Jak nie dać się zhackować, jak nie stracić danych i pieniędzy? Radzi Piotr Konieczny z Niebezpiecznik.pl
Jolanta Ojczyk, Business Insider Polska: Ostatnio głośno było o wielu atakach — BLIK, Santander, SuperGrosz, e-maile od NFZ. Czy to przypadkowe nagromadzenie incydentów, czy widzi Pan wzrost różnego rodzaju ataków, prób wyłudzeń danych?
Piotr Konieczny, szef zespołu bezpieczeństwa Niebezpiecznik.pl: Z roku na rok liczba ataków rośnie i nie ma się co dziwić, dziś praktycznie wszystko, co nas dotyczy, jest już online. I dane, i pieniądze. Przestępcy o tym wiedzą dlatego, zamiast wyrywać torebki na ulicy, wolą ściągać dane przez internet. Łatwiej i nie trzeba szybko biegać. Przytoczone ataki nie są ze sobą powiązane i każdy z nich jest trochę innego typu, a więc ich wystąpienie w jednym czasie to przypadek.
Zobacz też: W Polsce rośnie liczba cyberataków. Mało czasu na wdrożenie NIS2
Może banalne pytanie, ale co może utracić zwykły Kowalski? Odnoszę wrażenie, że wiele osób nie zdaje sobie z tego sprawy.
Po przejęciu urządzeń, np. poprzez ich infekcję, atakujący są w stanie korzystać z aplikacji bankowych w imieniu ofiary i potwierdzać operacje kodami, które na przejęte urządzenia przychodzą. Ale kiedy rozmawiam z klientami, którym doradzamy po atakach, to okazuje się, że rzadko strata pieniędzy jest dla nich najboleśniejsza. Bardziej boli utrata prywatności, często powiązana także z szantażem oraz kradzież ich tożsamości w celu wykorzystania jej do dalszych ataków. Bo przestępcy po włamaniu mają przecież także dostęp do np. danych osobowych z historycznych e-maili wymienianych przez ofiarę z notariuszem, pracodawcą, urzędami itp. Takie informacje są wykorzystywane do podszywania się pod ofiarą i dalszych ataków lub wymuszania okupu, jeśli pobrane przez atakującego dane były natury “wstydliwej”. To dotyczy raczej ofiar, które są “prosperujące” lub ataków, które są tzw. atakami celowanymi — atakującym chodzi wtedy o zaszkodzenie konkretnej osobie, a nie po prostu łatwy zarobek poprzez okradzenie pierwszej lepszej ofiary.
Pilny ton, presja czasu, link, załącznik
Metody kradzieży danych są różne: phishing — ktoś wyłudza od nas informacje, np. podszywając się pod firmę kurierską lub dostawcę usług (energii), gdzie sami podajemy te informacje; malware — klikamy w link, pod którym jest plik .exe z oprogramowaniem, które instaluje się na telefonie lub komputerze. Co powinno wzbudzić naszą czujność?
Generalnie, jeśli komunikat gra na emocjach (strach, pośpiech, chciwość) i jednocześnie chce od ciebie danych, nakłania do kliknięcia link lub instalacji czegoś, traktuj to, jak potencjalny atak. Kilka prostych sygnałów ostrzegawczych:
1. Pilny ton + presja czasu, czyli “natychmiast kliknij”, “twój dostęp zostanie zablokowany”, “ostatnia szansa na zwrot pieniędzy”
2. Link, który nie prowadzi tam, gdzie obiecuje, prowadzi do dziwnej domeny z literówkami albo kompletnie obcej nazwy.
3. Prośba o pełne dane logowania / autoryzacyjne / osobowe, zwłaszcza w celu potwierdzenia tożsamości
4. Załączniki .exe, dziwne .zip/.rar, prośby o instalacje aplikacji mobilnych spoza oficjalnych sklepów lub aplikacji typu remote-desktop
5. Komunikat przeglądarki / systemu, że “ta strona / aplikacja jest niebezpieczna”. Ludzie czasem klikają w ciemno na “mimo to przejdź”. To jest ten moment, kiedy naprawdę warto się zatrzymać.
Zobacz też: Tak zabezpieczysz się przed oszustami stosującymi metodę “na wnuczka” i deep fake
Jak się bronić? Czy warto korzystać z menedżera haseł, który generuje trudne hasła, dzięki czemu nigdy nie mamy takiego samego hasła do kilku miejsc w internecie — sklepów, usług?
Tak. Z punktu widzenia bezpieczeństwa, używanie menedżera haseł jest jednym z najważniejszych nawyków, jakie zwykły użytkownik może i powinien wprowadzić. Jest istotne, abyśmy mieli różne hasła do różnych kont, ale jest też niemożliwe, żeby je wszystkie spamiętać. I tu z pomocą przyjdzie manager haseł, który nie tylko wygeneruje, ale też bezpiecznie przechowa i uzupełni za nas hasła podczas logowania. A także nie uzupełnij, jeśli jesteśmy na stronie fałszywej, z literówką w domenie. Dzięki managerowi haseł, jeśli dojdzie do wycieku w jakimś serwisie, w którym mamy konto, to będziemy mieć pewność, że przestępcy tym hasłem nie uzyskają dostępu do pozostałych naszych kont. Poza managerem haseł warto też, gdzie się da, skonfigurować 2FA, czyli dwuskładnikowe uwierzytelnienie.
Czy każdy menedżer jest dobry, czy są lepsze, gorsze?
Każdy jest lepszy niż żaden. Dziś na rynku jest wiele rozwiązań, wybierzmy takie, które najlepiej pasuje do naszego systemu operacyjnego i wykorzystywanych aplikacji. Jeśli ktoś nie ma pomysłu, to KeePass XC będzie bardzo dobrym wyborem. Jest darmowy, uznany i ma aplikację na każdy system operacyjny.
Często do wielu miejsc logujemy się przez Google, FB itp. Czy to jest bezpieczne, czy lepiej mieć oddzielne hasła?
Tzw. logowanie SSO (Single Sign-On, czyli pojedyncze logowanie) ma swoje wady i zalety. Jeśli ma się jedno porządnie zabezpieczone konto (zabezpieczone mocnym hasłem i dwuskładnikowym uwierzytelnianiem w oparciu o klucze U2F), to logowanie tym kontem do innych serwisów bywa bezpieczniejsze niż zakładanie tam nowego, słabego konta z powtórzonym hasłem. Ale jest to też tzw. single point of failure, przejęcie konta Google albo FB oznaczać będzie dostęp do dziesiątek portali, sklepów, usług. No i oczywiście trzeba mieć świadomość o wpływie na prywatność. Google i Facebook będą wiedzieć, gdzie się logujemy.
Jakie hasło jest mocne” Lepsze jest “administrator123” czy “kotekwzielonekropki!” i co to jest klucz U2F?
Nie jestem fanem takich porównań. Łamać hasła można na wiele sposobów, a oba hasła, choć różnią się długością, to są “słownikowe” i wpasowane w popularne reguły łamania haseł. Klucz U2F to urządzenie przypominające pendrive. Jego działanie, w uproszczeniu, polega na tym, że — w przeciwieństwie do nas — jest w stanie dokładnie ustalić, co znajduje się w pasku adresowym przeglądarki podczas logowania, a zatem nie “złapie się” na adresy phishingowe, nawet te bardzo do siebie wizualnie podobne, jak mBank.pl i rnBank.pl.
To jakie hasła jak “niesłowne”?
Używamy raczej zwrotu “niesłownikowe” niż “niesłowne”, choć przyznaję, to drugie bardziej mi się podoba. Chodzi o np. takie hasła: “JdD93n_Zh$#nf!@220fn”. Żadnego fragmentu tego ciągu znaków nie znajdziemy w słownikach (ani polskich, ani innych języków). Podczas łamania haseł, atakujący w pierwszej kolejności próbują “podstawiać” hasła właśnie ze słownika, bo większość ludzi dokładnie “kotekwkropki” i podobnych używa. Oczywiście zapamiętywanie haseł niesłownikowych to dla normalnych ludzi mission impossible. Ale właśnie po to są managery haseł. Wygenerują nam takie hasła, dla każdego serwisu inne, a potem za nas je wprowadzą. Nie musimy ich pamiętać. Korzystając z managera haseł, mamy pewność, że jak kiedyś ktoś ukradnie bazę danych z serwisu, w którym mamy konto, to nasze hasło — jeśli w ogóle złamie — to zrobi to na końcu (mamy więc więcej czasu na reakcję i ochronę swojego konta) oraz nie wykorzysta go potem do zalogowania się do innego naszego konta (bo tam mamy inne hasło).
Zdarza się, zwłaszcza za granicą, że korzystamy z dostępnych sieci Wi-Fi — na lotniskach, w hotelach, kawiarniach. Czy to jest bezpieczne?
Tak. Większość usług używa dziś szyfrowanych protokołów, więc samo “podsłuchanie” ruchu w kawiarni zwykle nie wystarczy, by przejąć konta. Warto jednak korzystać z własnego DNS-a i ewentualnie VPN-a, aby ograniczyć ryzyko innych ataków.
Wiele osób korzysta teraz z pomocy sztucznej inteligencji, czy np. gdy poda swój mail, numer telefonu, to ryzykuje?
Korzystając z AI (ChatGPT, inne chatboty) trzeba pamiętać, że zapytania są przetwarzane w chmurze dostawcy, a część usług przechowuje te dane przez jakiś czas. Ujawnienie jakiegokolwiek identyfikatora (mail, telefon, pesel, etc.) może spowodować, że ktoś powiąże historię wprowadzanych danych z konkretną osobą w razie wycieku.
Co z oprogramowaniem antywirusowym? Na komputerze to chyba standard, ale czy w telefonach też? Wiele osób nie korzysta, bo spowalnia działanie, a mówią, że “uważają”.
Na Windows 10/11 wbudowany Microsoft Defender w testach wypada dziś na poziomie wielu płatnych antywirusów i dla przeciętnego użytkownika to sensowne rozwiązanie, pod warunkiem że system i przeglądarka są aktualne. Warto go mieć, bo malware dziś może przeniknąć do systemu w bardzo cwany sposób i nawet osoby uważające, w co klikają, mogą nie zorientować się, że zostały zainfekowane.
Co z telefonami?
Na telefonie antywirusy mają mniejszy sens. iOS to system mocno sandboxowany, “antywirusy” mają ograniczone możliwości (nie mogą skanować innych aplikacji jak na Windows). Android: tu ryzyko jest większe, bo można łatwiej instalować aplikacje spoza sklepu, a bankowe trojany atakują właśnie telefony. Na smartfonach poza AV warto też mieć aktualny system i poprawki bezpieczeństwa oraz zablokowanie instalacji spoza oficjalnego sklepu i niewyłączanie dodatkowych mechanizmów bezpieczeństwa np. Google Play Protect.
Laptop, tablet, telefon to już niejedyne urządzenia, z których korzystamy. Żyjemy w czasach internetu rzeczy. W domach mamy inteligentne lodówki, odkurzacze. Jak zadbać o bezpieczeństwo IoT, czy połączonych ze sobą urządzeń, które mogą wymieniać dane za pośrednictwem internetu.
Bezpieczeństwie domowego IoT, czyli routerów, kamerek, i innych “inteligentnych” urządzeń jest bardzo ważne. Upewnijmy się, że nie mają domyślnych haseł, posiadają aktualne oprogramowanie i gdzie to możliwe, odetnijmy im dostęp do internetu albo przerzućmy do osobnej sieci (np. sieci dla Gości), aby nie miały dostępu do innych, bardziej istotnych urządzeń jak komputery czy smartfony domowników.
Jeśli już zostaniemy ofiarą, to co zrobić? Co warto ustalić, jakie kroki poczynić — pozmieniać hasła, skontaktować się z platformami, zastrzec PESEL (można w mObywatelu), kartę bankomatową (można czasowo)?
W skrócie: działać tak, aby zatrzymać ew. atak lub wyciek, jeśli wciąż trwa, a następnie przeanalizować co zostało wykradzione i odpowiednio zabezpieczyć się na ew. wyciek tych danych. Cały czas warto dokumentować działania, bo to przyda się do złożenia zawiadomienia o popełnionym przestępstwie. Co konkretnie zrobić — to zależy od rodzaju ataku, ciężko udzielić jednej lub zwartej informacji. Organizowany przez nas wykład “jak nie dać się zhackować” ma … trzy godziny i 400 slajdów, z których każdy zawiera opis jakiegoś zagrożenia, i rady, które są skuteczne w przypadku tego konkretnego zagrożenia.
Załóżmy czarny scenariusz — ktoś szyfruje nasz komputer lub telefon i żąda okupu. Negocjować, płacić, nie płacić, zgłosić na policję?
Sugeruję jednak zrobić krok wyprzedzający. Zawczasu wykonać kopię bezpieczeństwa i po takim ataku po prostu odzyskać dane, zamiast finansować przestępcę. Dobrą prewencją będzie też blokada PESEL-u, wtedy wykradzione nam dane nie posłużą do najboleśniejszych wyłudzeń finansowych. A organom ścigania zawsze warto dać znać o takim incydencie — kiedy przestępca odpowiedzialny za atak wpadnie, będziemy mogli mieć nie tylko satysfakcję, ale także szansę na odszkodowanie.
Na początku mówiliśmy o utracie pieniędzy. Ostatnio było głośna o przypadku banku Santander. To chyba jednak inny przypadek niż klasyczna kradzież danych?
Tak. Przypomnę, że w jeden dzień 500 klientów Santandera zostało okradzionych na łączną kwotę ponad 2 mln zł i to w sposób, który budzi wiele pytań. Przestępcy wypłacili pieniądze z rachunków ofiar poprzez transakcje w …bankomatach. Jest to o tyle dziwne, że w przypadkach niektórych klientów, takie transakcje nie miały prawa się udać, bo mieli “zablokowany pasek magnetyczny”. Nawet jeśli skimmerem można sklonować pasek magnetyczny (bo można) i można nagrać PIN wprowadzany przez klienta (za pomocą kamerki lub nakładki na klawiaturę), to sklonowanych w ten sposób kart w bankomatach na terenie Polski nie powinno się udać, wykorzystać do wypłat z bankomatów. Bo bankomaty w Polsce od dawna wymagają trybu CHIP&PIN, czyli mówiąc prosto, pasek magnetyczny nie pozwala na zainicjowanie wypłaty środków w bankomatach w Polsce, polskimi kartami. Stąd rodzi się pytanie, czy złodzieje byli świadomi jakiejś luki w oprogramowaniu bankomatowym? Albo błędu logicznego, który pozwolił im dokonać wypłaty na podstawie samego paska i PIN-u. O tym piszemy więcej na portalu niebezpiecznik.pl.
|
Niebezpiecznik.pl
Piotr Konieczny, ekspert ds. cyberbezpieczeństwa, absolwent Glasgow Caledonian University, szef zespołu bezpieczeństw Niebezpiecznik.pl, firmy zajmującej się włamywaniem na serwery innych firm za ich zgodą, w celu namierzenia błędów bezpieczeństwa w ich infrastrukturze teleinformatycznej, zanim zrobią to prawdziwi włamywacze.
