Két különálló biztonsági incidenst erősítettek meg ezen a héten, az egyiket Japánban, a másikat Tajvanon. A Comic CMoa adatszivárgása Japán egyik legnagyobb e-könyves boltját érinti, e-mail címek és jelszó-hashek elvesztéséről számoltak be. Ettől függetlenül az ACCESS megerősítette, hogy 1 305 kártyaszámlát loptak el a CROS-tól. A két eset nem kapcsolódik egymáshoz, de együtt két gyakori kitettségi típust mutatnak be: a bejelentkezési hitelesítő adatokat és a fizetési kártyaadatokat.

A jelenleg elérhető részletek korlátozottak, ezért ez a bejegyzés ahhoz tartja magát, amiről beszámoltak, és elmagyarázza, mit jelent ez a gyakorlatban.

Mi szivárgott ki a Comic CMoa és az ACCESS incidensekben

A beszámolók szerint a Comic CMoa adatszivárgása egy népszerű japán e-könyves boltot érint, és az elveszett adatok között felhasználói e-mail címek és jelszó-hashek szerepelnek. A jelszó-hash a jelszó összekevert változata, nem maga a jelszó. A vállalatok azért tárolnak hasheket, hogy ne kelljen egyszerű szövegű jelszavakat tartaniuk a szervereiken.

A második incidens különálló. Az ACCESS megerősítette, hogy 1 305 kártyaszámlát loptak el a CROS-tól. A forrás 1 305 kártyaszámlaként írja le a mértéket, és az általunk áttekintett anyagban nem ad további részleteket. Nem fogunk találgatni, hogy mely mezőket vették el, hogyan jutottak be a támadók, vagy ki állt bármelyik incidens mögött.

Érdemes hangsúlyozni, hogy ez két különböző vállalat, két különböző rendszer és két különböző adattípus. Az olvasóknak nem szabad azt feltételezniük, hogy az egyik incidens kapcsolódik a másikhoz.

Miért jelentenek a hash-elt jelszavak mégis kockázatot a felhasználók számára

Ha azt halljuk, hogy csak hash-eket vettek el, az megnyugtatónak hangozhat, de senkinek sem szabadna emiatt megnyugodnia. A hash-ek védelmi réteget jelentenek, nem garanciát. Az, hogy egy hash-elt jelszó mennyire biztonságos, attól függ, mennyire erős volt az eredeti jelszó, és hogyan hash-elte a szolgáltatás.

Ha egy támadó megszerez egy hash-készletet, megpróbálhat visszafejteni úgy, hogy gyakori jelszavakat tippel, minden tippet hash-el, és összehasonlítja az eredményeket. A rövid, kiszámítható vagy gyakran használt jelszavak általában először esnek el. Az erős, egyedi jelszómondatok sokkal nehezebben fejthetők vissza.

Az e-mail címek is számítanak. Még jelszó nélkül is egy adott szolgáltatáshoz kötődő e-mail-lista felhasználható célzott adathalászatra, például olyan hamis üzenetekre, amelyek azt állítják, hogy az e-könyves bolttól származnak, és arra kérik, jelentkezzen be újra.

A legnagyobb gyakorlati veszély a jelszó-újrafelhasználás. Ha a Comic CMoa jelszavát más oldalon is használta, bárki, aki feltöri azt a hash-t, megpróbálhatja ugyanazt az e-mail és jelszó kombinációt máshol is. Ezt hitelesítő adatok újrafelhasználásának (credential stuffing) nevezik, és csak akkor működik, ha az emberek újrahasználják a jelszavakat.

Mit jelent a CROS kártyalopása az érintett ügyfelek számára

A kártyaadatok más problémát jelentenek. Mivel 1 305 kártyaszámlát jelentettek ellopottként a CROS-tól, az érintett ügyfelek fő aggodalma a jogosulatlan terhelések és a csalási kísérletek. A kártyakibocsátóknak általában vannak eljárásaik a kompromittált kártyák cseréjére és a csalárd tranzakciók vitatására, de csak akkor tudnak cselekedni, ha Ön észlel egy problémát, vagy értesítik róla.

Ha az ACCESS vagy a kártyakibocsátója kapcsolatba lép Önnel ezzel az incidenssel kapcsolatban, vegye komolyan az értesítést, de először ellenőrizze azt. Az adatszivárgásokat gyakran követik az érintett vállalatot utánzó csaló üzenetek. A kártyáján nyomtatott vagy a vállalat hivatalos webhelyéről közvetlenül származó elérhetőségeket használjon, ne egy váratlan e-mailben vagy szöveges üzenetben lévő linkeket.

A kis összegű tesztterhelések a kártya visszaélés gyakori jelei, ezért még a nem felismert apró tranzakciók is megérnek egy hívást a kibocsátójának.

Lépések a fiókok védelmére egy adatszivárgás után

Nem kell pánikba esni, de néhány gyors művelet sokat segít:

  • Változtassa meg az újrahasznált jelszavakat. Ha a Comic CMoa jelszavát bárhol máshol is használta, cserélje le minden más fiókon. Mindegyiket tegye egyedivé.
  • Kapcsolja be a kétfaktoros hitelesítést (2FA). Még ha valaki meg is szerzi a jelszavát, egy második tényező sokkal nehezebbé teszi a bejutást. Az alkalmazásalapú kódok vagy hardveres kulcsok általában erősebbek az SMS-nél.
  • Használjon jelszókezelőt. Hosszú, véletlenszerű jelszavakat tud generálni és megjegyezni Önnek, ami megszünteti az újrafelhasználás kísértését.
  • Figyelje a kártyakivonatokat. Rendszeresen ellenőrizze számláit, állítson be tranzakciós értesítéseket, ha a bankja kínál ilyet, és azonnal jelentse bármi szokatlant.
  • Legyen óvatos a nyomkövető üzenetekkel. Ne kattintson linkekre váratlan e-mailekben egyik incidenssel kapcsolatban sem.

Ugyanezek a szokások érvényesek bármely adatszivárgás után, beleértve azokat a támadásokat is, amelyekben a bűnözők közvetlenül akarnak kárt okozni egy áldozatnak, mint az az Akira zsarolóvírus-afiIliát esetében, amelynek támadása visszafelé sült el. A támadók hibáznak, de nem szabad erre számítania az adatai védelmében.

Mit jelent ez Önnek

Ha van Comic CMoa-fiókja, feltételezze, hogy e-mail címe harmadik felek kezébe kerülhetett, és hogy a jelszó-hash-e végül feltörhető, különösen, ha a jelszó gyenge volt. Változtassa meg, és változtassa meg mindenhol, ahol használta. Ha Ön CROS-hoz vagy ACCESS kártyaszámlához kapcsolódik, szorosan figyelje a kivonatait, és hivatalos csatornákon keresztül erősítse meg a kommunikációt.

Ha egyik csoportba sem tartozik, ezek az incidensek akkor is hasznos emlékeztetők. Az adatszivárgások okozta károk nagy része később jelentkezik, amikor az ellopott adatokat olyan emberek ellen használják fel újra, akik nem változtattak a szokásaikon.

Kulcsfontosságú tanulságok

A Comic CMoa adatszivárgása és az ACCESS CROS kártyalopása különálló események, de a tanács ugyanaz: cselekedjen korán. Cserélje le az újrahasznált jelszavakat egyediekre, engedélyezze a 2FA-t, tárolja a hitelesítő adatokat jelszókezelőben, és rendszeresen tekintse át kártyaforgalmát. Tíz perc takarítás most sokkal könnyebb, mint később a fiókok átvételével vagy csalárd terhelésekkel foglalkozni.