przejęcie konta (account takeover)

Przejęcie konta (account takeover) zwykle wiąże się z modyfikacją reguł skrzynki i danych odzyskiwania dostępu.

Na czym polega przejęcie konta

Przejęcie konta, określane także angielskim terminem account takeover, oznacza uzyskanie przez nieuprawnioną osobę dostępu do konta użytkownika i wykorzystanie go bez jego zgody. Celem może być poczta elektroniczna, konto w serwisie społecznościowym, sklep internetowy, bankowość internetowa, usługa chmurowa albo konto używane do logowania w innych aplikacjach. Samo zalogowanie się przez osobę trzecią nie zawsze od razu oznacza zmianę hasła. Atakujący może najpierw obserwować korespondencję, kopiować informacje, przejmować aktywne sesje lub zmieniać ustawienia w sposób trudny do zauważenia.

Do przejęcia dochodzi między innymi po wykorzystaniu hasła ujawnionego w wycieku danych, po wpisaniu danych logowania na fałszywej stronie, po instalacji złośliwego programu albo po uzyskaniu dostępu do niezabezpieczonego urządzenia. Ryzyko rośnie, gdy to samo hasło jest używane w wielu usługach. W takiej sytuacji ujawnienie jednego zestawu danych może umożliwić próby logowania do kolejnych kont. Znaczenie ma również przejęcie skrzynki pocztowej, ponieważ poczta często służy do resetowania haseł w innych serwisach.

Reguły skrzynki i dane odzyskiwania jako ślady ataku

Jednym z charakterystycznych śladów account takeover jest modyfikacja reguł skrzynki pocztowej. Reguła może automatycznie przekazywać wiadomości na obcy adres, usuwać powiadomienia dotyczące logowania, przenosić korespondencję do ukrytego folderu albo oznaczać wybrane wiadomości jako przeczytane. Dzięki temu osoba atakująca może utrudnić wykrycie zmiany hasła, kodów bezpieczeństwa lub komunikatów o odzyskiwaniu dostępu. Warto sprawdzić nie tylko folder Odebrane, lecz także reguły, filtry, przekazywanie poczty, foldery, delegowane skrzynki i listę aktywnych sesji.

Drugą grupą ważnych ustawień są dane odzyskiwania dostępu. Mogą obejmować dodatkowy adres e-mail, numer telefonu, aplikację uwierzytelniającą, klucze bezpieczeństwa oraz kody zapasowe. Nieuprawniona zmiana tych elementów może pozwolić na utrzymanie dostępu nawet po zmianie głównego hasła. Nie należy zakładać, że odzyskanie kontroli nad kontem jest zakończone tylko dlatego, że można się ponownie zalogować. Konieczne jest sprawdzenie historii zmian zabezpieczeń, urządzeń zaufanych, aktywnych tokenów sesyjnych oraz aplikacji połączonych z kontem.

Postępowanie po wykryciu nieautoryzowanego dostępu

Po zauważeniu podejrzanej aktywności należy rozpocząć działania od urządzenia, które jest uznawane za zaufane. Jeżeli laptop lub komputer mógł zostać zainfekowany, wpisanie nowego hasła na tym samym urządzeniu może narazić je na ponowne przechwycenie. Hasło powinno być unikalne i nieużywane w innych usługach. Po jego zmianie należy zakończyć wszystkie aktywne sesje, usunąć nieznane urządzenia oraz odłączyć obce aplikacje korzystające z konta.

Następnie trzeba usunąć nieznane reguły pocztowe i wyłączyć nieautoryzowane przekazywanie wiadomości. Dane odzyskiwania dostępu należy zastąpić własnymi, a uwierzytelnianie wieloskładnikowe skonfigurować ponownie, jeżeli istnieje podejrzenie, że wcześniejsze ustawienie zostało zmienione. Kody zapasowe powinny zostać wygenerowane od nowa. W przypadku konta używanego do resetowania innych usług trzeba zmienić także hasła w tych usługach, zaczynając od najważniejszych.

Warto zachować informacje pomocne przy ustaleniu przebiegu zdarzenia: daty i godziny powiadomień, adresy nadawców, komunikaty o logowaniu, listę nieznanych urządzeń oraz zrzuty ekranowe ustawień. Nie należy otwierać podejrzanych załączników ani odpowiadać na wiadomości, które nakłaniają do podania kolejnych kodów. Jeżeli objawy wskazują na złośliwe oprogramowanie, komputer powinien zostać odłączony od sieci do czasu sprawdzenia systemu, przeglądarki, rozszerzeń i programów uruchamianych automatycznie.

Sprawdzenie laptopa lub komputera po przejęciu konta

Diagnostyka urządzenia po podejrzeniu przejęcia konta powinna obejmować kontrolę aktualizacji systemu, przeglądarki internetowej, rozszerzeń, programów startowych, aktywnych procesów oraz zabezpieczeń antywirusowych. Szczególnej uwagi wymagają programy zdalnego dostępu, których użytkownik nie instalował świadomie, a także rozszerzenia przeglądarki odczytujące zawartość stron. Trzeba również sprawdzić, czy w systemie nie utworzono nieznanego konta użytkownika oraz czy ustawienia serwerów proxy, DNS i przeglądarki nie zostały zmienione.

Nie każdy nieudany login jest dowodem przejęcia konta. Pojedyncze powiadomienie może wynikać z błędnie wpisanego hasła, automatycznej synchronizacji aplikacji albo logowania z nowej sieci. O ocenie decyduje zestaw objawów: zmiana danych odzyskiwania, nieznane sesje, reguły przekazywania poczty, wiadomości wysyłane bez wiedzy użytkownika oraz obecność podejrzanych programów na urządzeniu. W razie wątpliwości należy oddzielić działania dotyczące samego konta od diagnostyki komputera, ponieważ zmiana hasła nie usuwa przyczyny znajdującej się w systemie.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC oraz ich podzespołów. W przypadku podejrzenia przejęcia konta istotne jest przekazanie do diagnostyki konkretnych objawów, takich jak samoczynne otwieranie stron, nieznane programy, zmienione ustawienia przeglądarki lub nietypowe komunikaty bezpieczeństwa. Pozwala to ocenić stan urządzenia i oddzielić problem sprzętowy od problemu wynikającego z konta, hasła albo usługi internetowej.