Heikko järjestelmänvalvojan salasana on yhdistetty merkittävään tanskalaiseen tietomurtoon, jossa paljastui noin 8,8 miljoonaan henkilötunnukseen liittyviä tietoja. Raporttien mukaan vähintään kolme tiliä Pays-nimisessä IT-yrityksessä Fynin saarella käytti salasanaa "123456", mukaan lukien yksi järjestelmänvalvojan tili. Tanskan CPR-tietomurtoa koskeva salasanatarina on karu muistutus siitä, että henkilötietojen suurimmat riskit johtuvat usein yksinkertaisimmista virheistä.
Mitä Paysissa tapahtui
Tietomurto koskee Tanskan CPR-numeroihin liittyviä tietoja, jotka ovat maanlaajuisesti käytössä olevia henkilötunnuksia. Tietojen paljastuminen liittyy Paysiin, Fynillä toimivaan IT-yritykseen, ja sen tileihin, joiden kerrotaan nojanneen salasanaan "123456". Yhdellä näistä tileistä oli järjestelmänvalvojan oikeudet, mikä yleensä tarkoittaa laajempia käyttöoikeuksia kuin tavallisella käyttäjätilillä.
Nämä tiedot tulevat raportoinnista, ja salasanan kerrotaan olleen "raporttien mukaan" käytössä. Erillistä hakkerin väitettä siitä, miten pääsy saatiin, käsitellään aiemmassa artikkelissamme, Hakkeri väittää "123456"-salasanan avanneen Tanskan 8,8 miljoonan tietueen rekisterin. Lukijoiden, jotka haluavat täyden selvityksen tästä väitteestä, kannattaa aloittaa sieltä.
Huomionarvoista on se, missä heikkous sijaitsi. Tietoja ei paljastettu siksi, että yksityishenkilöt olisivat käyttäneet samaa salasanaa omilla tileillään. Se liittyi kolmannen osapuolen IT-palveluntarjoajaan, mikä tarkoittaa, ettei kansalaisilla ollut hallintaa tai näkyvyyttä heidän henkilötietojaan suojaaviin turvakäytäntöihin.
Miksi "123456" avaa edelleen ovia
On houkuttelevaa pitää salasanaa kuten "123456" yksittäisenä häpeällisenä tapauksena. Käytännössä se säilyy, koska organisaatiot ja ihmiset toimivat tietyllä tavalla. Oletustunnukset asetetaan käyttöönoton yhteydessä eikä niitä koskaan vaihdeta. Jaetut tai palvelutilit luodaan kiireessä. Salasanasääntöjä ei valvota tai niitä valvotaan vain tavalliselle henkilöstölle, ei järjestelmänvalvojille.
Hyökkääjät tietävät tämän. Yleisimpien salasanojen arvaaminen on yksi halvimmista käytettävissä olevista tekniikoista, ja se liittyy läheisesti brute force -hyökkäykseen, jossa hyökkääjä järjestelmällisesti kokeilee yhdistelmiä, kunnes yksi toimii. Niin ennustettavalla salasanalla kuin "123456" hyökkääjä ei tarvitse edes paljon laskentatehoa. Lyhyt luettelo yleisistä salasanoista voi riittää.
Järjestelmänvalvojatilit nostavat panoksia. Vaarantunut järjestelmänvalvojan kirjautuminen voi mahdollistaa pääsyn tietoihin, asetuksiin ja muihin tileihin, joten heikolla tunnuksella siellä voi olla suhteettoman suuria seurauksia. Perustason valvontakeinoja, joita organisaatiot voivat soveltaa, ovat muun muassa:
- Yleisten ja aiemmin vuotaneiden salasanojen estäminen luontihetkellä
- Monivaiheisen tunnistautumisen vaatiminen, erityisesti järjestelmänvalvojatileillä
- Kirjautumisyritysten rajoittaminen ja hälytysten asettaminen epätavallisesta käytöstä
- Käyttämättömien tai jaettujen tilien tarkistaminen ja poistaminen
Mitä CPR-numeron paljastuminen tarkoittaa identiteettivarkauden kannalta
CPR-numero ei ole kuin salasana. Sitä ei voi helposti nollata, ja useimmilla ihmisillä se pysyy samana koko elämän. Juuri siksi 8,8 miljoonaan niistä liittyvien tietojen paljastuminen on niin merkittävää: tunnistetta ei yksinkertaisesti voi vaihtaa vuodon jälkeen.
Yksinään henkilötunnus ei ole avain pankkitiliisi. Riski piilee yhdistelmässä. Jos hyökkääjä yhdistää tunnistetiedot muihin tietoihin, hän voi yrittää esiintyä toisena henkilönä, uskottavalta kuulostavaa tietojenkalastelua, joka käyttää oikeita tietoja, tai yrityksiä vastata tilin palautuskysymyksiin. Huijarit luottavat usein viestiin, joka näyttää tietävän, kuka olet.
Käytännön vastaus on valppautta, ei paniikkia. Suhtaudu epäluuloisesti odottamattomiin puheluihin, sähköposteihin tai tekstiviesteihin, joissa pyydetään salasanoja tai luottamuksellisia tietoja, vaikka lähettäjä näyttäisi tietävän henkilökohtaisia tietoja. Legitiimit organisaatiot eivät yleensä pyydä sinua luovuttamaan tunnuksia tällä tavalla.
Miten suojata omat tilisi
Et voi korjata palveluntarjoajan salasanakäytäntöä, mutta voit varmistaa, etteivät omat tiliisi päädy seuraavaksi heikoksi lenkiksi. Aloita näistä vaiheista:
- Käytä ainutlaatuista salasanaa jokaiseen tiliin. Jos yksi palvelu murretaan, uudelleenkäyttö antaa hyökkääjien kokeilla samaa kirjautumista muualla.
- Ota käyttöön salasananhallintaohjelma. Se luo ja tallentaa pitkiä satunnaisia salasanoja, jotta sinun ei tarvitse muistaa niitä.
- Kytke päälle kaksivaiheinen tunnistautuminen. Vaikka salasana arvattaisiin tai vuotaisi, toinen tekijä voi estää kirjautumisen.
- Tarkista "123456"-tyyliset salasanat. Vaihda kaikki yksinkertaiset, lyhyet tai kaavamaiset salasanat, aloittaen sähköposti-, pankki- ja työtileistä.
- Suhtaudu pyytämättömiin pyyntöihin epäluuloisesti. Varmista ottamalla yhteyttä organisaatioon virallista kanavaa pitkin, johon jo luotat.
Mitä tämä tarkoittaa sinulle
Jos asut Tanskassa, tärkein johtopäätös on olla valppaana tietojenkalastelu- ja henkilöitymisyrityksille, jotka käyttävät henkilökohtaisia tietoja uskottavuuden luomiseksi. Koska CPR-numeroa on vaikea vaihtaa, jatkuva varovaisuus on tärkeämpää kuin kertaluonteinen korjaus. Jos olet muualla, oppi pätee edelleen: tietosi ovat vain niin turvassa kuin heikoin tili jokaisessa yrityksessä, joka niitä hallussaan pitää.
Organisaatioille, erityisesti IT-palveluntarjoajille, jotka käsittelevät arkaluonteisia tietoja toisten puolesta, viesti on vielä yksinkertaisempi. Valvo vahvoja salasanoja, vaadi monivaiheinen tunnistautuminen järjestelmänvalvojatileillä ja tarkista tunnukset säännöllisesti.
Yhteenveto
Tanskan CPR-tietomurtoa koskeva salasanatarina osoittaa, että yksittäinen triviaali tunnus kolmannen osapuolen palveluntarjoajassa voi vaarantaa kokonaisen maan henkilötiedot. Käytä muutama minuutti tänään omien kirjautumistesi tarkistamiseen: tee jokaisesta salasanasta ainutlaatuinen, käytä salasananhallintaohjelmaa ja ota käyttöön kaksivaiheinen tunnistautuminen. Lisätietoja varten lue artikkelimme hakkerin väitteestä rekisteristä ja sanastomerkintämme brute force -hyökkäyksistä.
