W środę federalny sąd w Seattle zakończył sprawę jednego z największych wycieków danych w najnowszej historii. Connor Riley Moucka, 26-letni mieszkaniec Kitchener w Ontario, przyznał się do oszustwa komputerowego, oszustwa z użyciem środków komunikacji elektronicznej, kradzieży tożsamości w szczególnie obciążających okolicznościach oraz spisku w związku z serią włamań z 2024 roku, która objęła co najmniej 165 organizacji i ujawniła dane należące do co najmniej 100 milionów osób. Osobiście zagarnął co najmniej 495 000 dolarów z okupów i sprzedaży danych. Wyrok ma zapaść 27 października; za sam zarzut kradzieży tożsamości grozi mu obligatoryjna kara co najmniej dwóch lat pozbawienia wolności, a za pozostałe zarzuty łącznie nawet do 30 lat.

To są liczby z nagłówków. Szczegół, nad którym warto się zatrzymać, jest mniejszy i znacznie mniej filmowy: prokuratorzy twierdzą, że Mouckę wpuściły w rzeczywistości stare hasła. Nie luka zero-day. Nie błąd w zaatakowanej platformie, której Departament Sprawiedliwości nadal publicznie nie wskazał (Snowflake i firma zajmująca się reagowaniem na incydenty, Mandiant, już w 2024 roku same poinformowały o swoim udziale, wiążąc sprawę z falą włamań na konta klientów Snowflake w tamtym roku). Dane uwierzytelniające zostały przejęte wiele lat wcześniej przez złośliwe oprogramowanie typu infostealer, pozostawały nieużywane i niezmieniane, a następnie odblokowały konta, na których dodatkowo wyłączono uwierzytelnianie wieloskładnikowe.

Dlaczego słowo „niezmieniane” ma w tym zdaniu kluczowe znaczenie

Złośliwe oprogramowanie typu infostealer to kategoria szkodliwych programów, które po zainstalowaniu na urządzeniu — często za pośrednictwem pirackiej aplikacji, fałszywej aktualizacji przeglądarki lub złośliwego załącznika — po cichu wykradają dane uwierzytelniające zapisane w funkcji autouzupełniania przeglądarki i magazynach zapisanych haseł, a następnie wysyłają je operatorowi złośliwego oprogramowania. Nie jest to nic nowego ani egzotycznego; od lat działa to jako usługa przestępcza dostępna na rynku, a partie skradzionych danych uwierzytelniających są kupowane i sprzedawane hurtowo.

Tym, co czyni sprawę Snowflake użytecznym przykładem edukacyjnym, jest luka między kradzieżą a użyciem. Te konkretne hasła miały zostać przejęte „wiele lat wcześniej”. Oznacza to, że przez długi czas osoby, do których należały te konta, miały aktywne, przejęte dane uwierzytelniające przechowywane gdzieś w bazie danych, a nic nie zmuszało ich do ich zmiany. Żadna próba logowania nie została oznaczona jako podejrzana, bo atakujący jeszcze nie próbował się logować. Nie uruchomiono resetu hasła, bo nie było aktywnego exploita, który ktokolwiek mógłby zauważyć. Dane uwierzytelniające po prostu czekały, pozostając ważne, aż ktoś zdecydował się użyć ich na dużą skalę przeciwko kontom klientów Snowflake.

Na tym polega problem z ponownie używanymi i niezmienianymi hasłami: niekoniecznie są słabe — złośliwe oprogramowanie typu infostealer z przyjemnością przechwyci również silne, unikatowe hasło, prosto z przeglądarkowego magazynu zapisanych haseł. Chodzi o to, że skradzione hasło nie ma daty wygaśnięcia, chyba że człowiek lub zasady bezpieczeństwa ją wyznaczą. Włamanie z 2021 roku nadal może otwierać drzwi w 2024, jeśli nikt po drodze nie zmienił danych uwierzytelniających.

Drugi zamek, którego nie było

Drugi szczegół wskazany przez prokuratorów — wyłączone uwierzytelnianie wieloskładnikowe na kontach, których dotyczył incydent — sprawił, że skradzione hasło zapewniało pełny dostęp do konta. Uwierzytelnianie wieloskładnikowe zaprojektowano właśnie z myślą o takim scenariuszu: zakłada ono, że hasła w końcu wyciekną, i dodaje drugi dowód tożsamości (kod, powiadomienie push, klucz sprzętowy), którego samo skradzione hasło nie jest w stanie dostarczyć. Gdy ta funkcja jest wyłączona, wyciekłe dane uwierzytelniające stanowią całą barierę. Doniesienia o szerszej fali włamań powiązanych ze Snowflake w 2024 roku wskazywały, że na wielu dotkniętych kontach MFA nie było domyślnie wymagane, co oznaczało, że włączenie tej funkcji zależało od aktywnego działania każdej organizacji będącej klientem.

Co to naprawdę oznacza dla ciebie

Większość czytelników tego newslettera nie prowadzi hurtowni danych Snowflake, ale opisany tu mechanizm dotyczy każdego konta, które posiadasz, gdziekolwiek:

  • Załóż, że stare hasła zostały przejęte, a nie tylko że są słabe. Jeśli używałeś tego samego hasła w wielu serwisach i od tamtej pory go nie zmieniałeś, uznaj je za spalone — nie dlatego, że ktoś je odgadł, lecz dlatego, że może już znajdować się na liście skradzionych danych uwierzytelniających, której nigdy nie zobaczysz.
  • Zmieniaj dane uwierzytelniające po każdym ujawnieniu przez używany serwis informacji o wycieku — nawet jeśli usłyszysz, że twoje konkretne konto „nie zostało dotknięte”. Początkowe komunikaty o naruszeniu bezpieczeństwa często są niepełne, ponieważ dochodzenie nadal trwa.
  • Włącz MFA wszędzie tam, gdzie jest oferowane i nie zakładaj, że serwis domyślnie je włącza. Sprawdzaj bezpośrednio ustawienia bezpieczeństwa konta, zamiast ufać, że najbezpieczniejsza opcja jest już aktywna.
  • Menedżer haseł rozwiązuje przyczynę problemu, a nie tylko jego objaw: sprawia, że unikatowe, nieużywane ponownie hasła stają się najłatwiejszym rozwiązaniem, zamiast czymś, o czym trzeba pamiętać.
  • Jeśli urządzenie mogło zostać zainfekowane złośliwym oprogramowaniem typu infostealer (zainstalowano nieznany program, pobrano piracki plik lub pojawił się podejrzany alert logowania), późniejsza zmiana wszystkich zapisanych haseł — nie tylko tego, które wydaje ci się istotne — to jedyny sposób, by mieć pewność, że dawna infekcja nadal nie przynosi korzyści osobie, która zebrała dane.

To niedopasowanie jest najważniejszą lekcją

Jest coś niemal niepokojącego w sprawie o tak poważnych konsekwencjach — maksymalnym zagrożeniu karą 30 lat, obligatoryjnej karze minimalnej i danych 100 milionów osób — opierającej się na tak banalnym mechanizmie. Żadnego łańcucha exploitów, żadnej nowatorskiej techniki, tylko hasło, którego nikt nie zdążył zmienić, i ustawienie bezpieczeństwa, którego nikt nie włączył. To niedopasowanie jest właśnie powodem, dla którego warto pamiętać o tej sprawie, gdy nagłówki dotyczące wyroku ucichną: największe wycieki danych zwykle nie wymagają genialnego atakującego. Potrzebują jednego niezmienionego hasła na jednym koncie, na którym nigdy nie włączono MFA.