Noong Miyerkules, natapos ng isang pederal na hukuman sa Seattle ang isa sa pinakamalaking paglabag sa datos sa nakalipas na panahon. Umamin na nagkasala si Connor Riley Moucka, 26, taga-Kitchener, Ontario, sa mga kasong computer fraud, wire fraud, aggravated identity theft, at conspiracy kaugnay ng isang serye ng pang-hack noong 2024 na umabot sa hindi bababa sa 165 organisasyon at naglantad ng mga rekord ng hindi bababa sa 100 milyong tao. Personal siyang kumita ng hindi bababa sa $495,000 mula sa mga ransom at pagbebenta ng datos. Nakatakda siyang husgahan sa Oktubre 27 at kakaharapin niya ang dalawang taong mandatory minimum sa kasong identity theft lamang, na may posibleng hanggang 30 taong pagkakakulong sa iba pang kaso.

Ang mga bilang na iyon ang pangunahing balita. Ngunit ang detalyeng dapat pag-isipan ay mas maliit at hindi gaanong dramatiko: ayon sa mga tagausig, ang aktwal na nagbigay-daan kay Moucka na makapasok ay mga lumang password. Hindi ito zero-day. Hindi rin ito depekto sa target na plataporma, na hanggang ngayon ay hindi pa rin pinangalanan nang publiko ng Department of Justice (kinilala ng Snowflake at ng kumpanyang incident-response na Mandiant na sangkot sila noong 2024, na nag-uugnay sa kasong ito sa alon ng mga paglabag sa mga account ng customer ng Snowflake nang taong iyon). Ang mga kredensyal ay nakolekta na noon pang mga nakaraang taon ng infostealer malware, nanatiling hindi ginagamit at hindi pinapalitan, at ito ang nagbukas ng mga account na kataon namang naka-off ang multi-factor authentication.

Bakit ang 'hindi pagpapalit ng password' ang pinakamahalagang bahagi ng pangungusap na iyon

Ang infostealer malware ay isang uri ng mapaminsalang software na, kapag naka-install na sa isang device — kadalasan sa pamamagitan ng pirated na app, pekeng browser update, o mapanganib na attachment — tahimik na kinukuha ang anumang kredensyal na naka-imbak sa autofill at saved-password ng browser ng makina, at ipinapadala ito sa sinumang nag-oopereyt ng malware. Hindi ito bago o kakaiba; matagal na itong isang karaniwang serbisyong kriminal, kung saan bumibili at nagbebenta nang pakete ang mga nakawan na kredensyal.

Ang bahaging nagpapatingkad sa kaso ng Snowflake bilang mahalagang aral ay ang pagitan sa pagitan ng pagnanakaw at paggamit. Ang mga partikular na password na ito ay diumano'y nakolekta na "ilang taon na ang nakalilipas." Ibig sabihin, sa mahabang panahon, ang mga may-ari ng mga account na iyon ay may kompromisadong kredensyal na aktibo pa rin sa isang database sa kung saan-saan, at walang pumilit sa kanila na palitan ito. Walang login attempt na na-flag bilang kahina-hinala, dahil hindi pa noon sinusubukan ng umaatake. Walang na-trigger na password reset, dahil walang aktibong pananamantala na mapapansin ninuman. Naghintay lamang ang kredensyal, balido pa rin, hanggang sa may nagpasyang gamitin ito nang malawakan laban sa mga account ng customer ng Snowflake.

Iyon ang uri ng kabiguang nililikha ng mga ginagamit-muli at hindi pinapalitang password: hindi ito dahil mahina ang mga ito — masayang kukunin din ng infostealer malware ang isang malakas at natatanging password, diretso mula sa saved-password vault ng browser. Ang punto ay walang expiration date ang isang nakawang password maliban kung bibigyan ito ng tao o patakaran ng isa. Ang isang paglabag noong 2021 ay maaari pa ring magbukas ng pinto noong 2024 kung walang sinuman ang nagpalit ng kredensyal sa pagitan ng mga taong iyon.

Ang ikalawang kandado na wala pala

Ang isa pang detalyeng itinuro ng mga tagausig — ang naka-off na MFA sa mga apektadong account — ang siyang dahilan kung bakit naging ganap na access sa account ang isang nakawang password. Ang multi-factor authentication ay dinisenyo mismo para sa ganitong sitwasyon: ipinapalagay nito na malabas rin balang-araw ang mga password kaya nagdaragdag ito ng ikalawang patunay ng pagkakakilanlan (isang code, push notification, o hardware key) na hindi maibibigay ng nakawang password lamang. Kapag naka-disable ito, ang naibunyag na kredensyal na lang ang tanging hadlang. Ayon sa mga ulat tungkol sa mas malawak na alon ng paglabag na kaugnay ng Snowflake noong 2024, marami sa mga apektadong account ang walang naka-enforce na MFA bilang default, kaya nakadepende ang setting na ito sa bawat organisasyong customer na aktibong i-on ito.

Ano talaga ang ibig sabihin nito para sa iyo

Karamihan sa mga bumabasa ng newsletter na ito ay hindi nagpapatakbo ng Snowflake data warehouse, ngunit angkop ang mekanismong ito sa anumang account na hawak mo kahit saan:

  • Ipagpalagay na ang mga lumang password ay nakompromiso na, hindi lang mahina. Kung ginamit mo muli ang isang password sa maraming site at hindi mo pa ito napapalitan simula noon, ituring itong sunog na — hindi dahil may nakahula nito, kundi dahil maaaring nakaupo na ito sa isang listahan ng nakawang kredensyal na hindi mo makikita kailanman.
  • Palitan ang mga kredensyal pagkatapos maglabas ng anunsyo ng paglabag ang anumang serbisyong ginagamit mo — kahit sabihin sa iyong "hindi apektado" ang partikular mong account. Kadalasang hindi kumpleto ang mga unang anunsyo ng paglabag habang patuloy pa ang imbestigasyon.
  • I-on ang MFA saanman ito inaalok, at huwag ipagpalagay na awtomatikong pinapagana ito ng isang serbisyo. Direktang tingnan ang mga setting ng seguridad ng account sa halip na umasa na aktibo na ang pinakaligtas na opsyon.
  • Nilulutas ng password manager ang ugat ng problema, hindi lang ang sintomas: ginagawa nitong pinakamadaling landas ang paggamit ng natatangi at hindi paulit-ulit na mga password sa halip na maging isang bagay na kailangan mong tandaang gawin.
  • Kung posibleng nahawaan ng infostealer malware ang isang device (may hindi pamilyar na program na na-install, isang pirated na download, o isang kahina-hinalang login alert), ang pagpapalit ng bawat naka-save na password pagkatapos noon — hindi lang ng isang akala mong mahalaga — ang tanging paraan para matiyak na hindi na patuloy na kumikita ang lumang impeksyon para sa sinumang nangolekta ng datos.

Ang di-pagkakatugma ang siyang aral

May bagay na halos nakakailang sa isang kasong ganito kalaki ang epekto — hanggang 30 taong maximum na parusa, isang mandatory minimum, mga rekord ng 100 milyong tao — na nakasandal sa isang mekanismong napakasimple. Walang exploit chain, walang bagong pamamaraan, isa lamang password na hindi napalitan ng sinuman at isang setting ng seguridad na hindi na-on ng sinuman. Ang di-pagkakatugmang iyon mismo ang dahilan kung bakit dapat alalahanin ang kasong ito matapos manghina ang mga balita ukol sa sentensya: ang pinakamalalaking paglabag ay kadalasang hindi nangangailangan ng isang henyong umaatake. Kailangan lang nila ng isang kredensyal na hindi kailanman napalitan, na nasa iisang account kung saan hindi kailanman na-on ang MFA.