kradzież danych uwierzytelniających

Kradzież danych uwierzytelniających to przejęcie loginu i hasła umożliwiające dostęp do konta ofiary.

Na czym polega kradzież danych uwierzytelniających

Kradzież danych uwierzytelniających polega na uzyskaniu przez nieuprawnioną osobę informacji używanych do logowania, takich jak nazwa użytkownika, adres poczty elektronicznej, hasło, kod jednorazowy, klucz dostępu albo token sesyjny. Przejęcie takich danych może umożliwić dostęp do poczty, serwisów społecznościowych, sklepów internetowych, bankowości elektronicznej, usług chmurowych lub kont używanych w pracy. Atakujący nie zawsze musi znać samo hasło. W niektórych przypadkach wystarczy przejęty token sesyjny zapisany w przeglądarce albo zaakceptowane przez użytkownika żądanie logowania wieloskładnikowego.

Do kradzieży dochodzi między innymi przez phishing, fałszywe strony logowania, złośliwe programy rejestrujące klawisze, rozszerzenia przeglądarki, wycieki baz danych oraz ponowne użycie hasła ujawnionego w innym serwisie. Zagrożeniem są również wiadomości zawierające dokumenty lub odnośniki prowadzące do witryn podszywających się pod dostawcę poczty, operatora płatności albo firmowy system logowania. Strona może wyglądać podobnie do oryginalnej, lecz przesyłać wpisane dane na serwer osoby atakującej.

Najczęstsze drogi przejęcia loginu i hasła

Phishing zwykle wykorzystuje presję czasu, ostrzeżenie o zablokowaniu konta albo informację o rzekomej nieudanej płatności. Użytkownik jest kierowany do formularza, w którym podaje login, hasło i czasem kod z aplikacji uwierzytelniającej. Oszust może następnie użyć tych danych natychmiast, dlatego samo usunięcie wiadomości po zalogowaniu do fałszywej witryny nie rozwiązuje problemu. Należy zmienić hasło na prawdziwej stronie usługi i unieważnić aktywne sesje.

Złośliwe oprogramowanie może przechwytywać znaki wpisywane z klawiatury, odczytywać dane zapisane w menedżerze haseł lub kopiować pliki przeglądarki zawierające informacje o sesjach. Część programów działa jako trojan dołączony do nieoficjalnego instalatora, cracka, załącznika albo fałszywej aktualizacji. Innym scenariuszem jest wyciek danych z serwisu, w którym użytkownik miał konto. Jeżeli to samo hasło było używane w kilku miejscach, atakujący może sprawdzać je automatycznie w kolejnych usługach. Takie próby nazywa się atakami typu credential stuffing.

Bezpieczeństwo pogarsza także logowanie na niezaufanym komputerze, korzystanie z nieaktualnej przeglądarki oraz instalowanie rozszerzeń o szerokich uprawnieniach. Przejęcie konta może zostać zauważone dopiero po zmianie danych kontaktowych, wysłaniu wiadomości przez napastnika, dodaniu nowego urządzenia lub pojawieniu się nieznanych operacji. Warto analizować historię logowań, listę aktywnych sesji, zaufane urządzenia i reguły przekazywania poczty.

Jak rozpoznać incydent i ograniczyć skutki

Za sygnały ostrzegawcze należy uznać powiadomienia o logowaniu z nieznanej lokalizacji, wiadomości o zmianie hasła, których użytkownik nie inicjował, oraz kody uwierzytelniające przychodzące bez próby logowania. Podejrzane są również nowe reguły w skrzynce pocztowej, nieznane aplikacje mające dostęp do konta i aktywność wykonana w czasie, gdy właściciel nie korzystał z usługi. Po stwierdzeniu przejęcia trzeba użyć oficjalnej procedury odzyskiwania konta, zmienić hasło z bezpiecznego urządzenia i wylogować wszystkie pozostałe sesje.

Każde konto powinno mieć odrębne, odpowiednio długie hasło. Pomocne jest korzystanie z menedżera haseł, który generuje losowe wartości i ogranicza konieczność ich zapamiętywania. Warto włączyć uwierzytelnianie wieloskładnikowe, najlepiej z użyciem klucza sprzętowego lub aplikacji, ponieważ dodatkowy składnik utrudnia wykorzystanie samego hasła. Kody zapasowe należy przechowywać poza publicznie dostępnymi plikami i nie przekazywać ich osobom kontaktującym się przez telefon, komunikator lub pocztę.

Jeżeli podejrzewa się infekcję komputera, samo zresetowanie hasła może być niewystarczające. Przed zmianą danych dostępowych należy odłączyć urządzenie od sieci, wykonać diagnostykę systemu, sprawdzić uruchamiane procesy, przeglądarki, rozszerzenia i mechanizmy autostartu oraz przeprowadzić skanowanie aktualnym oprogramowaniem bezpieczeństwa. W przypadku poważnych objawów bezpieczniejsza może być kopia ważnych dokumentów, ponowna instalacja systemu i zmiana haseł z innego, zaufanego urządzenia.

Znaczenie stanu komputera dla ochrony kont

Komputer używany do poczty, zakupów i bankowości powinien otrzymywać aktualizacje systemu, przeglądarki oraz zainstalowanych programów. Aktualizacje usuwają znane błędy, które mogą pozwolić na uruchomienie kodu bez wiedzy użytkownika. Należy także ograniczać pracę na koncie administratora, pobierać programy z wiarygodnych źródeł i sprawdzać adres strony przed wpisaniem danych. Kłódka przy adresie HTTPS potwierdza szyfrowanie połączenia, ale sama nie dowodzi, że witryna jest prawdziwa, dlatego trzeba zweryfikować również domenę.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką objawów mogących wskazywać na infekcję lub nieprawidłowe działanie systemu. Przy przekazywaniu urządzenia do serwisu nie należy podawać haseł do bankowości, poczty ani innych kont. Jeżeli dostęp do konkretnej aplikacji jest potrzebny podczas diagnostyki, bezpieczniej utworzyć tymczasowe konto o ograniczonych uprawnieniach i usunąć je po zakończeniu prac.

Po oczyszczeniu komputera warto ponownie przejrzeć aktywne sesje na najważniejszych kontach, odwołać dostęp nieznanych aplikacji i sprawdzić, czy w przeglądarce nie pozostały obce rozszerzenia. Należy również poinformować administratora usługi lub pracodawcę, jeżeli przejęte konto było wykorzystywane służbowo. Szybka zmiana danych, unieważnienie sesji i usunięcie źródła infekcji ograniczają ryzyko dalszego wykorzystania skradzionych informacji.