Malý únik se známým jménem

Kombinovaný seznam označený jako „Microsoft 42“ se nedávno objevil online a podle skeneru úniků na dark webu společnosti HEROIC obsahuje 140 odhalených přihlašovacích údajů. Společnost, která spravuje databázi více než 400 miliard uniklých záznamů, soubor označila v rámci svého průběžného monitorování kombinovaných seznamů kolujících na podzemních fórech a tržištích.

Ve srovnání s úniky, které odhalují miliony účtů, může 140 záznamů znít zanedbatelně. Velikost kombinovaného seznamu má však jen málo společného s nebezpečím, které představuje pro lidi, jejichž přihlašovací údaje obsahuje. Důležité je, zda tyto dvojice e-mailů a hesel stále fungují a kolik dalších účtů sdílí stejné opakovaně používané heslo.

Co kombinovaný seznam vlastně je (a proč na názvu záleží)

Kombinovaný seznam je prostý textový soubor párující e-mailové adresy nebo uživatelská jména s hesly, obvykle získaný z předchozích úniků, phishingových kampaní nebo malwarových infekcí, nikoli z jediného čerstvého hacku. Označení „Microsoft 42“ nutně neznamená, že byl napaden samotný Microsoft. Kombinované seznamy jsou často pojmenovány podle značky, služby nebo tématu, aby pomohly kupujícím a zločineckým fórům organizovat ukradená data, i když přihlašovací údaje pocházejí z nesouvisejících zdrojů a jsou pouze přebaleny.

Tato konvence pojmenovávání může být pro náhodné pozorovatele zavádějící, ale nečiní podkladová data o nic méně použitelnými. Útočníci nahrávají kombinované seznamy do automatizovaných nástrojů a spouštějí je proti bankovním webům, poskytovatelům e-mailu, streamovacím službám a firemním přihlášením technikou známou jako plnění přihlašovacími údaji. Pokud byť jen hrstka ze 140 záznamů v tomto úniku používá hesla, která jsou stále aktivní jinde, jsou tyto účty ohroženy bez ohledu na to, zda byly systémy Microsoftu vůbec dotčeny.

Tento vzorec recyklace přihlašovacích údajů je součástí mnohem většího ekosystému. Větší incidenty, které poutají pozornost titulků, jako je vishingový útok ShinyHunters, který zasáhl Charter a odhalil přibližně 40 milionů záznamů, zásobují stejný podzemní dodavatelský řetězec, ze kterého čerpají malé kombinované seznamy, jako je tento. Ukradené přihlašovací údaje zřídka zůstávají omezeny na jeden únik; jsou spojovány, přeprodávány a rekombinovány do nových seznamů ještě roky po původní krádeži.

Proč se hrozby spojené se značkou Microsoft neustále vracejí

Ekosystém Microsoftu, zahrnující Outlook, Microsoft 365, Azure a Windows, je neustálým cílem jednoduše kvůli svému rozsahu. Útočníci vědí, že fungující přihlašovací údaje k Microsoftu často odemykají e-mail, cloudové úložiště a firemní aplikace najednou, což z nich činí vysoce hodnotný cíl jak pro jednotlivé podvodníky, tak pro organizované aktéry hrozeb.

To je také důvod, proč útoky s tematikou Microsoftu mají tendenci eskalovat nad rámec prostých úniků hesel. Samostatné zprávy podrobně popsaly, jak aktér hrozby sledovaný jako Storm-2949 zneužil toky resetování hesla Microsoft 365 k odčerpání cloudových dat, což ukazuje, jak se jediné opakovaně použité nebo uniklé heslo může stát vstupním bodem pro mnohem ničivější průnik. Úniky přihlašovacích údajů a kampaně převzetí účtů se mají tendenci vzájemně posilovat: uniklá hesla umožňují resetování a přístup k účtům a úspěšné průniky generují nová ukradená data, která nakonec skončí v dalším kombinovaném seznamu.

Je také třeba připomenout, že ukradené přihlašovací údaje stále častěji živí vyděračské operace. Výzkum popsaný jinde zaznamenal, že přibližně každý týden vzniká nová ransomwarová skupina a mnohé z těchto skupin se spoléhají na zakoupené nebo uniklé přihlašovací údaje k získání počátečního přístupu před nasazením ransomwaru. Kombinovaný seznam se 140 záznamy může izolovaně vypadat jako okrajový, ale je součástí surového materiálu, který udržuje tuto širší zločineckou ekonomiku v chodu.

Co to znamená pro vás

Pokud používáte účet Microsoft nebo jakýkoli účet, kde jste opakovaně použili heslo, praktické riziko nespočívá v konkrétním názvu kombinovaného seznamu. Jde o to, zda se vaše současné heslo objevuje kdekoli v uniklých datových sadách. Nástroje jako bezplatný skener úniků HEROIC existují právě z tohoto důvodu: umožňují vám prohledávat miliardy odhalených záznamů a zjistit, zda se vaše e-mailová adresa nebo heslo objevily v úniku, aniž byste museli sami dohledávat každý jednotlivý incident.

Nejbezpečnějším předpokladem je, že jakékoli heslo, které jste použili vícekrát, zejména na starším nebo méně zabezpečeném webu, již bylo někde kompromitováno. Kombinované seznamy, jako je tento, jsou jen nejnovějším důkazem, že recyklované přihlašovací údaje zůstávají jedním z nejjednodušších způsobů, jak útočníci pronikají dovnitř.

Praktické kroky, které nyní podniknout

  • Zadejte svou e-mailovou adresu do renomovaného nástroje pro kontrolu úniků a zjistěte, zda se objevuje ve známých únicích nebo kombinovaných seznamech.
  • Změňte jakékoli heslo, které bylo opakovaně použito na více webech, přičemž upřednostněte e-mailové, bankovní a cloudové účty.
  • Povolte vícefaktorové ověřování všude, kde je dostupné, zejména na účtech Microsoft, Google a finančních účtech.
  • Používejte správce hesel ke generování jedinečných, složitých hesel, aby jediný uniklý přihlašovací údaj nemohl odemknout více účtů.
  • Sledujte své účty pravidelně, místo abyste předpokládali, že jednorázová kontrola stačí, protože nové kombinované seznamy se objevují pravidelně.

Malé úniky, jako je kombinovaný seznam Microsoft 42, se zřídka dostávají na hlavní titulky, ale jsou užitečnou připomínkou, že na hygieně přihlašovacích údajů záleží stejně tak poté, co se únik dostane do zpráv, jako když se zdánlivě nic neděje.