küldési hozzáféréssel –, anélkül, hogy valaha is jelszót adott volna meg. Mivel a jelszóhoz nem nyúltak, nem kapsz jelszó-visszaállítási e-mailt, és sikertelen bejelentkezési riasztást sem. A hamis munkamenet csendben ott lapul az eszközlistádban, mint egyetlen újabb bejegyzés.

A Microsoft ettől függetlenül egy olyan kampányra figyelmeztetett, amely szállodai és konferenciás Wi-Fi hálózatok „captive portal” oldalait használja ki – vagyis azt a „fogadd el a feltételeket” oldalt, amelyet csatlakozáskor látunk. A hálózati útvonalon elhelyezkedő támadók hamis bejelentkezési oldalakra vagy hamis „eszközkód” felszólításokra irányítják az áldozatokat, amelyek kitöltése után nem jelszót, hanem jogosultsági tokent adnak át. A hatás ugyanaz: egy olyan munkamenet jön létre, amely a szolgáltatás számára jogszerűnek tűnik, mert technikailag az is – csak épp már valaki másé.

Miért nem veszik észre ezt a szokásos védelmi eszközeid

A jelszókezelő a jelszót védi. A kétlépcsős azonosítás a bejelentkezés pillanatát védi. Egyik sem figyeli, hogy mi történik azután, hogy egy munkamenetet vagy eszközt engedélyeztek – pontosan ez az a rés, amelyre ezek a támadások épülnek. Az egyetlen megbízható módja annak, hogy ezt a fajta kompromittálódást észrevegyük, ha időről időre kézzel ellenőrizzük, mely eszközöknek és alkalmazásoknak van jelenleg állandó hozzáférése a fiókjainkhoz – nem pedig az, hogy egy olyan riasztásra várunk, amelyet ezek a támadások kifejezetten úgy terveztek, hogy ne váltsanak ki.

A 15 perces munkamenet-ellenőrzés

Ezt végezd el a legfontosabb fiókjaidnál (e-mail, WhatsApp/Telegram, banki alkalmazások, és minden, ami a személyazonosságodhoz vagy a pénzedhez kapcsolódik), és állíts be egy visszatérő emlékeztetőt az ismétléséhez. Ha a menük elnevezése időközben megváltozik, olyan kifejezéseket keress, mint „eszközök”, „munkamenetek” vagy „kapcsolt alkalmazások”:

  • WhatsApp: Beállítások → Összekapcsolt eszközök. Ha bármit nem ismersz fel, koppints rá, és azonnal jelentkeztesd ki.
  • Google: myaccount.google.com/security → „Your devices” (Az eszközeid), és külön a „Third-party apps & services” (Külső alkalmazások és szolgáltatások, néha „Sign in with Google” néven). Vond vissza a hozzáférést mindentől, amit nem használsz aktívan.
  • Microsoft-fiók: account.microsoft.com/devices az eszközlistához; account.microsoft.com/activity a bejelentkezési előzményekhez.
  • Apple ID: iPhone-on/iPad-en a Beállítások → [a neved], Macen a Rendszerbeállítások menüpont mutatja az összes eszközt, amely be van jelentkezve az Apple ID-dbe.
  • Facebook/Instagram (Meta): Beállítások → Fiókközpont → Jelszó és biztonság → Hol vagy bejelentkezve.
  • Banki és pénzügyi alkalmazások: a legtöbbnél van egy „eszközök kezelése” vagy „aktív munkamenetek” képernyő a biztonsági beállítások alatt, bár a pontos elnevezés intézményenként eltérhet – nézd meg most a sajátodnál, hogy tudd, hol találod, mire szükséged lesz rá.

Amíg ezekben a menükben jársz, vess egy pillantást a „kapcsolt alkalmazások” vagy OAuth-engedélyek listájára is – a régi alkalmazások és böngészőbővítmények, amelyeket évekkel ezelőtt engedélyeztél, majd elfelejtettél, pontosan az a fajta állandó hozzáférés, amelyet ez a támadástípus most frissen próbál létrehozni.

Ha valami ismeretlent találsz

Először távolítsd el vagy jelentkeztesd ki az ismeretlen eszközt vagy alkalmazást – ne várj. Ezután, még ha a támadónak nem is volt szüksége a jelszavadra, biztos, ami biztos alapon mégis változtasd meg, és kapcsold vissza a kétlépcsős azonosítást, ha az ki lett kapcsolva (egyes feltörések ezt kikapcsolják, hogy könnyebben vissza tudjanak jutni a fiókba). Nézd meg, hogy a támadó nem hozott-e létre valamit a tartós hozzáférés fenntartására, például új továbbítási szabályokat az e-mailedben, új helyreállítási telefonszámokat vagy e-mail-címeket, vagy máshol hozzáadott új eszközöket – egy feltört munkamenetet gyakran arra használnak, hogy egy második lábon is megvessék a lábukat, mielőtt az elsőt felfedeznék. Végül, ha az érintett fiók olyan, amelyben a kapcsolataid megbíznak (mint a WhatsApp), jelezd nekik, hogy a közelmúltban tőled érkezett üzenetek – különösen, ha pénzt, szavazatot vagy kódot kértek bennük – lehet, hogy nem tőled származtak.

Egy utazáshoz kötődő csapda, amire érdemes figyelni

Ha szállodai, repülőtéri vagy konferenciás Wi-Fi-hez csatlakozol, és a captive portal oldal arra kér, hogy „jelentkezz be” egy Microsoft-, Google- vagy hasonló fiókba, vagy egy beírandó eszközkódot mutat, alapból légy gyanakvó – egy valódi szállodai Wi-Fi szinte sosem igényli, hogy egy személyes felhőfiókkal hitelesítsd magad az internet eléréséhez. Zárd be a böngészőt, csatlakozz inkább a telefonod mobilhotspotján vagy egy VPN-en keresztül, és ha muszáj szállodai Wi-Fi-t használnod, azon egyáltalán ne jelentkezz be semmilyen érzékeny fiókba.

Még egy hasznos tanács, ha kódot írsz vagy publikálsz

Ugyanaz a logika – „nem a jelszavadról van szó, hanem a munkameneted/tokened” – érvényes a fejlesztői hitelesítő adatokra is. Egy nemrégi, mérgezett npm-csomagot érintő ellátásilánc-incidens kifejezetten figyelte a hitelesítő adatok rotálását, és arra is reagálhatott – vagyis az ösztönös első lépés (a tokenek rotálása) ebben az esetben éppen a rossz első lépés volt. Ha valaha gyanítod, hogy egy build- vagy CI-hitelesítő adat kikerült, mielőtt bármit is rotálnál, nézd meg, hogy a kompromittált csomag valójában mit is csinált, ahelyett hogy feltételeznéd, hogy önmagában a rotálás lezárja a kaput.

Tedd be a naptáradba

Mindez nem egyszeri megoldás, hanem szokás – ugyanúgy, ahogy a bankszámlakivonat ellenőrzése is az. Válassz egy visszatérő dátumot (a hónap első napja jól működik erre), és nézd végig a fenti eszköz-/munkamenet-listákat. Ez egy tizenöt perces ellenőrzés, amely pontosan azt a csendes, jelszó nélküli fiókfeltörést kapja el, amelyet a biztonsági rendszered minden más eleme eleve nem vesz észre.