Słabe hasło administratora jest powiązane z poważnym duńskim wyciekiem danych, w wyniku którego ujawniono informacje powiązane z około 8,8 mln krajowych numerów identyfikacyjnych. Według doniesień, co najmniej trzy konta w Pays, firmie IT z wyspy Fionia, używały hasła „123456", w tym konto administratora. Historia hasła w duńskim wycieku danych CPR jest wyraźnym przypomnieniem, że największe zagrożenia dla danych osobowych często wynikają z najprostszych błędów.
Co się stało w Pays
Wyciek dotyczy danych powiązanych z duńskimi numerami CPR, krajowymi numerami identyfikacyjnymi używanymi w całym kraju. Ujawnienie jest powiązane z Pays, firmą IT z siedzibą na Fionii, oraz z kontami, które według doniesień używały „123456" jako hasła. Jedno z tych kont miało uprawnienia administratora, co zazwyczaj oznacza szerszy dostęp niż standardowe konto użytkownika.
Szczegóły pochodzą z doniesień, a hasło jest opisywane jako „według doniesień" używane. Osobne twierdzenie hakera o tym, jak uzyskano dostęp, jest omówione w naszym wcześniejszym artykule, Haker twierdzi, że „123456" otworzyło duński rejestr z 8,8 mln rekordów. Czytelnicy, którzy chcą poznać pełną wymianę zdań na temat tego twierdzenia, powinni zacząć od tego tekstu.
Uwagę zwraca to, gdzie znajdowała się słabość. Dane nie zostały ujawnione, ponieważ osoby fizyczne użyły ponownie hasła na własnych kontach. Było to powiązane z zewnętrznym dostawcą IT, co oznacza, że obywatele nie mieli kontroli nad praktykami bezpieczeństwa chroniącymi ich dane tożsamości ani wglądu w nie.
Dlaczego „123456" wciąż otwiera drzwi
Kuszące jest traktowanie hasła takiego jak „123456" jako jednorazowego wstydliwego przypadku. W praktyce utrzymuje się ono z powodu zachowań organizacji i ludzi. Domyślne dane uwierzytelniające są ustawiane podczas wdrożenia i nigdy nie są zmieniane. Konta współdzielone lub usługowe są tworzone w pośpiechu. Zasady dotyczące haseł nie są egzekwowane albo są egzekwowane tylko wobec zwykłych pracowników, a nie wobec administratorów.
Atakujący o tym wiedzą. Odgadywanie najczęściej używanych haseł to jedna z najtańszych dostępnych technik i jest blisko związana z atakiem brute force, w którym atakujący systematycznie próbuje kombinacji, aż jedna zadziała. Przy haśle tak przewidywalnym jak „123456" atakujący nie potrzebuje nawet dużej mocy obliczeniowej. Krótka lista popularnych haseł może wystarczyć.
Konta administratorów zwiększają stawkę. Przejęte logowanie administratora może umożliwić dostęp do danych, ustawień i innych kont, więc słabe poświadczenie w takim miejscu może mieć nieproporcjonalnie duże konsekwencje. Podstawowe kontrole, które organizacje mogą stosować, obejmują:
- Blokowanie popularnych i wcześniej ujawnionych haseł przy tworzeniu
- Wymaganie uwierzytelniania wieloskładnikowego, zwłaszcza na kontach administratorów
- Ograniczanie liczby prób logowania i alerty o nietypowym dostępie
- Przeglądanie i usuwanie nieużywanych lub współdzielonych kont
Co ujawnienie numeru CPR oznacza dla kradzieży tożsamości
Numer CPR nie jest jak hasło. Nie można go łatwo zresetować, a dla większości osób pozostaje taki sam przez całe życie. To właśnie sprawia, że ujawnienie danych powiązanych z 8,8 mln takich numerów jest tak istotne: identyfikatora nie można po prostu wymienić po wycieku.
Sam w sobie krajowy numer identyfikacyjny nie jest kluczem do twojego konta bankowego. Ryzyko tkwi w połączeniu. Jeśli atakujący zestawi dane identyfikujące z innymi informacjami, może próbować podszycia się, phishingu, który brzmi przekonująco, bo używa prawdziwych szczegółów, lub prób odpowiedzi na pytania dotyczące odzyskiwania konta. Oszuści często opierają się na wiadomości, która sprawia wrażenie, że wie, kim jesteś.
Praktyczną odpowiedzią jest czujność, a nie panika. Podchodź sceptycznie do nieoczekiwanych telefonów, e-maili lub wiadomości tekstowych, które proszą o hasła lub poufne informacje, nawet jeśli nadawca wydaje się znać dane osobowe. Legalne organizacje zazwyczaj nie proszą o przekazywanie poświadczeń w ten sposób.
Jak chronić własne konta
Nie możesz naprawić polityki haseł dostawcy, ale możesz zadbać o to, by twoje własne konta nie stały się kolejnym słabym ogniwem. Zacznij od tych kroków:
- Używaj unikalnego hasła do każdego konta. Jeśli jedna usługa zostanie naruszona, ponowne użycie pozwala atakującym wypróbować to samo logowanie gdzie indziej.
- Wprowadź menedżer haseł. Generuje i przechowuje długie losowe hasła, więc nie musisz ich pamiętać.
- Włącz uwierzytelnianie dwuskładnikowe. Nawet jeśli hasło zostanie odgadnięte lub ujawnione, drugi składnik może zatrzymać logowanie.
- Sprawdź hasła w stylu „123456". Zastąp każde proste, krótkie lub oparte na wzorcu hasło, zaczynając od kont e-mail, bankowych i służbowych.
- Traktuj niezamówione prośby z podejrzliwością. Zweryfikuj, kontaktując się z organizacją przez oficjalny kanał, któremu już ufasz.
Co to oznacza dla ciebie
Jeśli mieszkasz w Danii, główny wniosek jest taki, by uważać na próby phishingu i podszywania się, które wykorzystują dane osobowe, aby wydawać się wiarygodnymi. Ponieważ numer CPR trudno zmienić, stała ostrożność ma większe znaczenie niż jednorazowe działanie. Jeśli jesteś gdzie indziej, lekcja nadal obowiązuje: twoje dane są tak bezpieczne, jak najsłabsze konto w każdej firmie, która je przechowuje.
Dla organizacji, szczególnie dostawców IT, którzy obsługują wrażliwe rekordy dla innych, przekaz jest jeszcze prostszy. Egzekwuj silne hasła, wymagaj uwierzytelniania wieloskładnikowego na kontach administratorów i regularnie audytuj poświadczenia.
Wniosek
Historia hasła w duńskim wycieku danych CPR pokazuje, że pojedyncze błahe poświadczenie u zewnętrznego dostawcy może narazić dane tożsamości całego kraju na ryzyko. Poświęć kilka minut dziś na audyt własnych loginów: uczyń każde hasło unikalnym, używaj menedżera haseł i włącz uwierzytelnianie dwuskładnikowe. Aby poznać więcej kontekstu, przeczytaj nasze omówienie twierdzenia hakera o rejestrze oraz nasz wpis słownikowy o atakach brute force.
