Mitä Dropbox Sign -tietomurrossa tapahtui
Dropbox on ilmoittanut merkittävästä tietoturvatapahtumasta, joka koskee sen Dropbox Sign -palvelua, sähköistä allekirjoitusalustaa, jota yksityishenkilöt ja yritykset käyttävät asiakirjojen lähettämiseen ja lailliseen allekirjoittamiseen verkossa. Uhkatoimija sai luvattoman pääsyn alustan tuotantoympäristöön – live-infrastruktuuriin, joka käsittelee todellisia käyttäjätietoja – ja vei mukanaan laajan valikoiman arkaluonteisia tietoja.
Paljastuneisiin tietoihin kuuluvat sähköpostiosoitteet, puhelinnumerot, hajautetut salasanat sekä monivaiheisen tunnistautumisen (MFA) tiedot. Viimeksi mainittu kategoria on erityisen huomionarvoinen. MFA-asetusten ja laitetunnisteiden paljastuminen tarkoittaa, että hyökkääjillä saattaa olla hallussaan muutakin kuin pelkkä salasanasi. Dropbox on alkanut ilmoittaa asiasta käyttäjille ja kehottaa heitä vaihtamaan tunnistetietonsa välittömästi.
Tutkinta on käynnissä, eikä tietomurron täyttä laajuutta ole vielä julkisesti vahvistettu.
Miksi MFA-tietojen paljastuminen tekee tästä tietomurrosta vakavamman
Useimmat tietomurrot noudattavat tuttua kaavaa: sähköpostiosoite ja hajautettu salasana paljastuvat, hyökkääjä yrittää murtaa hajautuksen tai täyttää tunnistetiedot muihin palveluihin, ja tilit kaatuvat. Tämä tietomurto menee askeleen pidemmälle.
Kun MFA-konfiguraatiotiedot vaarantuvat, hyökkääjät saavat mahdollisesti tietoa siitä, miten uhrin toinen tunnistautumistekijä on asetettu. Sen mukaan, mitä on tallennettu ja miten, tämä voi helpottaa kyseisen suojaustason ohittamista tai sen kiertämistä sosiaalisen manipuloinnin avulla. Se tarkoittaa myös, että pelkkä salasanan vaihtaminen ei välttämättä riitä. Jos todennussovelluksesi on linkitetty paljastuneeseen laitetunnisteeseen, turvaketjussa on heikko lenkki, joka on korvattava kokonaan.
Hajautetut salasanat eivät nekään ole välttämättä turvassa, vaikka ne eivät ole välittömästi luettavissa. Heikkoja tai uudelleenkäytettyjä salasanoja voidaan murtaa sanakirjahyökkäyksillä tai sateenkaaritaulukoilla. Jos Dropbox Sign -salasanasi oli lyhyt, yleinen tai jaettu jonkin muun palvelun kanssa, se tulee nyt käsitellä vaarantuneena.
Mitä tämä tarkoittaa sinulle
Jos sinulla on Dropbox Sign -tili, turvallisin oletus on, että sähköpostiosoitteesi ja salasanasi hajautus ovat jonkun sellaisen henkilön hallussa, jolla ei pitäisi olla niihin pääsyä. Tässä on, mitä sinun tulisi tehdä:
Vaihda Dropbox Sign -salasanasi välittömästi. Käytä vahvaa, ainutlaatuista salasanaa, jota et ole käyttänyt missään muualla. Salasananhallintaohjelma tekee tästä suoraviivaista ja poistaa houkutuksen käyttää tunnistetietoja uudelleen.
Rekisteröidy MFA:han uudelleen. Älä jätä nykyistä MFA-asetustasi paikalleen. Koska MFA-konfiguraatiotiedot olivat osa tietomurtoa, viisain toimenpide on poistaa nykyinen MFA-asetuksesi käytöstä ja ottaa se sitten uudelleen käyttöön alusta alkaen. Jos käytät SMS-pohjaista kaksivaiheista tunnistautumista, harkitse siirtymistä todennussovellukseen, joka on yleisesti ottaen vastustuskykyisempi sieppaukselle.
Tarkista tunnistetietojen uudelleenkäyttö. Jos sama salasana, jota käytit Dropbox Signissa, esiintyy jossakin muualla, vaihda se myös näissä palveluissa. Tunnistetietojen täyttäminen – jossa hyökkääjät ottavat yhden paljastuneen tunnistetietojoukon ja kokeilevat sitä kymmenissä muissa alustoissa – on yksi yleisimmistä ja tehokkaimmista jatkohyökkäyksistä tällaisen tietomurron jälkeen.
Seuraa tiliesi epätavallista toimintaa. Tarkkaile salasanan palautussähköposteja, joita et ole pyytänyt, tuntemattomia kirjautumisilmoituksia tai mitä tahansa tilitoimintaa, joka vaikuttaa epäilyttävältä. Tämä on erityisen tärkeää sähköpostitileille, joita voidaan käyttää porttina kaiken muun salasanojen nollaamiseen.
Käytä VPN:ää epäluotetuissa verkoissa. Kun nollaat tunnistetietoja tai kirjaudut takaisin palveluihin, luotetun salatun yhteyden kautta toimiminen vähentää riskiä, että uudet tunnistetietosi siepataan. Julkinen Wi-Fi ja jaetut verkot eivät ole oikea paikka tilien palauttamiseen.
Monitasoinen suojaus ei ole valinnainen
Dropbox Sign -tietomurto muistuttaa siitä, että mikään yksittäinen turvatoimenpide ei yksinään riitä. Hajautetut salasanat ovat parempia kuin pelkkä teksti, mutta ne eivät ole murtamattomia. MFA on parempi kuin pelkkä salasana, mutta se ei ole läpäisemätön, kun itse konfiguraatiotiedot paljastuvat. Monitasoisen suojauksen tavoite on varmistaa, että kun yksi kerros pettää, muut ovat yhä pystyssä.
Tavallisille käyttäjille tämä tarkoittaa vahvojen ainutlaatuisten salasanojen, vankan MFA:n, varovaisten verkkoturvatapojen ja säännöllisen seurannan yhdistämistä rutiiniksi pikemmin kuin reaktioksi. Tietomurtoja tapahtuu jatkossakin. Organisaatiot, joille luotat tietosi, epäonnistuvat joskus niiden suojaamisessa. Se, mitä voit hallita, on se, kuinka paljon vahinkoa yksi vaarantunut tili voi aiheuttaa ennen kuin havaitset sen.
Aloita perusasioista: vaihda vaarantuneet salasanat, päivitä MFA-rekisteröintisi ja kartoita, missä muualla olet saattanut käyttää samoja tunnistetietoja. Nämä kolme vaihetta suojaavat sinut suurimmalta osalta tämän tietomurron aiheuttamista riskeistä.
