Internete atrasta kol kas didžiausia pasaulyje pagrobtų prisijungimo duomenų kolekcija – viešai prieinamoje 87 gigabaitų duomenų bazėje surinkta 773 milijonų elektroninio pašto adresų ir slaptažodžių, žmonių naudotų jungiantis į vairias paskyras ar paslaugas.

Duomenų paketą atrado IT saugumo specialistas Troy’us Huntas, įkūręs projektą „Have I Been Pawned“ – ir sako, kad ši vogtų duomenų bazė surinkta greičiau iš daugybės individualių įsilaužimų į įvairias sistemas, iš kokio tūkstančio skirtingų šaltinių – nei iš vieno stambaus įsilaužimo. Duomenų bazė pavadinta „Collection #1“.

Sudėjus visus pavogtus prisijungimus, gavosi išties įspūdingas skaičius: „Iš viso turime 1 160 253 228 unikalias elektroninio pašto ir slaptažodžių kombinacijas bei 21 222 975 unikalius slaptažodžius“, – teigia T.Huntas.

Ir nors dalis elektroninio pašto adresų jau buvo pasirodžiusios ankstesniuose rinkiniuose, kuriais savo forumuose dalinosi hakeriai – kaip kad 360 milijonų „MySpace“ paskyrų duomenų, pavogtų 2008 m. arba 164 milijonai „LinkedIn“ paskyrų, perimtų 2016 m. – šiame pavogtų duomenų rinkinyje yra dar 140 milijonų anksčiau nematytų elektroninio pašto adresų.

Saugumo ekspertai sako, kad „Collection #1“ atradimas labai gerai iliustruoja, kad vartotojams labiau verta naudoti slaptažodžių tvarkykles (angl. password manager) – tokias kaip „1Password“, „LastPass“ ar pan. – kurios leidžia patogiai saugoti skirtingus ir unikalius slaptažodžius – o ne visur naudoti vieną ar kelis tuos pačius slaptažodžius.

„Būti nė karto nepatyrus elektroninio pašto adreso ar kitų asmeninių duomenų pagrobimo šiais laikais jau tampa prabanga, – sako ESET kibersaugumo ekspertas Jake’as Moore’as. – Jei esate vienas iš tų žmonių kurie galvoja, kad jau jums tai tikrai nenutiks – greičiausiai tai reiškia, kad tai jums jau nutiko. O slaptažodžių tvarkyklės šiais laikais jau daug kur naudojamos, ir jas jau daug paprasčiau integruoti į kitas platformas, nei anksčiau“.

Be to, pabrėžia ekspertas, tokios tvarkyklės leidžia sukurti po visiškai atsitiktinį slaptažodį visoms skirtingoms svetainėms ir programoms. „O jei abejojate slaptažodžių tvarkyklių saugumu – jas naudoti nepalyginamai saugiau, nei visur naudoti tuos pačius kelis slaptažodžius“, – teigia J.Moore’as.

Tuo tarpu T.Huntas įspėja, kad dažniausiai tokie pavogtų duomenų rinkiniai naudojami vadinamosioms „duomenų prikimšimo“ (angl. credential stuffing) atakoms: „Žmonės ima tokius sąrašus, kuriuose yra mūsų elektroninio pašto adresai bei slaptažodžiai, ir bando pritaikyti, kur dar jie tinka“, – sakė jis.

Pasak saugumo eksperto, šios taktikos sėkmė priklauso nuo to, kiek dažnai žmonės pakartotinai naudoja tuos pačius prisijungimus daugeliui paslaugų. „Galbūt jūsų asmeniniai duomenys yra šiame sąraše, nes jūs kadaise prisiregistravote kokiame nors interneto forume, kurį jau seniai pamiršote – bet vėliau į jį buvo įsilaužta, tad jei tą slaptažodį naudojate ir kitur – jūs turite rimtų problemų“, – teigia T.Huntas.

Ko moko visa šita istorija? Kad jei nenorite pradėti naudotis slaptažodžių tvarkyklėmis, verta bent pasikeisti savo pagrindinius slaptažodžius. Dabar pat. O svarbiausia – parinkite juos skirtingus. Nes slaptažodžiai šiais laikai ne ką mažiau svarbūs nei buto ar namo raktai – o juk kam nors iš šeimos pametus raktus, dažniausiai keičiamos visos spynos. Tuo tarpu šita „Collection #1“ – ne kas kita, kaip lentyna su 770 milijonų pavogtų ar surastų raktų, išstatyta viešam naudojimui.

Iki šiol žinomi įsilaužimai ir prisijungimo duomenų vagystės iš tokių svetainių ir paslaugų, kaip „Adobe“, „Dailymotion“, „Dropbox“, „Yahoo“, „Last.fm“, „LinkedIn“, „MySpace“, „Tumblr“ ir kt. Jei buvote kada susikūrę paskyras šiose svetainėse ar paslaugose – jūs jau esate rizikos grupėje.

Parengta pagal „The Guardian“, „Wired“, „Motherboard“ ir „Der Spiegel“.

Pasidalinkite su draugais

Aut. teisės: Lrytas.lt

Komentarai (9)