У среду је савезни суд у Сијетлу окончао један од највећих случајева крађе података у скорије време. Конор Рајли Мучка (Connor Riley Moucka), 26, из Китченера у Онтарију, признао је кривицу за рачунарску превару, превару путем електронских комуникација, тешку крађу идентитета и завереништво, у вези са хакерским подухватом из 2024. који је погодио најмање 165 организација и изложио податке најмање 100 милиона људи. Лично је од откупнина и продаје података зарадио најмање 495.000 долара. Изрицање пресуде заказано је за 27. октобар, а прети му обавезна минимална казна од две године само по тачки оптужнице за крађу идентитета, док по осталим тачкама ризикује и до 30 година затвора.

Ти бројеви су оно што упада у очи. Детаљ вредан пажње је мањи и много мање филмичан: тужиоци тврде да су Мучки приступ заправо омогућиле старе лозинке. Не нулти дан (zero-day). Не пропуст на циљаној платформи, коју Министарство правде и даље није јавно именовало (Snowflake и фирма за одговор на инциденте Mandiant још 2024. изјавиле су да су умешане, повезујући овај случај са таласом пробоја у налоге корисника Snowflake-а те године). Приступни подаци били су прикупљени годинама раније помоћу malware-а за крађу података (infostealer), стајали су неискоришћени и никада промењени, и отварали су налоге на којима је, узгред, вишефакторска аутентификација била искључена.

Зашто реч „непромењене“ носи сву тежину те реченице

Malware за крађу података (infostealer) је категорија злонамерног софтвера који, једном када доспе на уређај — најчешће преко пиратске апликације, лажног ажурирања прегледача или злонамерног прилога — тихо покупи све приступне податке који се налазе у аутоматском попуњавању прегледача и меморисаним лозинкама на том рачунару, па их шаље оном ко управља тим malware-ом. Ово није ништа ново нити егзотично; годинама је то уобичајена криминална услуга на тржишту, при чему се пакети украдених приступних података купују и продају у великим количинама.

Оно што случај Snowflake чини корисним примером за поуку јесте размак између крађе и коришћења. Ове конкретне лозинке су, како се наводи, прикупљене „годинама раније“. То значи да су, током дугог периода, власници тих налога имали компромитоване приступне податке који су некако лежали активни у некој бази података, а ништа их није натерало да их промене. Ниједан покушај пријаве није означен као сумњив, јер нападач тада још није ни покушавао да их искористи. Ниједан захтев за ресетовање лозинке није покренут, јер није било активног искоришћавања које би било ко приметио. Приступни подаци су једноставно чекали, важећи, док неко није одлучио да их масовно употреби против корисничких налога Snowflake-а.

То је начин на који поновно коришћене и никада промењене лозинке стварају пропуст: не мора нужно да буде реч о томе да су слабе — malware за крађу података радо ће покупити и јаку, јединствену лозинку, право из меморисаних лозинки у прегледачу. Проблем је у томе што украдена лозинка нема рок трајања осим ако јој га не одреди неки човек или правило. Пробој из 2021. и даље може отварати врата 2024. ако нико у међувремену није променио приступне податке.

Друга брава које није било

Други детаљ који су тужиоци истакли — искључена вишефакторска аутентификација на погођеним налозима — управо је оно што је украдену лозинку претворило у потпун приступ налогу. Вишефакторска аутентификација дизајнирана је тачно за овакав сценарио: полази од претпоставке да ће лозинке пре или касније процурити, и додаје други доказ идентитета (код, push обавештење, хардверски кључ) који сама украдена лозинка не може да задовољи. Када је искључена, процурели приступни подаци постају једина препрека. Извештавање о ширем таласу пробоја повезаних са Snowflake-ом 2024. указало је да многи погођени налози нису имали подразумевано укључену вишефакторску аутентификацију, што значи да је та поставка зависила од тога да ли ће свака клијентска организација сама да је укључи.

Шта то заправо значи за вас

Већина читалаца овог билтена не управља Snowflake складиштем података, али механизми који су овде на делу важе за сваки налог који имате било где:

  • Претпоставите да су старе лозинке компромитоване, а не само слабе. Ако сте лозинку користили на више сајтова и нисте је од тада мењали, третирајте је као спаљену — не зато што ју је неко погодио, већ зато што можда већ стоји на некој листи украдених приступних података коју никада нећете видети.
  • Промените приступне податке након што било која услуга коју користите објави пробој — чак и ако вам кажу да ваш конкретан налог „није погођен“. Почетна обавештења о пробоју често су непотпуна док се истрага наставља.
  • Укључите вишефакторску аутентификацију свуда где је понуђена, и не претпостављајте да је услуга подразумевано укључује. Проверите подешавања безбедности налога директно, уместо да верујете да је најсигурнија опција већ активна.
  • Менаџер лозинки решава корен проблема, а не само симптом: јединствене, непонављане лозинке чини путем најмањег отпора, уместо нечим на шта морате сами да мислите.
  • Ако је уређај можда био заражен malware-ом за крађу података (непознат инсталиран програм, пиратски преузет садржај, сумњиво обавештење о пријави), промена свих меморисаних лозинки након тога — не само оне за коју мислите да је била важна — једини је начин да будете сигурни да стара инфекција и даље не доноси добит ономе ко је прикупио те податке.

Поука лежи у несразмери

Има нечег готово непријатног у томе да случај оволиких размера — максимална казна до 30 година, обавезна минимална казна, подаци 100 милиона људи — почива на овако баналном механизму. Никакав низак искоришћавања, никаква нова техника, само лозинка коју нико није стигао да промени и безбедносна поставка коју нико није укључио. Управо та несразмера чини да овај случај вреди памтити и када наслови о изрицању пресуде избледе: највећи пробоји обично не захтевају генијалног нападача. Потребан им је само један приступни податак који никада није промењен, на једном налогу на коме вишефакторска аутентификација никада није укључена.