Слабкий пароль адміністратора пов'язують із масштабним витоком данних у Данії, який розкрив інформацію, пов'язану з приблизно 8,8 мільйона національних ідентифікаційних номерів. Згідно з повідомленнями, щонайменше три акаунти в Pays, IT-компанії на острові Фюн, використовували пароль "123456", включно з акаунтом адміністратора. Історія з паролем у витоці данних CPR Данії — це відверте нагадування про те, що найбільші ризики для персональних даних часто походять від найпростіших помилок.
Що сталося в Pays
Витік стосується даних, пов'язаних із номерами CPR Данії — національними ідентифікаційними номерами, які використовуються по всій країні. Розкриття пов'язане з Pays, IT-компанією з Фюну, та з акаунтами там, які, за повідомленнями, покладалися на "123456" як пароль. Один із цих акаунтів мав права адміністратора, що зазвичай означає ширший доступ, ніж у стандартного користувацького акаунта.
Деталі тут походять із повідомлень, і пароль описується як такий, що "за повідомленнями" використовувався. Окреме твердження хакера про те, як було отримано доступ, висвітлено в нашій попередній статті, Хакер стверджує, що '123456' відкрив реєстр Данії на 8,8 млн записів. Читачам, які хочуть повністю ознайомитися з цим твердженням, варто почати звідти.
Що впадає в око, то це де саме була слабкість. Дані не були розкриті через те, що окремі особи повторно використовували пароль у власних акаунтах. Це було пов'язано зі стороннім IT-провайдером, а це означає, що громадяни не мали контролю над практиками безпеки, які захищали їхні ідентифікаційні дані, і не мали можливості їх бачити.
Чому "123456" досі відчиняє двері
Спокусливо сприймати пароль на кшталт "123456" як одноразову прикрість. На практиці він зберігається через те, як поводяться організації та люди. Облікові дані за замовчуванням налаштовуються під час розгортання і ніколи не змінюються. Спільні або службові акаунти створюються поспіхом. Правила щодо паролів не застосовуються, або застосовуються лише до звичайних співробітників, а не до адміністраторів.
Атакувальники це знають. Вгадування найпоширеніших паролів — одна з найдешевших доступних технік, і вона тісно пов'язана з атакою грубої сили, коли атакувальник систематично пробує комбінації, доки одна не спрацює. З таким передбачуваним паролем, як "123456", атакувальнику навіть не потрібно багато обчислювальної потужності. Короткого списку поширених паролів може бути достатньо.
Адміністраторські акаунти підвищують ставки. Скомпрометований вхід адміністратора може дозволити доступ до даних, налаштувань та інших акаунтів, тож слабкі облікові дані там можуть мати непропорційно великі наслідки. Базові засоби контролю, які можуть застосовувати організації, включають:
- Блокування поширених і раніше злитих паролів під час створення
- Вимогу багатофакторної автентифікації, особливо для акаунтів адміністраторів
- Обмеження спроб входу та оповіщення про нетиповий доступ
- Перегляд і видалення невикористовуваних або спільних акаунтів
Що означає розкриття номерів CPR для крадіжки особистих даних
Номер CPR — це не те саме, що пароль. Ви не можете легко його скинути, і для більшості людей він залишається незмінним протягом усього життя. Саме це робить розкриття даних, пов'язаних із 8,8 мільйона з них, таким значущим: ідентифікатор не можна просто замінити після витоку.
Сам по собі національний ідентифікаційний номер не є ключем до вашого банківського рахунку. Ризик полягає в поєднанні. Якщо атакувальник поєднує ідентифікаційні дані з іншою інформацією, він може спробувати видати себе за іншу особу, здійснити фішинг, який звучить переконливо, бо використовує справжні деталі, або спробувати відповісти на контрольні запитання для відновлення акаунта. Шахраї часто покладаються на повідомлення, яке, здається, знає, хто ви.
Практична відповідь — пильність, а не паніка. Ставтеся зі скепсисом до несподіваних дзвінків, електронних листів або текстових повідомлень, які просять паролі чи конфіденційну інформацію, навіть якщо відправник, здається, знає особисті деталі. Легітимні організації зазвичай не просять вас передавати облікові дані в такий спосіб.
Як захистити власні акаунти
Ви не можете виправити політику паролів постачальника, але можете подбати про те, щоб ваші власні акаунти не стали наступною слабкою ланкою. Почніть із цих кроків:
- Використовуйте унікальний пароль для кожного акаунта. Якщо один сервіс зламано, повторне використання дозволяє атакувальникам спробувати той самий логін в іншому місці.
- Заведіть менеджер паролів. Він генерує та зберігає довгі випадкові паролі, тож вам не доведеться їх запам'ятовувати.
- Увімкніть двофакторну автентифікацію. Навіть якщо пароль вгадано або злито, другий фактор може зупинити вхід.
- Перевірте на паролі типу "123456". Замініть будь-який простий, короткий або шаблонний пароль, починаючи з електронної пошти, банківських і робочих акаунтів.
- Ставтеся до незапитаних запитів із підозрою. Перевіряйте, звертаючись до організації через офіційний канал, якому ви вже довіряєте.
Що це означає для вас
Якщо ви живете в Данії, головний висновок — бути уважними до спроб фішингу та видавання себе за інших, які використовують особисті деталі, щоб здаватися переконливими. Оскільки номер CPR важко змінити, постійна обережність важливіша за одноразове виправлення. Якщо ви в іншому місці, урок усе одно застосовний: ваші дані настільки безпечні, наскільки слабкий найслабший акаунт у кожній компанії, яка їх зберігає.
Для організацій, особливо IT-провайдерів, які обробляють конфіденційні записи для інших, послання ще простіше. Запроваджуйте надійні паролі, вимагайте багатофакторну автентифікацію для акаунтів адміністраторів і регулярно перевіряйте облікові дані.
Висновок
Історія з паролем у витоці данних CPR Данії показує, що один тривіальний обліковий запис у стороннього постачальника може наразити на ризик ідентифікаційні дані цілої країни. Приділіть кілька хвилин сьогодні, щоб перевірити власні логіни: зробіть кожен пароль унікальним, використовуйте менеджер паролів і увімкніть двофакторну автентифікацію. Для більшого контексту прочитайте наш матеріал про твердження хакера щодо реєстру та нашу глосарну статтю про атаки грубої сили.
