przejęcie konta

Przejęcie konta to uzyskanie nieuprawnionej kontroli nad profilem użytkownika.

Jak wygląda przejęcie konta od strony technicznej

Napastnik rzadko "łamie hasło" w sensie zgadywania znak po znaku. Dominują cztery drogi. Pierwsza to upychanie danych uwierzytelniających — automatyczne próbowanie par login-hasło z wycieków z innych serwisów, skuteczne wyłącznie dlatego, że ludzie używają tego samego hasła wielokrotnie. Druga to phishing, dziś zwykle w postaci strony podszywającej się pod panel logowania, coraz częściej przechwytującej także kod jednorazowy w czasie rzeczywistym. Trzecia to kradzież ciasteczka sesyjnego przez złośliwe oprogramowanie z rodziny infostealerów działające na komputerze ofiary — wtedy hasło i drugi składnik nie mają znaczenia, bo napastnik wchodzi na gotową, zalogowaną sesję. Czwarta to nadużycie zgody OAuth: użytkownik klika "zezwól" w oknie fałszywej aplikacji i oddaje jej trwały dostęp do skrzynki.

Sygnały, które widać zanim zrobi się naprawdę źle

Poczta atakowana w ten sposób ma charakterystyczne objawy. W skrzynce pojawia się reguła przenosząca wiadomości od banku lub księgowości prosto do kosza — chodzi o to, żeby ofiara nie zobaczyła odpowiedzi na wysłane w jej imieniu pisma. Włączone zostaje przekazywanie kopii na zewnętrzny adres. W folderze Elementy wysłane brakuje śladów, bo napastnik po sobie sprząta. W Gmailu warto zajrzeć na dół skrzynki, w szczegóły ostatniej aktywności konta, gdzie widać adresy IP i typy sesji; w usługach Microsoftu odpowiednikiem jest historia logowań w ustawieniach zabezpieczeń konta. Nietypowa lokalizacja logowania sama w sobie nie przesądza sprawy, ale w połączeniu z nową regułą skrzynki jest niemal pewnym potwierdzeniem.

Kolejność działań przy odzyskiwaniu dostępu

Zmiana hasła jako pierwszy krok bywa błędem, jeśli komputer nadal jest zainfekowany — nowe hasło wycieknie w tej samej minucie. Właściwa kolejność to: odizolować i oczyścić urządzenie, potem zmienić hasło, następnie unieważnić wszystkie aktywne sesje, bo samo hasło nie wyrzuca zalogowanego intruza. Dalej sprawdzić i usunąć reguły skrzynki, przekierowania, dodane adresy odzyskiwania i numery telefonu, wygenerowane hasła aplikacji oraz uprawnienia nadane aplikacjom zewnętrznym i pełnomocnikom skrzynki. Na koniec włączyć uwierzytelnianie dwuskładnikowe, najlepiej kluczem sprzętowym lub aplikacją, nie SMS-em, i ostrzec kontakty, którym mogły pójść wiadomości.

Czyszczenie zainfekowanego komputera i zabezpieczenie firmy

Przy podejrzeniu, że dane wykradziono z urządzenia, samo skanowanie antywirusem to za mało — sprawdzamy zadania harmonogramu, wpisy autostartu, rozszerzenia przeglądarki i zapisane w niej hasła, a przy poważniejszych infekcjach po prostu instalujemy system od nowa po uprzednim zabezpieczeniu danych. Firmom pomagamy uporządkować dostępy: konta imienne zamiast współdzielonych, oddzielne konto administratora, kopie zapasowe odporne na szyfrowanie. Pracujemy całą dobę przez siedem dni w tygodniu, co przy takich sprawach ma znaczenie, bo liczy się każda godzina.