Kaksi erillistä tietoturvahäiriötä, yksi Japanissa ja yksi Taiwanissa, on vahvistettu tällä viikolla. Comic CMoan tietomurto koskee yhtä Japanin suurimmista e-kirjakaupoista, ja sähköpostiosoitteiden ja salasanatiivisteiden raportoitiin joutuneen vääriin käsiin. Erillisesti ACCESS on vahvistanut, että CROSista varastettiin 1 305 korttitiliä. Tapaukset eivät liity toisiinsa, mutta yhdessä ne osoittavat kaksi yleistä altistumistyyppiä: kirjautumistiedot ja maksukorttitiedot.

Tähän mennessä saatavilla olevat yksityiskohdat ovat rajallisia, joten tämä kirjoitus pitäytyy siinä, mitä on raportoitu, ja selittää, mitä se tarkoittaa käytännössä.

Mitä Comic CMoan ja ACCESSin tietomurroissa vuoti

Raporttien mukaan Comic CMoan tietomurto koskee suosittua japanilaista e-kirjakauppaa, ja kadonneisiin tietoihin sisältyvät käyttäjien sähköpostiosoitteet ja salasanatiivisteet. Salasanatiiviste on salasanan sekoitettu versio, ei itse salasana. Yritykset tallentavat tiivisteitä, jotta niiden ei tarvitse säilyttää selkokielisiä salasanoja palvelimillaan.

Toinen tapaus on erillinen. ACCESS vahvisti, että CROSista varastettiin 1 305 korttitiliä. Lähde kuvaa laajuudeksi 1 305 korttitiliä, eikä se tarjoa lisätietoja tarkastelemassamme materiaalissa. Emme aio arvailla, mitkä kentät vietiin, miten hyökkääjät pääsivät sisään tai kuka oli kummankaan tapauksen takana.

On syytä korostaa, että kyseessä on kaksi eri yritystä, kaksi eri järjestelmää ja kaksi eri tietotyyppiä. Lukijoiden ei pidä olettaa, että yksi tapaus liittyy toiseen.

Miksi tiivistetyt salasanat vaarantavat käyttäjät edelleen

Kuuleminen siitä, että vain tiivisteitä vietiin, voi kuulostaa rauhoittavalta, mutta sen ei pitäisi saada ketään rentoutumaan. Tiivisteet ovat suojakerros, eivät tae. Kuinka turvallinen tiivistetty salasana on, riippuu siitä, kuinka vahva alkuperäinen salasana oli ja miten palvelu tiivisti sen.

Jos hyökkääjä saa joukon tiivisteitä, hän voi yrittää päätellä niitä arvaamalla yleisiä salasanoja, tiivistämällä jokaisen arvauksen ja vertaamalla tuloksia. Lyhyet, ennustettavat tai yleisesti käytetyt salasanat putoavat yleensä ensimmäisinä. Vahvat, ainutlaatuiset salalauseet ovat paljon vaikeampia palauttaa.

Myös sähköpostiosoitteilla on merkitystä. Ilman salasanaakin luetteloa tiettyyn palveluun liitetyistä sähköposteista voidaan käyttää kohdennettuun tietojenkalasteluun, kuten väärennettyihin viesteihin, jotka väittävät tulevansa e-kirjakaupasta ja pyytävät sinua kirjautumaan uudelleen.

Suurin käytännön vaara on salasanojen uudelleenkäyttö. Jos käytit Comic CMoan salasanaasi toisella sivustolla, kuka tahansa, joka murtaa kyseisen tiivisteen, voi yrittää samaa sähköpostin ja salasanan yhdistelmää muualla. Tätä kutsutaan kirjautumistietojen täyttämiseksi (credential stuffing), ja se toimii vain, kun ihmiset käyttävät salasanoja uudelleen.

Mitä CROS-korttivarkaus tarkoittaa asianomaisille asiakkaille

Korttitiedot ovat eri ongelma. Kun CROSista raportoitiin varastetun 1 305 korttitiliä, asianomaisten asiakkaiden päähuolenaihe on luvattomat veloitukset ja petosyritykset. Kortinmyöntäjillä on yleensä prosessit vaarantuneiden korttien korvaamiseksi ja petollisten tapahtumien riitauttamiseksi, mutta ne voivat toimia vain, jos huomaat ongelman tai sinulle kerrotaan siitä.

Jos ACCESS tai kortinmyöntäjäsi ottaa sinuun yhteyttä tästä tapauksesta, suhtaudu ilmoitukseen vakavasti, mutta vahvista se ensin. Tietomurtoja seuraa usein huijausviestejä, jotka jäljittelevät asianomaista yritystä. Käytä korttiisi painettuja tai yrityksen virallisilta verkkosivuilta suoraan otettuja yhteystietoja, älä odottamattoman sähköpostin tai tekstiviestin linkkejä.

Pienet testivelotukset ovat yleinen merkki kortin väärinkäytöstä, joten jopa pienet tuntemattomat tapahtumat ansaitsevat puhelinsoiton kortinmyöntäjällesi.

Toimenpiteet tiliesi suojaamiseksi tietomurron jälkeen

Sinun ei tarvitse panikoida, mutta muutama nopea toimenpide auttaa paljon:

  • Vaihda uudelleenkäytetyt salasanat. Jos Comic CMoan salasanaasi käytettiin missään muualla, vaihda se kaikilla muilla tileillä. Tee jokaisesta ainutlaatuinen.
  • Ota kaksivaiheinen tunnistautuminen (2FA) käyttöön. Vaikka jollakulla olisi salasanasi, toinen tekijä vaikeuttaa sisäänpääsyä huomattavasti. Sovelluspohjaiset koodit tai laitteistopohjaiset avaimet ovat yleensä vahvempia kuin SMS.
  • Käytä salasananhallintaohjelmaa. Se voi luoda pitkiä, satunnaisia salasanoja ja muistaa ne puolestasi, mikä poistaa kiusauksen käyttää salasanoja uudelleen.
  • Seuraa korttitiliotteitasi. Tarkista tilisi säännöllisesti, ota käyttöön tapahtumailmoitukset, jos pankkisi tarjoaa niitä, ja ilmoita kaikesta tuntemattomasta välittömästi.
  • Suhtaudu varoen seurantaviesteihin. Älä napsauta linkkejä odottamattomissa sähköposteissa, jotka koskevat kumpaakin tapausta.

Samat tavat pätevät minkä tahansa tietomurron jälkeen, mukaan lukien hyökkäykset, joissa rikolliset pyrkivät häiritsemään uhria suoraan, kuten tapauksessa, jossa Akira-kiristysohjelman kumppanin hyökkäys kääntyi hyökkääjiä vastaan. Hyökkääjät tekevät virheitä, mutta sinun ei pidä laskea sen varaan tietojesi suojaamiseksi.

Mitä tämä tarkoittaa sinulle

Jos sinulla on Comic CMoan tili, oleta, että sähköpostiosoitteesi voi olla kolmansien osapuolten käsissä ja että salasanatiivisteesi voi lopulta murtua, erityisesti jos salasana oli heikko. Vaihda se ja vaihda se kaikkialla muualla, missä käytit sitä. Jos sinulla on CROS- tai ACCESS-korttitili, seuraa tiliotteitasi tarkasti ja vahvista kaikki viestintä virallisten kanavien kautta.

Jos et kuulu kumpaankaan ryhmään, nämä tapaukset ovat silti hyödyllinen muistutus. Suurin osa tietomurtojen vahingoista tulee myöhemmin, kun varastettuja tietoja käytetään uudelleen ihmisiä vastaan, jotka eivät muuttaneet tapojaan.

Keskeiset huomiot

Comic CMoan tietomurto ja ACCESS CROS -korttivarkaus ovat erillisiä tapahtumia, mutta neuvo on sama: toimi ajoissa. Korvaa uudelleenkäytetyt salasanat ainutlaatuisilla, ota 2FA käyttöön, tallenna kirjautumistiedot salasananhallintaohjelmaan ja tarkista korttitapahtumasi säännöllisesti. Kymmenen minuutin siivous nyt on paljon helpompaa kuin tilien kaappausten tai petollisten veloitusten käsitteleminen myöhemmin.