To separate sikkerhedshændelser, én i Japan og én i Taiwan, er blevet bekræftet i denne uge. Comic CMoa-datalækagen rammer en af Japans største e-bogsbutikker, med e-mailadresser og adgangskodehashes rapporteret tabt. Separat har ACCESS bekræftet, at 1.305 kortkonti blev stjålet fra CROS. De to sager er ikke relaterede, men tilsammen viser de to almindelige typer af eksponering: loginoplysninger og betalingskortdata.

De detaljer, der er tilgængelige indtil videre, er begrænsede, så dette indlæg holder sig til det, der er blevet rapporteret, og forklarer, hvad det betyder i praksis.

Hvad lækkede i Comic CMoa- og ACCESS-lækagerne

Ifølge rapporteringen involverer Comic CMoa-datalækagen en populær japansk e-bogsbutik, og de tabte data inkluderer brugeres e-mailadresser og adgangskodehashes. En adgangskodehash er en sløret version af en adgangskode, ikke selve adgangskoden. Virksomheder gemmer hashes, så de ikke behøver at opbevare adgangskoder i klartekst på deres servere.

Den anden hændelse er separat. ACCESS bekræftede, at 1.305 kortkonti blev stjålet fra CROS. Kilden beskriver omfanget som 1.305 kortkonti og giver ikke yderligere detaljer i det materiale, vi har gennemgået. Vi vil ikke gætte på, hvilke felter der blev taget, hvordan angriberne kom ind, eller hvem der stod bag nogen af hændelserne.

Det er værd at understrege, at dette er to forskellige virksomheder, to forskellige systemer og to forskellige typer data. Læsere bør ikke antage, at den ene hændelse er forbundet med den anden.

Hvorfor hash'ede adgangskoder stadig udsætter brugere for risiko

At høre, at kun hashes blev taget, kan lyde beroligende, men det bør ikke få nogen til at slappe af. Hashes er et beskyttelseslag, ikke en garanti. Hvor sikker en hash'et adgangskode er, afhænger af, hvor stærk den oprindelige adgangskode var, og hvordan tjenesten hash'ede den.

Hvis en angriber får fat i et sæt hashes, kan de forsøge at arbejde baglæns ved at gætte almindelige adgangskoder, hashe hvert gæt og sammenligne resultaterne. Korte, forudsigelige eller almindeligt brugte adgangskoder falder typisk først. Stærke, unikke adgangssætninger er meget sværere at genskabe.

E-mailadresserne betyder også noget. Selv uden nogen adgangskode kan en liste med e-mails knyttet til en bestemt tjeneste bruges til målrettet phishing, såsom falske beskeder, der hævder at komme fra e-bogsbutikken og beder dig logge ind igen.

Den største praktiske fare er genbrug af adgangskoder. Hvis du brugte din Comic CMoa-adgangskode på et andet websted, kan enhver, der knækker den hash, forsøge den samme kombination af e-mail og adgangskode andre steder. Dette er kendt som credential stuffing, og det virker kun, når folk genbruger adgangskoder.

Hvad CROS-korttyveriet betyder for berørte kunder

Kortdata er et andet problem. Med 1.305 kortkonti rapporteret stjålet fra CROS er den største bekymring for berørte kunder uautoriserede opkrævninger og svindelforsøg. Kortudstedere har generelt processer til at erstatte kompromitterede kort og gøre indsigelse mod svigagtige transaktioner, men de kan kun handle, hvis du bemærker et problem eller bliver informeret om det.

Hvis du bliver kontaktet af ACCESS eller din kortudsteder om denne hændelse, skal du tage meddelelsen alvorligt, men verificere den først. Lækager følges ofte af svindelbeskeder, der efterligner den berørte virksomhed. Brug kontaktoplysningerne trykt på dit kort eller taget direkte fra virksomhedens officielle websted, ikke links i en uventet e-mail eller sms.

Små testopkrævninger er et almindeligt tegn på kortmisbrug, så selv mindre transaktioner, du ikke genkender, fortjener et opkald til din udsteder.

Trin til at beskytte dine konti efter en lækage

Du behøver ikke at gå i panik, men et par hurtige handlinger rækker langt:

  • Skift genbrugte adgangskoder. Hvis din Comic CMoa-adgangskode blev brugt andre steder, skal du erstatte den på alle andre konti. Gør hver enkelt unik.
  • Slå to-faktor-godkendelse (2FA) til. Selv hvis nogen har din adgangskode, gør en anden faktor det meget sværere at komme ind. App-baserede koder eller hardwarenøgler er generelt stærkere end SMS.
  • Brug en adgangskodeadministrator. Den kan generere lange, tilfældige adgangskoder og huske dem for dig, hvilket fjerner fristelsen til at genbruge.
  • Overvåg dine kortudtog. Tjek dine konti regelmæssigt, opsæt transaktionsadvarsler, hvis din bank tilbyder det, og rapportér alt ukendt med det samme.
  • Vær på vagt over for opfølgningsbeskeder. Klik ikke på links i uventede e-mails om nogen af hændelserne.

De samme vaner gælder efter enhver lækage, herunder angreb, hvor kriminelle sigter mod at forstyrre et offer direkte, som i tilfældet med en Akira ransomware-affiliate, hvis angreb gik galt. Angribere begår fejl, men du bør ikke regne med det til at beskytte dine data.

Hvad det betyder for dig

Hvis du har en Comic CMoa-konto, skal du antage, at din e-mailadresse kan være i hænderne på tredjeparter, og at din adgangskodehash muligvis kan blive knækket, især hvis adgangskoden var svag. Skift den, og skift den overalt, hvor du brugte den. Hvis du er tilknyttet CROS eller en ACCESS-kortkonto, skal du holde øje med dine udtog og bekræfte enhver kommunikation gennem officielle kanaler.

Hvis du ikke er i nogen af grupperne, er disse hændelser stadig en nyttig påmindelse. Det meste af skaden fra lækager kommer senere, når stjålne oplysninger genbruges mod personer, der ikke ændrede deres vaner.

Vigtige pointer

Comic CMoa-datalækagen og ACCESS CROS-korttyveriet er separate hændelser, men rådet er det samme: handl tidligt. Erstat genbrugte adgangskoder med unikke, aktivér 2FA, opbevar loginoplysninger i en adgangskodeadministrator, og gennemgå din kortaktivitet regelmæssigt. Ti minutters oprydning nu er langt lettere end at håndtere kontoovertagelser eller svigagtige opkrævninger senere.