Kybernetický priestor zažil ďalší obrovský otras. Bezpečnostní experti bijú na poplach po tom, čo objavili gigantickú databázu obsahujúcu až 149 miliónov odcudzených prihlasovacích údajov. Únik sa netýka len malých webov, ale zasiahol gigantov, ktorých služby využívame denne, od sociálnych sietí až po kritické bankové systémy. Na základe informácií Wired to píše server Mobilizujeme.cz.
Celý problém začína nenápadne, a to malvérom. Škodlivý softvér sa do počítačov a mobilov často dostane kvôli chvíľkovej nepozornosti používateľa. Stačí jedno kliknutie na podozrivý odkaz v e-maile alebo stiahnutie neoverenej prílohy, ktorá sa tvári ako faktúra či dôležitý dokument.
Akonáhle sa digitálny parazit usadí v zariadení, začne na pozadí sledovať každú aktivitu obete. Zaznamenáva históriu prehliadania a postupne vykráda citlivé údaje, ktoré neskôr slúžia na krádeže identity, podvody alebo ďalšie cielené útoky.
Desivý objav
Na tento konkrétny únik upozornil bezpečnostný expert Jeremiah Fowler. To, čo našiel voľne dostupné na internete, ho šokovalo nielen rozsahom, ale aj citlivosťou dát. Databáza obsahovala kompletné prístupy k platformám ako Facebook, Gmail, iCloud od Apple, Netflix či TikTok.
To však nebolo všetko. Fowler v zoznamoch objavil aj prihlasovacie údaje k internetovému bankovníctvu, k účtom na kryptoburze Binance a dokonca aj prístupy do vládnych systémov niekoľkých krajín. Rozsah škôd tak môže presahovať bežné „nabúranie sa“ do e-mailu a môže mať reálne finančné a bezpečnostné dopady na jednotlivcov aj inštitúcie.
E-shop pre zločincov s predplatným
Experti si všimli jednu znepokojivú vlastnosť tejto databázy. Bola extrémne dobre organizovaná. Údaje neboli len náhodne nahádzané na kopu, ale štruktúrované tak, aby sa v nich dalo ľahko vyhľadávať. To naznačuje, že nešlo o jednorazový únik, ale o premyslený biznis model.
Je vysoko pravdepodobné, že táto databáza slúžila ako „tovar“ pre kyberzločincov. Funguje to podobne ako legálne služby. Záujemca s nekalými úmyslami si jednoducho zaplatí mesačné predplatné (zvyčajne v rozmedzí 200 až 500 dolárov) a získa prístup k čerstvým ukradnutým údajom, ktoré pre neho zbiera malvér po celom svete.
Mesiac bezmocnosti
Hoci bola databáza odhalená, jej odstránenie z internetu nebolo okamžité. Fowler popisuje frustrujúci proces, kedy trvalo zhruba mesiac, kým poskytovateľ webhostingu stránku stiahol pre porušenie podmienok.
Najhoršie na tom je, že počas tohto mesiaca databáza „žila“. Keďže malvér v napadnutých zariadeniach stále funguje, do zoznamu neustále pribúdali nové a nové ukradnuté heslá. Aj keď je táto konkrétna stránka už nedostupná, je takmer isté, že útočníci už presmerovali tok dát do novej, zatiaľ neobjavenej databázy.
Čo treba spraviť?
Programy, ktoré na pozadí kradnú heslá, sú nebezpečné práve svojou nenápadnosťou. Obrana však existuje a spočíva v dodržiavaní digitálnej hygieny. Bezpečnostní experti dlhodobo odporúčajú tri základné pravidlá:
- Silné heslá: Používajte kombináciu veľkých a malých písmen, čísel a špeciálnych znakov.
- Unikátnosť: Nikdy nepoužívajte rovnaké heslo na viacero služieb. Ak vám unikne heslo z e-shopu, útočník sa ním nesmie dostať do vášho e-mailu.
- Dvojfázové overenie (2FA): Toto je najsilnejšia zbraň. Aj keď útočník získa vaše heslo, bez druhého faktora (SMS kód, potvrdzovacia aplikácia, hardvérový kľúč) sa do účtu neprihlási.
Okrem základnej triády (silné heslo, unikátnosť pre každý účet a dvojfázové overenie) existuje niekoľko ďalších vrstiev ochrany, ktoré by si mal každý používateľ osvojiť, počínajúc aktualizáciami softvéru. Mnohí používatelia ich odkladajú, pretože sú otravné, no práve aktualizácie operačného systému (Windows, macOS, Android, iOS) a prehliadačov často obsahujú kritické bezpečnostné záplaty.
Tie opravujú diery, cez ktoré sa malvér do zariadenia dostáva. Neaktualizovaný systém je pre útočníkov ako dom s otvorenými oknami.
Dôležitá je tiež opatrnosť pri práci s verejnými Wi-Fi sieťami. Bezplatné pripojenie v kaviarni, na letisku či v hoteli je zvyčajne nezabezpečené, čo znamená, že šikovný hacker dokáže „odpočúvať“ komunikáciu a získať citlivé údaje. Ak sa musíte pripojiť na verejnú sieť, nikdy sa neprihlasujte do internet bankingu ani nezadávajte čísla kariet, pokiaľ nepoužívate VPN (virtuálnu privátnu sieť), ktorá vaše dáta zašifruje.
Ďalším krokom je minimalizácia digitálnej stopy, teda mazanie starých a nepoužívaných účtov. Mnoho ľudí má stále aktívne profily na diskusných fórach či e-shopoch, ktoré naposledy navštívili pred desiatimi rokmi. Tieto „mŕtve duše“ sú častým terčom útokov, a ak tam máte staré heslo, ktoré používate aj inde, je to bezpečnostné riziko.
V neposlednom rade pomáha proaktívna kontrola. Existujú overené služby (napríklad Have I Been Pwned), kde si môžete po zadaní e-mailovej adresy overiť, či vaše údaje neboli súčasťou nejakého známeho úniku dát, a podľa toho okamžite zareagovať zmenou hesla.
