Kontoovertakelse og datalekkasjer

Modul 1: Hvorfor du er et mål · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du forklare hvordan stjålne innloggingsopplysninger gjenbrukes, og hva som skjer med lekkede data.
Nøkkelbegreper: kontoovertakelse, credential stuffing, infostealer, sesjonskapsel, datalekkasje, personopplysninger, kombiliste

Innlogging i stedet for innbrudd

Den enkleste måten å komme seg inn i et system på, er ikke å lete etter et sikkerhetshull, men bare å logge inn. Den som har e-postadressen og passordet ditt, trenger ikke å hacke noe. For systemet er han rett og slett deg. Dette kalles en kontoovertakelse: noen andre overtar en konto og bruker den som om de var eieren.

For en liten bedrift er postkassen den viktigste kontoen. Den som har postkassen din, kan:

• via «glemt passord» tilbakestille passordene til nesten alle de andre kontoene dine;
• lese e-posten din og sende en falsk faktura akkurat på rett tidspunkt (leksjon 1.2);
• sende e-post til kundene dine på dine vegne, kunder som stoler på deg;
• sette opp en videresendingsregel, slik at han uoppdaget fortsetter å få en kopi av all e-post, selv etter at du har endret passordet ditt (leksjon 2.5).

Men hvordan får en angriper tak i passordet ditt? Det finnes tre hovedveier: du skriver det selv inn på et falskt nettsted (phishing, modul 3), det lekker fra en annen tjeneste og du har brukt det samme passordet der, eller skadelig programvare på datamaskinen din stjeler det. De to siste behandler vi her.

Credential stuffing: én lekkasje, prøvd overalt

Nettsteder blir jevnlig hacket. Ved en slik lekkasje havner ofte brukernes e-postadresser og passord på avveie, noen ganger lesbare, noen ganger i en form som kan regnes tilbake med nok regnekraft. Disse opplysningene samles, slås sammen og omsettes i enorme lister med e-postadresser og passord: kombilister.

Med en slik liste driver en angriper credential stuffing: han prøver automatisk hvert par av e-postadresse og passord på andre tjenester. OWASP, en kjent, åpen organisasjon for nettsikkerhet, beskriver det som automatisert innlogging med stjålne innloggingsopplysninger for å få tilgang til kontoer. Det fungerer av én grunn: folk bruker samme passord flere steder.

Et eksempel. Petra i Bakkerij Example opprettet for flere år siden en konto hos en nettbutikk for bakeutstyr, med info@example.com og passordet hun brukte overalt den gangen. Den nettbutikken blir hacket. Et år senere havner kombinasjonen hennes i en kombiliste. Et program prøver den i løpet av én natt på:

Petra merker ingenting: hun har ikke sett noen phishing-e-post og har ikke klikket på noe. Lærdommen av dette: et unikt passord per tjeneste hindrer at én lekkasje sprer seg (leksjon 2.1 og 2.2), og tofaktorautentisering (2FA) stopper en angriper som likevel har riktig passord (leksjon 2.3). Du kan selv sjekke på https://haveibeenpwned.com om e-postadressen din finnes i en kjent lekkasje.

En vanlig feil er å lage et «system» for å variere passord: Bakkerij2025! for e-posten og Bakkerij2025!boekhouding for regnskapet. Programmer som bruker kombilister, prøver også slike opplagte varianter.

Infostealere: passordet rett fra datamaskinen din

En infostealer er skadelig programvare som samler inn data fra datamaskinen din og sender dem til angriperen. Microsoft beskriver at infostealere blant annet henter lagrede brukernavn og passord, sesjonskapsler, automatisk utfylte skjemaopplysninger og kredittkortopplysninger fra nettlesere. Du får et slikt program for eksempel via en falsk nedlasting («gratis versjon av et dyrt program»), et vedlegg, en falsk annonse eller et nettsted som ber deg kopiere og lime inn en kommando «for å løse et problem».

En infostealer jobber ofte i noen minutter og forsvinner så igjen. Byttet, en såkalt logg med alle data fra nettopp den datamaskinen, blir solgt. Noen ganger brukes den først år senere.

Hvorfor en sesjonskapsel er så farlig

Når du logger inn på et nettsted, med passord og tofaktorautentisering, får nettleseren din en sesjonskapsel: en liten fil som ved hver nye forespørsel viser at du allerede er logget inn. Dermed slipper du å skrive inn koden din på nytt ved hvert klikk.

Den som stjeler denne kapselen, kan legge den inn i sin egen nettleser og er da også logget inn. Han trenger verken passordet ditt eller den andre faktoren, for innloggingen har allerede skjedd. MITRE ATT&CK, en åpen kunnskapsbase over angrepsteknikker, sier det rett ut: sesjonskapsler kan brukes til å omgå enkelte former for flerfaktorautentisering.

Det som hjelper mot infostealere og stjålne kapsler:

• ikke installere programvare fra ukjente kilder, og ikke jobbe med en administratorkonto, slik at installasjon ikke bare skjer av seg selv (leksjon 5.2);
• oppdatere operativsystemet og nettleseren din (leksjon 5.1);
• etter en infeksjon først rengjøre eller installere datamaskinen på nytt, deretter endre passord fra en ren enhet og trekke tilbake alle sesjoner, slik at stjålne kapsler blir ugyldige (leksjon 2.5 og 3.5);
• phishing-resistente innloggingsmetoder som passkeys, som gjør det umulig å stjele innloggingsopplysninger via falske nettsteder (leksjon 2.4).

Hva en datalekkasje er

Hittil har det handlet om dine egne kontoer. Men hvis en angriper er inne i postkassen din, regnskapet ditt eller nettbutikken din, ser han også data om andre: kunder, ansatte, medlemmer. Da er det snakk om en datalekkasje.

GDPR (personvernforordningen) definerer personopplysninger som all informasjon om en identifisert eller identifiserbar person: et navn, en e-postadresse, et telefonnummer, en adresse, men også et kundenummer som kan knyttes til en person. En datalekkasje (i GDPR: et brudd på personopplysningssikkerheten, artikkel 4 punkt 12) er et sikkerhetsbrudd som ved et uhell eller ulovlig fører til tilintetgjøring, tap, endring eller uautorisert utlevering av eller tilgang til personopplysninger.

En datalekkasje trenger ikke å være et hack. Også dette kan være en datalekkasje:

• en e-post med en kundeliste sendt til feil mottaker;
• en stjålet eller mistet laptop uten kryptering;
• en delingslenke til en mappe med CV-er som ligger åpent tilgjengelig på internett;
• en overtatt postkasse med fakturaer som inneholder navn og adresser;
• filer som er kryptert av løsepengevirus, og som du ikke har sikkerhetskopi av (tilintetgjøring og tap).

En datalekkasje medfører plikter: du registrerer hver datalekkasje i et datalekkasjeregister, du melder den innen 72 timer til Datatilsynet med mindre den sannsynligvis ikke medfører noen risiko for de berørte, og ved høy risiko informerer du også personene selv. Hvordan dette fungerer i praksis, lærer du i leksjon 8.2. For nå er det viktig at du ikke bare ser en kontoovertakelse som «vårt problem»: ofte rammer det også menneskene du har opplysninger om.

Hva som skjer med lekkede data

Lekkede data forsvinner ikke. De kopieres, slås sammen og videreselges. Derfor får en lekkasje følger som varer lenge:

• Gjenbruk: passord havner i kombilister for credential stuffing.
• Bedre phishing: med navnet ditt, kundene dine og den siste bestillingen din lager en svindler en overbevisende e-post. En kunde som uken etter en lekkasje hos nettbutikken din får en «betalingspåminnelse» fra deg, betaler raskere.
• Identitetstyveri: med nok opplysninger om en person kan en svindler åpne kontoer eller utgi seg for å være den personen.
• Utpressing: «betal, ellers forteller vi kundene dine at opplysningene deres er lekket hos deg» (leksjon 1.3).

Derfor er det å lagre mindre også et sikkerhetstiltak. Opplysninger du ikke har, kan heller ikke lekke.

Oppsummering

• Ved en kontoovertakelse logger en angriper rett og slett inn; postkassen er den viktigste kontoen, fordi du bruker den til å gjenopprette andre passord.
• Credential stuffing prøver lekkede kombinasjoner av e-postadresse og passord fra kombilister automatisk på andre tjenester; unike passord og 2FA stopper dette.
• Infostealere stjeler passord og sesjonskapsler fra nettleseren; med en stjålet kapsel kan en angriper omgå enkelte former for 2FA, så trekk tilbake alle sesjoner etter en infeksjon.
• En datalekkasje er ethvert sikkerhetsbrudd som rammer personopplysninger, også en feilsendt e-post eller en mistet laptop.
• Lekkede data gjenbrukes til nye angrep; å lagre mindre betyr mindre risiko.

Quiz

Oppgave

Oppgave A1.4: Ett lekkasje, hvilke kontoer er i fare? Du får en oversikt over kontoene til en liten bedrift: hvilket passord (angitt som W1, W2 og så videre, aldri et ekte passord) som hører til hvilken tjeneste, og om tofaktorautentisering er på. Deretter lekker én tjeneste. Angi hvilke kontoer som er i umiddelbar fare, i hvilken rekkefølge du håndterer dem, og om det er snakk om en datalekkasje. Programmet retter og forklarer.

Les mer

Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.

• DirectAdmin-veiledning 3.7: Sikre passord og hva du gjør hvis et passord er lekket
• WebOké-veiledning 3.6: Vise og logge ut aktive økter
• Have I Been Pwned (sjekk selv om e-postadressen din finnes i en kjent lekkasje): https://haveibeenpwned.com
• OWASP, Credential stuffing (engelsk): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (engelsk): https://attack.mitre.org/techniques/T1539/
• GDPR (forordning (EU) 2016/679), offisiell tekst: https://eur-lex.europa.eu/eli/reg/2016/679/oj