V polovině května otřásla světem kybernetické bezpečnosti zpráva o objevu nešifrované databáze obsahující neuvěřitelných 184 milionů hesel. Tato data, nalezená na jedné webové stránce, zahrnovala přihlašovací údaje k významným službám jako Google, Microsoft, Facebook a Apple, ale také k bankovním a vládním portálům. Ačkoliv byla tato obrovská, 47GB databáze po nahlášení provozovateli webu stažena, její samotná existence signalizuje dvě vážná nebezpečí, která by uživatelé neměli ignorovat.
Prvním a zásadním rizikem je způsob, jakým byla tato data s největší pravděpodobností získána – přímo od uživatelů pomocí tzv. infostealerů. Jedná se o typ malwaru, zákeřného softwaru, který se může do vašeho počítače či telefonu dostat několika způsoby. Ačkoliv se o této metodě útoku zatím nemluví tak často, její potenciál napáchat škody ve vašem každodenním životě je obrovský.
Infostealer funguje tak, že kopíruje data uložená ve vašem zařízení nebo zadaná vámi a následně je odesílá útočníkovi. To zahrnuje i hesla – hackeři se často zaměřují na uložená data z vašeho prohlížeče, jako jsou přihlašovací údaje, cookies (soubory udržující vás přihlášené), detaily krypto peněženek a data z automatického vyplňování formulářů, uvedl server pcworld. Pokud je vaše zařízení kompromitováno, můžete přijít o bankovní údaje, adresy domů i do práce, daňové informace a samozřejmě i heslo k vašemu emailovému účtu. Síla vašeho hesla v takovém případě nehraje roli, pokud je přímo ukradeno.
Malware se na vašich zařízeních neobjeví náhodou – musíte si takové aplikace stáhnout a nainstalovat. Útočníci jsou však velmi lstiví:
-
Můžete si stáhnout rozšíření prohlížeče nebo aplikaci, která plní normální úkol a skutečně funguje, jak má. Na pozadí však zároveň krade vaše data.
-
Můžete kliknout na falešný odkaz na oficiální software.
-
Můžete se rozhodnout stáhnout pirátský software, který kromě požadované aplikace nainstaluje i malware.
Německo se stalo největším světovým věřitelem, předstihlo Japonsko
Jak chránit své účty, i když heslo unikne?
Bohužel nezjistíte, zda jste byli konkrétně zasaženi tímto únikem. Nejbezpečnějším přístupem je předpokládat, že byste mohli být ovlivněni, a přijmout preventivní opatření:
-
Povolte dvoufaktorové ověření (2FA) na svých účtech, zejména na těch nejdůležitějších. Funguje jako druhý kontrolní bod, který musí útočník překonat. Samotné heslo mu stačit nebude.
-
Začněte používat přístupové klíče (passkeys). Na rozdíl od hesel nelze tuto metodu přihlášení ukrást a sdílet. Jsou také jednodušší na používání, bez nutnosti si je pamatovat.
-
Změňte hesla k nejcitlivějším účtům. Tento proces je nejjednodušší, pokud používáte správce hesel, který vám vygeneruje silné, unikátní heslo a uloží ho.
Proč ani 2FA a passkeys nemusí stačit proti infostealerům?
Důvodem je způsob, jakým aktuálně funguje ověřování na webu. Po úspěšném přihlášení váš prohlížeč uloží cookie, která udržuje váš přihlašovací stav. Tyto cookies mohou být zkopírovány infostealerem. V závislosti na tom, jak webová stránka zpracovává ověřování, může útočník následně použít ukradenou cookie k přihlášení do vašeho účtu na svém počítači. Proti tomuto typu útoku nepomůže ani dvoufaktorové ověření, ani přístupové klíče.
Online bezpečnost je v současnosti skutečně náročná, zejména s rozmachem nástrojů umělé inteligence a jejich zneužíváním kyberzločinci. Doufejme, že brzy nalezneme cestu k lepšímu a bezpečnějšímu řešení.
