Miercuri, un tribunal federal din Seattle a închis unul dintre cele mai mari cazuri de breșă de date din memoria recentă. Connor Riley Moucka, 26 de ani, din Kitchener, Ontario, a pledat vinovat pentru fraudă informatică, fraudă electronică, furt de identitate cu circumstanțe agravante și conspirație, în legătură cu un val de atacuri cibernetice din 2024 care a afectat cel puțin 165 de organizații și a expus datele a cel puțin 100 de milioane de persoane. A încasat personal cel puțin 495.000 de dolari din răscumpărări și vânzări de date. Urmează să fie condamnat pe 27 octombrie și riscă o pedeapsă minimă obligatorie de doi ani doar pentru capătul de acuzare privind furtul de identitate, cu o expunere de până la 30 de ani pentru restul acuzațiilor.

Aceste cifre sunt titlul. Detaliul asupra căruia merită să zăbovim este mai mic și mult mai puțin spectaculos: procurorii spun că ceea ce l-a lăsat de fapt pe Moucka să intre au fost niște parole vechi. Nu o vulnerabilitate de tip zero-day. Nu un defect în platforma vizată, pe care Departamentul de Justiție încă nu a numit-o public (Snowflake și firma de răspuns la incidente Mandiant s-au declarat implicate încă din 2024, legând cazul de valul de breșe care au afectat conturile clienților Snowflake în acel an). Datele de acces fuseseră colectate cu ani în urmă de un malware de tip infostealer, au stat nefolosite și neschimbate, și au deblocat conturi care, din întâmplare, aveau și autentificarea cu mai mulți factori dezactivată.

De ce cuvântul „neschimbate" cântărește cel mai mult în această propoziție

Malware-ul de tip infostealer este o categorie de software rău intenționat care, odată ajuns pe un dispozitiv — adesea printr-o aplicație piratată, o actualizare falsă de browser sau un atașament malițios — extrage discret orice date de autentificare aflate în completarea automată a browserului și în depozitele de parole salvate ale acelui aparat, apoi le trimite celui care operează malware-ul. Nu este ceva nou sau exotic; este de ani de zile un serviciu infracțional banalizat, cu loturi de date de autentificare furate cumpărate și vândute en gros.

Ceea ce face din cazul Snowflake un exemplu didactic util este intervalul dintre furt și folosire. Aceste parole anume ar fi fost colectate „cu ani în urmă". Asta înseamnă că, o perioadă lungă, persoanele care dețineau acele conturi aveau o parolă compromisă stând activă undeva într-o bază de date, fără ca nimic să le oblige să o schimbe. Nicio încercare de autentificare nu a fost semnalată ca suspectă, pentru că atacatorul încă nu încerca. Nicio resetare de parolă nu a fost declanșată, pentru că nu exista o exploatare activă pe care cineva să o observe. Parola pur și simplu a așteptat, validă, până când cineva a decis să o folosească la scară largă împotriva conturilor clienților Snowflake.

Acesta este modul de eșec pe care îl creează parolele refolosite și neschimbate: nu neapărat pentru că sunt slabe — malware-ul de tip infostealer va prelua fără probleme și o parolă puternică, unică, direct din seiful de parole salvate al unui browser. Ci pentru că o parolă furată nu are dată de expirare, decât dacă un om sau o politică îi stabilește una. O breșă din 2021 poate încă deschide uși în 2024 dacă nimeni nu a schimbat vreodată parola între timp.

Al doilea lacăt care lipsea

Celălalt detaliu semnalat de procurori — autentificarea cu mai mulți factori dezactivată la conturile afectate — este cel care a transformat o parolă furată în acces complet la cont. Autentificarea cu mai mulți factori este concepută exact pentru acest scenariu: pornește de la premisa că parolele vor ajunge, la un moment dat, să se scurgă, și adaugă o a doua dovadă de identitate (un cod, o notificare push, o cheie fizică) pe care o parolă furată, singură, nu o poate satisface. Când este dezactivată, o parolă scursă devine singura barieră. Relatările despre valul mai larg de breșe legate de Snowflake din 2024 au remarcat că multe dintre conturile afectate nu aveau autentificarea cu mai mulți factori impusă implicit, ceea ce însemna că această setare depindea de fiecare organizație-client în parte, care trebuia să o activeze.

Ce înseamnă, de fapt, toate acestea pentru tine

Majoritatea cititorilor acestui newsletter nu administrează un depozit de date Snowflake, dar mecanismul descris aici se aplică oricărui cont pe care îl deții, oriunde:

  • Presupune că parolele vechi sunt compromise, nu doar slabe. Dacă ai refolosit o parolă pe mai multe site-uri și nu ai schimbat-o de atunci, tratează-o ca arsă — nu pentru că a ghicit-o cineva, ci pentru că s-ar putea afla deja într-o listă de date de autentificare furate pe care nu o vei vedea niciodată.
  • Schimbă-ți datele de autentificare după ce orice serviciu pe care îl folosești anunță o breșă — chiar dacă ți se spune că, în mod specific, contul tău „nu a fost afectat". Notificările inițiale despre breșe sunt adesea incomplete, pe măsură ce investigațiile continuă.
  • Activează autentificarea cu mai mulți factori peste tot unde este disponibilă și nu presupune că un serviciu o activează implicit. Verifică direct setările de securitate ale contului, în loc să presupui că opțiunea cea mai sigură este deja activă.
  • Un manager de parole rezolvă cauza fundamentală, nu doar simptomul: transformă parolele unice, nefolosite pe mai multe site-uri, în calea cea mai simplă, în loc să fie ceva ce trebuie să-ți amintești să faci.
  • Dacă un dispozitiv ar fi putut fi infectat cu malware de tip infostealer (un program necunoscut instalat, o descărcare piratată, o alertă suspectă de autentificare), schimbarea ulterioară a fiecărei parole salvate — nu doar a celei pe care o crezi importantă — este singurul mod de a fi sigur că o infecție veche nu îi mai aduce încă profit celui care a colectat datele.

Discrepanța este lecția

Există ceva aproape deranjant în faptul că un caz cu consecințe atât de mari — o expunere maximă de 30 de ani, o pedeapsă minimă obligatorie, datele a 100 de milioane de oameni — se sprijină pe un mecanism atât de banal. Niciun lanț de exploatare, nicio tehnică inedită, doar o parolă pe care nimeni nu a apucat să o schimbe și o setare de securitate pe care nimeni nu a activat-o. Tocmai această discrepanță face ca acest caz să merite reținut după ce titlurile despre sentință se vor stinge: cele mai mari breșe, de regulă, nu au nevoie de un atacator genial. Au nevoie de o singură parolă care nu a fost schimbată niciodată, aflată la un singur cont la care autentificarea cu mai mulți factori nu a fost niciodată activată.