Gigantyczny wyciek haseł: czy Twoje dane są wśród 16 miliardów ujawnionych rekordów?
Największy w historii zbiór skradzionych danych logowania ujrzał światło dzienne. Wśród poszkodowanych mogą być użytkownicy Google, Apple, Facebooka i wielu innych popularnych usług. Jak to możliwe, skoro hasła powinny być zaszyfrowane?
Nowy alarm z zakresu cyberbezpieczeństwa wstrząsnął internetem: ponad 16 miliardów haseł znaleziono w ogromnej bazie danych dostępnej na forach używanych przez cyberprzestępców. Plik - nazwany "Mother of All Breaches" (MOAB) - nie pochodzi z jednego ataku, lecz stanowi kompilację danych zebranych z wielu wcześniejszych wycieków.
Wśród informacji znajdują się kombinacje adresów e-mail i haseł do tak popularnych serwisów jak Google, Facebook, Apple, Netflix, LinkedIn, Twitter i wielu innych. Najbardziej niepokojące jest to, że duża część tych haseł została ujawniona w postaci niezaszyfrowanej, czyli w tzw. czystym tekście. Jak to w ogóle możliwe?
Przecież hasła powinny być bezpieczne?
Teoretycznie tak. Serwisy internetowe powinny przechowywać hasła użytkowników w postaci zaszyfrowanej lub - jeszcze lepiej - jako zakodowane skróty (hasze). W praktyce jednak często zawodzi wdrożenie tych rozwiązań.
Kradzież przed szyfrowaniem Złośliwe oprogramowanie typu infostealer potrafi przechwytywać hasła bezpośrednio z przeglądarki lub systemu operacyjnego - zanim zostaną one zaszyfrowane i zapisane.
Błędy programistyczne Zdarza się, że nawet duże firmy (jak Facebook czy GitHub) popełniają błędy, przez które hasła zapisywane są w logach serwera w czystym tekście. Wystarczy luka w systemie i cyberprzestępcy mogą przejąć te dane.
Wyciek z niezabezpieczonych stron Wiele wycieków pochodzi z małych sklepów internetowych, forów czy serwisów, które albo przechowują hasła w jawnej formie, albo używają przestarzałych metod kodowania (np. MD5, SHA-1), które można łatwo złamać.
Niedbalstwo samych przestępców Paradoksalnie, cyberprzestępcy sami często przechowują skradzione dane na niezabezpieczonych serwerach. Takie bazy trafiają później do publicznych repozytoriów albo są dostępne do pobrania bez żadnego zabezpieczenia.
Co to oznacza dla zwykłego użytkownika?
Jeśli używasz tych samych haseł w wielu miejscach, jesteś zagrożony. Atak zwany credential stuffing polega na automatycznym testowaniu wykradzionych kombinacji loginów i haseł na różnych serwisach - aż znajdzie się taka, która zadziała.
W praktyce oznacza to, że jeśli używałeś tej samej kombinacji loginu i hasła np. do starego forum w 2016 roku, to ktoś może dziś spróbować zalogować się nimi do Twojego Gmaila, Amazona lub konta bankowego.
Jak się chronić?
Kilka kluczowych zasad:
- Używaj silnych, unikalnych haseł do każdego serwisu.
- Korzystaj z menedżera haseł, np. Bitwarden, 1Password lub KeePass - nie próbuj wszystkiego zapamiętywać.
- Włącz uwierzytelnianie dwuskładnikowe (2FA) tam, gdzie to możliwe.
- Sprawdź, czy Twoje dane nie wyciekły na stronie haveibeenpwned.com.
- Natychmiast zmień hasło, jeśli używasz go w wielu miejscach i pojawiło się w którejś z baz danych.
Globalny problem, który rośnie
Skala tego wycieku nie ma precedensu. Co kiedyś było rozproszone po ciemnych zakamarkach internetu, dziś dostępne jest w jednym miejscu - gotowe do masowego wykorzystania.
Wniosek? Nie wystarczy ufać, że "duże firmy mają wszystko pod kontrolą". Twoje bezpieczeństwo zaczyna się od Ciebie. Bo w internecie słabe hasło to jak zostawienie klucza pod wycieraczką - i opublikowanie tego na Facebooku.
Czy Twoje hasło wyciekło? Nie czekaj, aż przekonasz się o tym w najgorszy możliwy sposób. Zmień je, zabezpiecz się i zadbaj o swoje cyfrowe życie.
