19 milliárd jelszó kiszivárgott: Mit jelent a RockYou2024 az Ön számára?
A kiberbiztonsági kutatók felfedezték a valaha nyilvánosan indexelt legnagyobb ellopott hitelesítő adatokat tartalmazó gyűjteményt. A RockYou2024 névre keresztelt adattár több mint 19 milliárd feltört jelszót tartalmaz, amelyeket több mint 200 közelmúltbeli adatvédelmi incidensből gyűjtöttek össze. A fájl aktívan terjed a hackerfórumokon, ahol hitelesítő adatok kitömésére irányuló támadásokhoz használják banki platformok, közösségi médiafiókokés vállalati hálózatok ellen.
Ha bárhol rendelkezik online fiókkal, ez a kiszivárgás Önre is vonatkozik.
Mi az a RockYou2024, és honnan származik?
A „RockYou" név komoly súlyt hordoz a biztonsági közösségben. A RockYou játékplatform 2009-es adatvédelmi incidensére utal, amely során 32 millió egyszerű szöveges jelszó vált nyilvánossá – ez a fájl a jelszófeltörő eszközök alapvető referencialistájává vált. A RockYou2024 ennek a koncepciónak egy sokkal ambiciózusabb és veszélyesebb továbbfejlesztése.
A RockYou2024 nem egyetlen incidensből ered, hanem több mint 200 különálló esetből összeállított adatkészlet. Ez azt jelenti, hogy nem egyetlen vállalat hibájáról van szó. Évek alatt felhalmozott, iparágakat, országokat és platformokat átívelő adatvédelmi incidenseket képvisel, amelyeket egyetlen, kereshető gyűjteménybe konszolidáltak, és amelyet a rossz szándékú szereplők mostantól szisztematikusan bevethetnek.
A 19 milliárd szám az egyedi jelszóbejegyzésekre vonatkozik, nem az egyedi fiókokra. Számos rekord többször is megjelenik különböző incidensekből. A kutatók azonban figyelmeztetnek, hogy az ismétlődések figyelembevételével is az adatkészlet puszta mérete és terjedelme rendkívül veszélyessé teszi azt.
Miért a hitelesítő adatok kitömése jelenti a valódi fenyegetést?
A RockYou2024 által jelentett elsődleges kockázat nem az, hogy valaki nyers erővel feltöri a jelszavát. Az a kockázat, hogy esetleg már rendelkeznek is vele.
A hitelesítő adatok kitömésére irányuló támadások így működnek: a támadó egy kiszivárgott adatbázisból vett ismert felhasználónév- és jelszókombinációt vesz, majd tucatnyi vagy több száz más szolgáltatásnál kipróbálja. Ha ugyanazt a jelszót használta egy fórumon évekkel ezelőtt, amelyet ma a bankjánál is alkalmaz, a támadónak nem kell feltörnie a bankját. Csupán meg kell próbálnia a már meglévő hitelesítő adatokat.
A jelszavak újrahasználata továbbra is az egyik legelterjedtebb és legkihasználtabb szokás a személyes biztonság terén. A tanulmányok következetesen azt mutatják, hogy a felhasználók jelentős része több fiókban is ugyanazt a jelszót használja. A RockYou2024 ezt a szokást közvetlen, skálázható sebezhetőséggé alakítja.
Mivel az adatkészlet nyíltan kering a fórumokon, és nem egyetlen fenyegető szereplő tartja titokban, a támadási felület nem korlátozódik a kifinomult hackerekre. A viszonylag alacsony képzettségű szereplők mostantól hitelesítőadat-kitömési kampányokat futtathatnak széles körben elérhető eszközök és ez az adatkészlet mint üzemanyagforrás segítségével.
Mit jelent ez az Ön számára?
Ha hitelesítő adatai szerepelnek az adatkészletet táplálóbb mint 200 incidens bármelyikében, azok potenciálisan mindenki kezében vannak, aki letöltötte a fájlt. De még ha úgy is véli, hogy fiókjait nem érintette közvetlenül az incidens, a RockYou2024 mérete miatt a kockázat nem elméleti jellegű.
Íme, ami most a legfontosabb:
A jelszavak újrahasználata az alapvető sebezhetőség. Egy fiók erős, egyedi jelszava semmit sem ér, ha ugyanazt a jelszót máshol is használta, és azt a másik fiókot feltörték. Minden fióknak saját, egyedi jelszóval kell rendelkeznie.
A VPN nem védi meg a jelszavait. A VPN titkosítja az internetforgalmát és elrejti az IP-címét, ami valóban értékes az adatvédelem szempontjából. Azonban semmit sem tesz a hitelesítő adatok kitömésének megakadályozása érdekében. Ha a támadónak már megvan a felhasználóneve és jelszava, nem kell megakadályoznia a kapcsolatot. Csak meg kell próbálnia bejelentkezni. A rétegzett biztonság azt jelenti, hogy a forgalomvédelmet erős hitelesítő adatokkal kapcsolatos higiéniával kombinálja.
A többtényezős hitelesítés a leghatékonyabb védelmi vonal. Még ha a támadónak megvan is a helyes felhasználóneve és jelszava, egy második hitelesítési tényező – legyen az egy alkalmazásból származó kód, hardverkulcs vagy biometrikus ellenőrzés – azonnal megállítja a bejelentkezési kísérletet. Engedélyezze mindenhol, ahol kínálják, előtérbe helyezve a pénzügyi számlákat, az e-mailt és minden fizetési módhoz kapcsolt fiókot.
Ellenőrizze kitettségét. Az olyan ingyenes szolgáltatások, mint a Have I Been Pwned, lehetővé teszik az e-mail-cím megadását, és megtekintheti, hogy mely ismert incidensek tartalmazták az Ön hitelesítő adatait. Ez egy gyors és érdemes ellenőrzés.
Használjon jelszókezelőt. Minden fiókhoz egyedi, összetett jelszót generálni és megjegyezni nem reális megfelelő eszközök nélkül. A jelszókezelők automatikusan kezelik ezt, erős hitelesítő adatokat hoznak létre, és biztonságosan tárolják azokat, így csak egyetlen mesterjelszót kell megjegyeznie.
A digitális identitás védelme túlmutat bármely egyetlen eszközön
A RockYou2024 emlékeztet minket arra, hogy a digitális biztonság nem egy termék, amelyet egyszer megvásárolunk és elfelejtünk. Egymást átfedő gyakorlatok összessége. A forgalom titkosítása, a hitelesítő adatok gondos kezelése, a többtényezős hitelesítés engedélyezése és az adathalász kísérletekre való éberség mind együttesen működnek. E rétegek bármelyikének eltávolítása olyan rést teremt, amelyet a támadók készen állnak kihasználni.
A kiszivárgás mérete riasztó, de a reagálásnak nem kell pánikszerűnek lennie. Módszeresnek kell lennie. Kezdje a legfontosabb fiókjaival, változtassa meg az újrahasznált jelszavakat, engedélyezze a többtényezős hitelesítést, és használjon ezentúl jelszókezelőt. Ezek a lépések nem tesznek Önt immunissá minden fenyegetéssel szemben, de messze a hitelesítőadat-kitömési támadások által megcélzott célpontok túlnyomó többsége elé helyezik Önt.
