Ako ste ikada otključali telefon ili otvorili postavke preglednika i naišli na poruku poput "ova lozinka se pojavila u curenju podataka," vjerojatno ste osjetili nalet panike. Je li vaš račun upravo hakiran? Je li netko provalio u vašu e-poštu? Dobra vijest je da ovo upozorenje, iako ga treba shvatiti ozbiljno, ne znači ono što većina ljudi pretpostavlja.
Što pokreće upozorenje
Moderni preglednici i upravitelji lozinki, uključujući Chrome, Safari i samostalne aplikacije, tiho provjeravaju vaše spremljene lozinke u odnosu na ogromne baze podataka vjerodajnica izloženih u prošlim probojima. Te se baze podataka sastavljaju iz godina hakiranja, curenja podataka i odlagališta podataka kojima se trgovalo, koja su prodana ili javno objavljena na hakerskim forumima.
Kada se vaša spremljena lozinka podudara s onom pronađenom u tim zapisima, dobivate upozorenje. Ključno je da se ova provjera obično odvija lokalno ili putem metoda koje čuvaju privatnost, tako da usluga nužno ne vidi vašu stvarnu lozinku. Ona uspoređuje kriptografske prikaze te lozinke s poznatim kompromitiranim unosima.
Ključna stvar koju treba razumjeti: upozorenje o curenju lozinke ne znači da je vaš specifični račun hakiran danas. To znači da se točna lozinka koju koristite (ili vrlo slična) pojavila negdje u proboju, u nekom trenutku, za neku uslugu. Taj proboj mogao je biti na potpuno nepovezanoj web stranici za koju ste se prijavili prije godina i zaboravili na nju.
Zašto se to stalno događa
Korijenski uzrok je gotovo uvijek ponovno korištenje lozinki. Ljudi stvore jednu jaku lozinku, osjećaju se dobro zbog toga, a zatim je koriste za desetak različitih računa jer je pamćenje jedinstvenih lozinki za sve iscrpljujuće. Kada bilo koja od tih usluga doživi proboj, ta ista lozinka postaje univerzalni ključ za svaki drugi račun na kojem se koristi.
Zato proboji na naizgled nepovezanim tvrtkama imaju značaja za vas osobno. Kada napadači objave ukradene vjerodajnice, kao što se vidjelo u incidentima poput ShinyHunters proboja koji je izložio Inter-Con Security e-poštu, ti parovi e-pošte i lozinki unose se u automatizirane alate koji ih isprobavaju na bankovnim stranicama, društvenim mrežama i pružateljima e-pošte u tehnici koja se naziva punjenje vjerodajnicama. To ne zahtijeva sofisticirano hakiranje, samo strpljenje i popis ponovno korištenih lozinki.
Čak ni sami upravitelji lozinki nisu imuni na ciljane napade. Nedavni incident s Dashlaneom, gdje su napadači koristili kampanju grube sile za preuzimanje šifriranih trezora, podsjetnik je da nijedan pojedinačni alat nije srebrni metak. Slojevite sigurnosne navike važnije su od oslanjanja na bilo koji pojedinačni proizvod.
Koliko je to ozbiljno, zapravo?
Upozorenje o curenju podataka signal je, a ne presuda. Govori vam da je informacija na koju se oslanjate za sigurnost izgubila svoju ekskluzivnost. Ozbiljnost ovisi o nekoliko čimbenika: koliko računa dijeli tu lozinku, koliko su ti računi osjetljivi (bankarstvo naspram nasumičnog foruma) i imate li dodatne zaštite poput višefaktorske autentifikacije.
Izloženost vjerodajnica ne dolazi uvijek iz dramatičnog hakiranja vaših vlastitih računa. Ponekad vodi do proboja u organizacijama koje s vama nisu imale nikakve veze izravno, slično kao što je Synnovis NHS proboj doveo do pojave ukradenih podataka pacijenata na dark webu mjesecima nakon početnog incidenta, ili kako je novo curenje podataka DfE-a izložilo e-poštu ravnatelja škola na koju pojedinci nisu imali utjecaja. Obrazac je dosljedan: vaši podaci mogu završiti u proboju putem kanala s kojima nikada niste izravno komunicirali.
Što to znači za vas
Ako dobijete upozorenje o curenju lozinke, tretirajte ga kao zadatak koji treba riješiti, a ne kao petoalarmnu hitnost. Odmah promijenite označenu lozinku i provjerite jeste li je ponovno koristili negdje drugdje. Ako jeste, promijenite je i tamo. Ovo je također dobar trenutak da općenito revidirate svoje navike umjesto da samo krpate jedan račun.
Omogućite višefaktorsku autentifikaciju gdje god se nudi. Čak i ako lozinka procuri, MFA dodaje drugu barijeru koju botovi za punjenje vjerodajnica obično ne mogu prijeći. Razmislite o korištenju upravitelja lozinki za generiranje i pohranu jedinstvenih, složenih lozinki za svaki račun, imajući na umu da nijedan alat nije savršen, ali jedinstvene lozinke dramatično smanjuju vašu izloženost u usporedbi s ponovnim korištenjem.
Također je vrijedno zapamtiti da napadačima nije uvijek potrebna procurjela lozinka za stjecanje uporišta. Kao što je istraženo u pokrivanju kako se ransomware širi izvan phishing e-pošte, kompromitirane vjerodajnice često su samo jedna od nekoliko ulaznih točaka koje napadači iskorištavaju jednom kada uđu u mrežu.
Poduzimanje akcije danas
Upozorenje o curenju lozinke u konačnici je dar prerušen u alarm. Daje vam ranu najavu prije nego što ta ponovno korištena lozinka bude iskorištena negdje drugdje. Nemojte ga odbaciti, ali nemojte ni paničariti. Promijenite lozinku, provjerite ponovno korištenje na drugim računima, uključite višefaktorsku autentifikaciju i učinite jedinstvene lozinke navikom u budućnosti. Mali, dosljedni koraci poput ovih čine mnogo više za vašu sigurnost nego reagiranje na bilo koje pojedinačno upozorenje izolirano.
