Tento týden byly potvrzeny dva oddělené bezpečnostní incidenty, jeden v Japonsku a jeden na Tchaj-wanu. Únik dat Comic CMoa zasáhl jeden z největších japonských obchodů s e-knihami, přičemž došlo ke ztrátě e-mailových adres a hashů hesel. Společnost ACCESS odděleně potvrdila, že z CROS bylo ukradeno 1 305 kartových účtů. Tyto dva případy spolu nesouvisí, ale společně ukazují dva běžné typy ohrožení: přihlašovací údaje a data platebních karet.

Dosud dostupné podrobnosti jsou omezené, proto se tento příspěvek drží toho, co bylo oznámeno, a vysvětluje, co to znamená v praxi.

Co uniklo při únicích Comic CMoa a ACCESS

Podle zpráv se únik dat Comic CMoa týká populárního japonského obchodu s e-knihami a ztracená data zahrnují e-mailové adresy uživatelů a hashe hesel. Hash hesla je zašifrovaná (zamíchaná) verze hesla, nikoli heslo samotné. Společnosti ukládají hashe, aby nemusely na svých serverech uchovávat hesla v otevřeném textu.

Druhý incident je oddělený. Společnost ACCESS potvrdila, že z CROS bylo ukradeno 1 305 kartových účtů. Zdroj popisuje rozsah jako 1 305 kartových účtů a v materiálu, který jsme prozkoumali, neposkytuje další podrobnosti. Nebudeme spekulovat o tom, která pole byla odcizena, jak se útočníci dostali dovnitř ani kdo za některým z incidentů stál.

Stojí za to zdůraznit, že jde o dvě různé společnosti, dva různé systémy a dva různé typy dat. Čtenáři by neměli předpokládat, že jeden incident souvisí s druhým.

Proč hashovaná hesla stále ohrožují uživatele

Slyšet, že byly odcizeny pouze hashe, může znít uklidňujícím dojmem, ale nikdo by se kvůli tomu neměl uvolnit. Hashe jsou vrstvou ochrany, nikoli zárukou. Jak bezpečné hashované heslo je, závisí na tom, jak silné bylo původní heslo a jak služba hash provedla.

Pokud útočník získá sadu hashů, může se je pokusit zpětně prolomit tím, že bude hádat běžná hesla, každý odhad zahashuje a porovná výsledky. Krátká, předvídatelná nebo běžně používaná hesla obvykle padnou jako první. Silné, jedinečné přístupové fráze se obnovují mnohem obtížněji.

Na e-mailových adresách také záleží. I bez jakéhokoli hesla lze seznam e-mailů spojených s konkrétní službou použít k cílenému phishingu, například k falešným zprávám, které tvrdí, že pocházejí z obchodu s e-knihami, a žádají vás o opětovné přihlášení.

Největší praktické nebezpečí spočívá v opakovaném použití hesel. Pokud jste své heslo k Comic CMoa použili na jiném webu, kdokoli, kdo tento hash prolomí, může zkusit stejnou kombinaci e-mailu a hesla jinde. Tomu se říká credential stuffing a funguje pouze tehdy, když lidé hesla opakovaně používají.

Co krádež karet CROS znamená pro postižené zákazníky

Kartová data jsou jiný problém. U 1 305 kartových účtů hlášených jako ukradené z CROS je hlavní obavou postižených zákazníků neoprávněné účtování a pokusy o podvod. Vydavatelé karet mají obecně postupy pro výměnu kompromitovaných karet a reklamaci podvodných transakcí, ale mohou jednat pouze tehdy, pokud si problému všimnete nebo vám o něm bude řečeno.

Pokud vás v souvislosti s tímto incidentem kontaktuje společnost ACCESS nebo vydavatel vaší karty, berte oznámení vážně, ale nejprve si jej ověřte. Po únicích často následují podvodné zprávy napodobující postiženou společnost. Použijte kontaktní údaje vytištěné na vaší kartě nebo převzaté přímo z oficiálního webu společnosti, nikoli odkazy v neočekávaném e-mailu nebo textové zprávě.

Malé testovací poplatky jsou častým znakem zneužití karty, takže i drobné transakce, které nepoznáváte, si zaslouží zavolání vydavateli.

Kroky k ochraně účtů po úniku dat

Není třeba panikařit, ale několik rychlých kroků udělá hodně:

  • Změňte opakovaně používaná hesla. Pokud bylo vaše heslo k Comic CMoa použito kdekoli jinde, nahraďte je na každém dalším účtu. Každé udělejte jedinečným.
  • Zapněte dvoufaktorové ověřování (2FA). I když někdo zná vaše heslo, druhý faktor mu výrazně ztíží přístup. Kódy v aplikaci nebo hardwarové klíče jsou obecně silnější než SMS.
  • Používejte správce hesel. Může generovat dlouhá náhodná hesla a pamatovat si je za vás, což odstraňuje pokušení je opakovaně používat.
  • Sledujte výpisy z karet. Pravidelně kontrolujte své účty, nastavte si upozornění na transakce, pokud je vaše banka nabízí, a cokoli neznámého okamžitě nahlaste.
  • Buďte obezřetní u následných zpráv. Neklikejte na odkazy v neočekávaných e-mailech týkajících se kteréhokoli z incidentů.

Stejné návyky platí po každém úniku, včetně útoků, kdy se zločinci snaží přímo poškodit oběť, jako v případě pobočky ransomwaru Akira, jejíž útok se obrátil proti útočníkům. Útočníci dělají chyby, ale neměli byste na to spoléhat, pokud jde o ochranu vašich dat.

Co to znamená pro vás

Pokud máte účet u Comic CMoa, předpokládejte, že vaše e-mailová adresa může být v rukou třetích stran a že váš hash hesla může být případně prolomen, zejména pokud bylo heslo slabé. Změňte je a změňte je všude jinde, kde jste je použili. Pokud jste spojeni s CROS nebo kartovým účtem ACCESS, pečlivě sledujte své výpisy a ověřujte veškerou komunikaci prostřednictvím oficiálních kanálů.

Pokud nepatříte ani do jedné z těchto skupin, tyto incidenty jsou i tak užitečným připomenutím. Většina škod z úniků přichází později, když jsou odcizené údaje zneužity proti lidem, kteří nezměnili své návyky.

Klíčové poznatky

Únik dat Comic CMoa a krádež karet ACCESS CROS jsou oddělené události, ale rada je stejná: jednejte včas. Nahraďte opakovaně používaná hesla jedinečnými, zapněte 2FA, ukládejte přihlašovací údaje do správce hesel a pravidelně kontrolujte aktivitu na svých kartách. Deset minut úklidu nyní je mnohem snazší než později řešit převzetí účtů nebo podvodné poplatky.