Kiekvieną savaitę kažkur pasaulyje nutinka duomenų nutekėjimas – kartais tai maža įmonė, kartais milžiniška platforma su milijonais vartotojų. Ir beveik visada tarp nutekintų duomenų atsiranda el. pašto adresai. Klausimas nebe „ar mano duomenys kada nors nutekėjo”, o „kiek kartų ir kur”. Tikrai verta tai patikrinti, nes daugelis žmonių sužino apie savo duomenų nutekėjimą tik tada, kai kažkas jau bando prisijungti prie jų paskyros arba pradeda ateiti keisti spam laiškai iš niekada nesilankytų svetainių.
Kodėl tai apskritai svarbu
El. paštas šiandien yra ne tik susirašinėjimo priemonė – tai raktas į beveik viską. Per jį atkuriami slaptažodžiai, patvirtinamos naujos paskyros, siunčiami banko pranešimai. Jeigu tavo el. paštas atsidūrė nutekintų duomenų bazėje kartu su slaptažodžiu, kuris naudojamas ir kitur, tai reiškia vieną – kažkas gali bandyti prisijungti prie tavo Facebook, Instagram ar net internetinės bankininkystės paskyros naudodamas tą pačią kombinaciją. Vadinamosios „credential stuffing” atakos veikia būtent taip: užpuolikai paima milijonus nutekintų prisijungimo duomenų ir bando juos automatiškai visur, tikėdamiesi, kad bent dalis žmonių naudoja tą patį slaptažodį keliose vietose.
Blogiausia tai, kad pati nutekinta įmonė ne visada apie tai praneša greitai. Kartais informacija apie pažeidimą paviešinama tik po kelių mėnesių ar net metų, kai duomenys jau seniai keliauja per hakerių forumus.
Have I Been Pwned – pirmas žingsnis
Jeigu reikėtų rinktis vieną įrankį, kurį verta žinoti, tai būtų haveibeenpwned.com. Šią duomenų bazę tvarko saugumo tyrinėtojas Troy Hunt, ir ji renka informaciją iš viešai paviešintų duomenų nutekėjimų – nuo LinkedIn ir Adobe iki mažesnių paslaugų, apie kurias jau seniai pamiršai.
Įvedi savo el. pašto adresą, paspaudi „pwned?” ir sistema parodo, ar tavo adresas figūruoja kuriame nors žinomame nutekėjime. Jei taip – matysi sąrašą, iš kurių svetainių ir kada duomenys nutekėjo, taip pat kokio tipo informacija buvo atskleista (slaptažodžiai, telefonų numeriai, adresai ir pan.).
Svarbu paminėti – ši svetainė netikrina realiu laiku ar kažkas šiuo metu bando prisijungti prie tavo paskyros. Ji tiesiog rodo istorinius duomenis apie žinomus nutekėjimus. Bet net ir tai duoda gerą supratimą, kur reikia keisti slaptažodžius nedelsiant.
Kaip nustatyti automatinius pranešimus
Have I Been Pwned turi funkciją „Notify me” – užsiregistravus su savo el. paštu, gausi pranešimą, jeigu tavo adresas atsiras naujame nutekėjime ateityje. Tai patogu, nes nereikės kas savaitę eiti ir tikrinti rankiniu būdu.
Naršyklės ir slaptažodžių tvarkyklės irgi tikrina
Jei naudoji Google Chrome, tikriausiai jau matei įspėjimą tipo „šis slaptažodis buvo aptiktas duomenų nutekėjime”. Chrome integruotas Password Manager automatiškai lygina tavo išsaugotus prisijungimo duomenis su žinomų nutekėjimų duomenų bazėmis ir praneša, jei kažkas neatitinka saugumo standartų.
Panašiai veikia ir Apple iCloud Keychain – iOS bei macOS sistemose yra „Security Recommendations” skiltis, kuri rodo silpnus arba pakartotinai naudojamus slaptažodžius, taip pat perspėja apie nutekintus duomenis.
Firefox turi savo variantą – Firefox Monitor, kuris iš esmės naudoja tą pačią Have I Been Pwned duomenų bazę, tik integruotą tiesiai į naršyklę.
Jei naudoji atskirą slaptažodžių tvarkyklę, pavyzdžiui, Bitwarden, 1Password ar Dashlane – jose taip pat yra panašios funkcijos, dažnai vadinamos „Watchtower” arba „Security Audit”. Šios funkcijos ne tik parodo nutekintus slaptažodžius, bet ir įvertina jų bendrą stiprumą bei pakartotinį naudojimą skirtingose paskyrose.
Kiti patikimi patikrinimo įrankiai
Have I Been Pwned nėra vienintelė galimybė. Yra keletas alternatyvų, kurios veikia panašiai, bet kartais aprėpia skirtingus duomenų šaltinius:
- Firefox Monitor – patogus, jei jau naudoji Mozilla ekosistemą, siunčia periodiškus pranešimus.
- DeHashed – detalesnis įrankis, kuris leidžia ieškoti ne tik pagal el. paštą, bet ir pagal vartotojo vardą, IP adresą ar telefono numerį. Kai kurios funkcijos mokamos.
- Google Password Checkup – jei naudoji Google paskyrą prisijungimams, ši funkcija integruota į paskyros saugumo nustatymus.
- Norton, F-Secure ID Protection ir panašūs antivirusiniai paketai – dažnai turi įtrauktą duomenų nutekėjimo stebėjimą kaip papildomą funkciją.
Verta pasitikrinti keliuose šaltiniuose, nes nė vienas įrankis neaprėpia visiškai visų nutekėjimų – kai kurie duomenų pardavėjai forumuose niekada nepasiekia viešų duomenų bazių.
Kokie ženklai rodo, kad kažkas jau vyksta
Nebūtina laukti, kol patikrinsi svetainėje – kartais paskyra pati „praneša” apie problemas. Verta atkreipti dėmesį, jeigu:
- staiga pradedi gauti daug spam laiškų ar bandymų atkurti slaptažodį paslaugose, kuriomis niekada nesinaudojai;
- gauni pranešimą apie prisijungimą iš neatpažįstamos vietos ar įrenginio;
- draugai gauna keistus laiškus ar žinutes „iš tavęs”, kurių tu nesiuntei;
- pastebi el. pašto nustatymuose neatpažįstamas persiuntimo taisykles (tai klasikinis būdas, kaip užpuolikai tyliai kopijuoja laiškus be tavo žinios).
Pastarasis punktas ypač svarbus – daug žmonių niekada netikrina savo el. pašto nustatymų ir nepastebi, kad kažkas pridėjo automatinę persiuntimo taisyklę, kuri kopijuoja visus gaunamus laiškus į kitą adresą.
Ką daryti, jei paaiškėjo, kad nutekėjai
Radus save nutekintų duomenų sąraše, panika nepadės, bet delsimas irgi ne variantas. Pirmiausia – pakeisk slaptažodį toje konkrečioje paslaugoje, kur įvyko nutekėjimas. Tada patikrink, ar tas pats slaptažodis nenaudojamas kitur. Jei taip – keisk ir ten, ir nedelsiant.
Antras žingsnis – įjunk dviejų faktorių autentifikaciją (2FA) visur, kur tik įmanoma. Net jei slaptažodis pateko į blogas rankas, 2FA sukuria papildomą barjerą, kurio dažniausiai užtenka sustabdyti automatizuotas atakas.
Trečias – jei nutekėjo ir kita jautri informacija (kredito kortelės numeris, asmens kodas, adresas), verta stebėti banko sąskaitas ir, jei įmanoma, pasidomėti kredito istorijos stebėjimo paslaugomis, ypač jei gyveni šalyje, kur tokia praktika egzistuoja.
Vietoj išvados – nedidelis rutinos pakeitimas, kuris tikrai atsiperka
Realybė tokia, kad anksčiau ar vėliau beveik kiekvienas iš mūsų atsidursime kokioje nors nutekintų duomenų bazėje – tiesiog todėl, kad naudojamės dešimtimis skirtingų paslaugų, ir bent viena iš jų kada nors bus pažeista. Tai ne priežastis panikuoti, bet priežastis pasidaryti mažą, bet naudingą įprotį.
Rekomenduočiau kartą per ketvirtį apsilankyti Have I Been Pwned ir patikrinti visus savo naudojamus el. pašto adresus, jei jų turi kelis. Užsiregistruoti automatiniams pranešimams, kad nereikėtų prisiminti to daryti patiems. Naudoti unikalius slaptažodžius kiekvienai paslaugai – geriausia per slaptažodžių tvarkyklę, kuri pati sugeneruoja ir įsimena sudėtingus derinius. Ir visur, kur tik įmanoma, įjungti 2FA, geriausiai per autentifikavimo programėlę, o ne SMS, kuris pats savaime nėra pats saugiausias variantas.
Duomenų nutekėjimai nebus retenybė – jie tapo skaitmeninio gyvenimo dalimi, panašiai kaip peršalimas žiemą. Bet skirtumas tas, kad su tinkamais įrankiais ir šiek tiek atidumo, galima labai greitai sužinoti, kada tai atsitiko, ir sumažinti žalą iki minimumo, užuot laukus, kol pati problema pasibels į duris rimtesniu pavidalu – pavyzdžiui, kai kažkas jau naudojasi tavo banko sąskaita ar apsimeta tavimi socialiniuose tinkluose.
