Onsdag avsluttet en føderal domstol i Seattle en av de største datalekkene i nyere tid. Connor Riley Moucka, 26, fra Kitchener i Ontario, erklærte seg skyldig i datakriminalitet, elektronisk bedrageri, grovt identitetstyveri og konspirasjon etter en hackerkampanje i 2024 som rammet minst 165 organisasjoner og avslørte opplysninger om minst 100 millioner mennesker. Han stakk personlig av med minst 495 000 dollar fra løsepenger og salg av data. Dommen skal avsies 27. oktober, og han risikerer en obligatorisk minstestraff på to år bare for tiltalen om identitetstyveri, samt opptil 30 år for resten.

Det er disse tallene som skaper overskriftene. Detaljen det er verdt å dvele ved, er mindre og langt mindre filmatisk: Påtalemyndigheten sier at det som faktisk ga Moucka adgang, var gamle passord. Ikke en zero-day-sårbarhet. Ikke en feil i plattformen som ble angrepet, og som Justisdepartementet fortsatt ikke har navngitt offentlig (Snowflake og firmaet for hendelseshåndtering Mandiant identifiserte seg selv som involverte allerede i 2024, og knyttet saken til bølgen av datainnbrudd mot Snowflake-kundekontoer det året). Innloggingsopplysningene var blitt samlet inn flere år tidligere av infostealer-skadevare, hadde ligget ubrukt uten å bli byttet ut, og låste opp kontoer der flerfaktorautentisering tilfeldigvis også var slått av.

Hvorfor «ikke byttet ut» gjør hele forskjellen i den setningen

Infostealer-skadevare er en kategori skadevare som, når den først havner på en enhet – ofte via en piratkopiert app, en falsk nettleseroppdatering eller et ondsinnet vedlegg – i det stille tapper ut alle innloggingsopplysninger som ligger i nettleserens autofyll og lagrede passord, og sender dem videre til den som driver skadevaren. Dette er verken nytt eller eksotisk; det har vært en kriminell standardtjeneste i årevis, der stjålne innloggingsopplysninger kjøpes og selges i store partier.

Det som gjør Snowflake-saken til et nyttig undervisningseksempel, er avstanden mellom tyveriet og bruken. Disse bestemte passordene skal ha blitt samlet inn «flere år tidligere». Det betyr at de som eide kontoene, i lang tid hadde en kompromittert innloggingsopplysning liggende aktiv i en database et eller annet sted, uten at noe tvang dem til å endre den. Ingen innloggingsforsøk ble flagget som mistenkelige, fordi angriperen ennå ikke prøvde. Ingen tilbakestilling av passord ble utløst, fordi det ikke var noe aktivt angrep noen kunne oppdage. Innloggingsopplysningen bare ventet, gyldig, til noen bestemte seg for å bruke den i stor skala mot Snowflake-kundekontoer.

Det er dette som er feilen gjenbrukte og ikke byttede passord skaper: Det er ikke nødvendigvis at de er svake – infostealer-skadevare tar med glede også et sterkt, unikt passord, rett fra nettleserens hvelv for lagrede passord. Problemet er at et stjålet passord ikke har noen utløpsdato med mindre et menneske eller en policy gir det en. Et datainnbrudd fra 2021 kan fortsatt åpne dører i 2024 hvis ingen noen gang byttet ut innloggingsopplysningen i mellomtiden.

Den andre låsen som ikke var der

Den andre detaljen påtalemyndigheten trakk frem – at MFA var slått av på de berørte kontoene – er det som gjorde et stjålet passord til full kontotilgang. Flerfaktorautentisering er laget nettopp for dette scenarioet: Den forutsetter at passord før eller siden vil lekke, og legger til et annet identitetsbevis (en kode, et push-varsel eller en maskinvarenøkkel) som et stjålet passord alene ikke kan oppfylle. Når den er deaktivert, er en lekket innloggingsopplysning hele hindringen. Rapportering om den bredere bølgen av Snowflake-relaterte datainnbrudd i 2024 har påpekt at mange berørte kontoer ikke hadde MFA håndhevet som standard, noe som betydde at innstillingen var avhengig av at hver enkelt kundeorganisasjon aktivt slo den på.

Hva dette faktisk betyr for deg

De fleste som leser dette nyhetsbrevet, driver ikke et Snowflake-datavarehus, men mekanismene her gjelder for enhver konto du har, hvor som helst:

  • Ta utgangspunkt i at gamle passord er kompromittert, ikke bare svake. Hvis du har brukt samme passord på flere nettsteder og ikke har endret det siden, bør du behandle det som brent – ikke fordi noen gjettet det, men fordi det allerede kan ligge i en liste over stjålne innloggingsopplysninger som du aldri vil få se.
  • Bytt innloggingsopplysninger etter at en tjeneste du bruker opplyser om et datainnbrudd – selv om du får beskjed om at akkurat din konto «ikke ble berørt». De første varslene om datainnbrudd er ofte ufullstendige mens etterforskningen fortsetter.
  • Slå på MFA overalt der det tilbys, og ikke anta at en tjeneste aktiverer det som standard. Sjekk sikkerhetsinnstillingene for kontoen direkte i stedet for å stole på at det sikreste alternativet allerede er aktivt.
  • En passordadministrator løser den underliggende årsaken, ikke bare symptomet: Den gjør unike passord som ikke gjenbrukes, til det enkleste alternativet, i stedet for noe du må huske å gjøre.
  • Hvis en enhet kan ha blitt infisert med infostealer-skadevare (et ukjent program er installert, en piratkopiert nedlasting eller et mistenkelig innloggingsvarsel), er det å bytte alle lagrede passord etterpå – ikke bare det du tror var viktig – den eneste måten å vite at en gammel infeksjon ikke fortsatt gir utbytte til den som samlet inn dataene.

Misforholdet er lærdommen

Det er noe nesten ubehagelig ved at en sak med så store konsekvenser – en maksimal strafferamme på 30 år, en obligatorisk minstestraff og opplysninger om 100 millioner mennesker – hviler på en så hverdagslig mekanisme. Ingen kjede av utnyttelser, ingen nyskapende teknikk, bare et passord som ingen kom seg rundt til å endre, og en sikkerhetsinnstilling som ingen slo på. Det misforholdet er nettopp grunnen til at saken er verdt å huske etter at overskriftene om dommen har falmet: De største datainnbruddene trenger vanligvis ikke en briljant angriper. De trenger én innloggingsopplysning som aldri ble byttet ut, på én konto der MFA aldri ble slått på.