Slaba administratorska lozinka povezana je s velikim danskim kršenjem podataka koje je izložilo informacije povezane s oko 8,8 milijuna nacionalnih identifikacijskih brojeva. Prema izvješćima, najmanje tri računa u Paysu, IT tvrtki na otoku Funenu, koristila su lozinku "123456", uključujući administratorski račun. Priča o lozinci iz danskog CPR kršenja podataka jasno podsjeća da najveći rizici za osobne podatke često proizlaze iz najjednostavnijih pogrešaka.
Što se dogodilo u Paysu
Kršenje uključuje podatke povezane s danskim CPR brojevima, nacionalnim identifikacijskim brojevima koji se koriste u cijeloj zemlji. Izloženost je povezana s Paysom, IT tvrtkom sa sjedištem na Funenu, i računima koji su se navodno oslanjali na "123456" kao lozinku. Jedan od tih računa imao je administratorske privilegije, što obično znači širi pristup od standardnog korisničkog računa.
Detalji ovdje dolaze iz izvješća, a lozinka je opisana kao "navodno" korištena. Odvojena tvrdnja hakera o tome kako je pristup ostvaren obrađena je u našem ranijem članku, Haker tvrdi da je '123456' otvorio danski registar s 8,8 milijuna zapisa. Čitatelji koji žele potpunu razmjenu argumenta o toj tvrdnji trebaju početi tamo.
Ono što se ističe jest gdje se nalazila slabost. Podaci nisu bili izloženi zato što su pojedinci ponovno koristili lozinku na vlastitim računima. Bilo je to povezano s vanjskim IT pružateljem usluga, što znači da građani nisu imali kontrolu nad sigurnosnim praksama koje štite njihove identifikacijske podatke, niti uvid u njih.
Zašto "123456" još uvijek otvara vrata
Primamljivo je tretirati lozinku poput "123456" kao izoliranu sramotu. U praksi se održava zbog načina na koji se organizacije i ljudi ponašaju. Zadane vjerodajnice postavljaju se tijekom uvođenja i nikada se ne mijenjaju. Dijeljeni ili servisni računi stvaraju se u žurbi. Pravila o lozinkama ne provode se, ili se provode samo za obično osoblje, a ne za administratore.
Napadači to znaju. Pogađanje najčešćih lozinki jedna je od najjeftinijih dostupnih tehnika i usko je povezana s napadom grubom silom, gdje napadač sustavno isprobava kombinacije dok jedna ne uspije. S lozinkom tako predvidivom kao što je "123456", napadaču nije potrebna ni velika računalna snaga. Kratak popis uobičajenih lozinki može biti dovoljan.
Administratorski računi povećavaju ulog. Kompromitirana administratorska prijava može omogućiti pristup podacima, postavkama i drugim računima, pa slaba vjerodajnica na tom mjestu može imati nesrazmjerno velike posljedice. Osnovne kontrole koje organizacije mogu primijeniti uključuju:
- Blokiranje uobičajenih i prethodno procurjelih lozinki pri stvaranju
- Zahtijevanje višefaktorske autentifikacije, posebno na administratorskim računima
- Ograničavanje pokušaja prijave i upozoravanje na neuobičajen pristup
- Pregledavanje i uklanjanje nekorištenih ili dijeljenih računa
Što izloženost CPR broja znači za krađu identiteta
CPR broj nije poput lozinke. Ne možete ga lako resetirati i većini ljudi ostaje isti cijeli život. To je ono što izloženost podataka povezanih s 8,8 milijuna njih čini tako značajnom: identifikator se ne može jednostavno zamijeniti nakon curenja.
Sam po sebi, nacionalni identifikacijski broj nije ključ vašeg bankovnog računa. Rizik je u kombinaciji. Ako napadač upari identifikacijske podatke s drugim informacijama, može pokušati lažno se predstaviti, provesti phishing koji zvuči uvjerljivo jer koristi stvarne detalje ili pokušati odgovoriti na pitanja za oporavak računa. Prevaranti se često oslanjaju na poruku koja kao da zna ko ste.
Praktičan odgovor je oprez, a ne panika. Budite skeptični prema neočekivanim pozivima, e-porukama ili tekstualnim porukama koje traže lozinke ili povjerljive informacije, čak i ako se čini da pošiljatelj zna osobne detalje. Legitimne organizacije općenito ne traže da im na taj način predate vjerodajnice.
Kako zaštititi vlastite račune
Ne možete popraviti politiku lozinki nekog dobavljača, ali možete osigurati da vaši vlastiti računi ne postanu sljedeća slaba karika. Počnite s ovim koracima:
- Koristite jedinstvenu lozinku za svaki račun. Ako jedna usluga bude kompromitirana, ponovna upotreba omogućuje napadačima da isprobaju istu prijavu drugdje.
- Usvojite upravitelja lozinkama. Generira i pohranjuje duge nasumične lozinke kako ih ne biste morali pamtiti.
- Uključite dvofaktorsku autentifikaciju. Čak i ako se lozinka pogodi ili procuri, drugi faktor može zaustaviti prijavu.
- Provjerite imate li lozinke poput "123456". Zamijenite svaku jednostavnu, kratku lozinku ili lozinku temeljenu na uzorku, počevši od e-pošte, bankarstva i poslovnih računa.
- Tretirajte neželjene zahtjeve sa sumnjom. Provjerite kontaktiranjem organizacije putem službenog kanala kojemu već vjerujete.
Što to znači za vas
Ako živite u Danskoj, glavna poruka je biti na oprezu prema phishing i pokušajima lažnog predstavljanja koji koriste osobne podatke kako bi izgledali vjerodostojno. Budući da je CPR broj teško promijeniti, trajni oprez važniji je od jednokratnog rješenja. Ako ste negdje drugdje, lekcija se i dalje primjenjuje: vaši su podaci samo onoliko sigurni koliko najslabiji račun u svakoj tvrtki koja ih čuva.
Za organizacije, posebno IT pružatelje usluga koji za druge obrađuju osjetljive zapise, poruka je još jednostavnija. Provodite jake lozinke, zahtijevajte višefaktorsku autentifikaciju na administratorskim računima i redovito revidirajte vjerodajnice.
Zaključak
Priča o lozinci iz danskog CPR kršenja podataka pokazuje da jedna trivijalna vjerodajnica kod vanjskog pružatelja usluga može ugroziti identifikacijske podatke cijele zemlje. Odvojite nekoliko minuta danas da revidirate vlastite prijave: učinite svaku lozinku jedinstvenom, koristite upravitelja lozinkama i omogućite dvofaktorsku autentifikaciju. Za više konteksta, pročitajte naše izvještavanje o hakerovoj tvrdnji o registru i našu glossary stavku o napadima grubom silom.
