Egy webshop, ahol öt éve rendeltél egyszer. Egy fórum, amire elfelejtettél leiratkozni. Egy alkalmazás, ami azóta megszűnt. Bármelyik lehet az oka annak, hogy az e-mail-címed és a hozzá tartozó jelszó ma egy letölthető listán szerepel. Ez az adatszivárgás, és nem attól válik veszélyessé, hogy megtörtént, hanem attól, hogy nem tudsz róla.
A jó hír: két perc alatt ellenőrizhető, és a következő lépések is elvégezhetők egy délután alatt.
Adatszivárgás: így nézd meg, érintett vagy-e
A legismertebb ingyenes ellenőrző a Have I Been Pwned, amely a nyilvánosságra került adatbázisokat gyűjti egy kereshető listába. Beírod az e-mail-címed, és megmutatja, melyik szolgáltatás incidensében szerepelt.
Két dolgot érdemes tudni róla. Egyrészt a jelszavadat soha ne írd be sehova ellenőrzés címén – az e-mail-cím elég. Másrészt van értesítési funkciója: feliratkozhatsz, és szólnak, ha a címed egy későbbi adatszivárgásban felbukkan. Ez utóbbi ér a legtöbbet, mert a legtöbb eset hónapokkal a történtek után válik ismertté.
Mit jelent, ha megjelenik a neved?
Nem azt, hogy feltörték a fiókodat. Azt jelenti, hogy egy szolgáltatónál, ahol regisztráltál, kikerültek adatok. Hogy ebből mekkora a baj, azon múlik, mi volt benne:
- Csak e-mail-cím. Kellemetlen, több levélszemetet jelent, de önmagában nem hozzáférés.
- E-mail és jelszó. Itt kezdődik a valódi kockázat, különösen ha ugyanazt a jelszót máshol is használtad.
- Személyes adatok – cím, telefonszám, születési dátum. Ezek a célzott csalások alapanyagai.
- Bankkártyaadat. Ritkább, de ilyenkor azonnal a bankot kell hívni.
A legtöbb kárt nem maga az adatszivárgás okozza, hanem a jelszó-újrahasználat. A támadók a kiszivárgott párosokat sorra kipróbálják más szolgáltatásoknál – ehhez nem kell tudás, csak egy szkript.
Négy lépés adatszivárgás után
- Cseréld a jelszót ott, ahol az incidens volt – majd mindenhol, ahol ugyanazt használtad.
- Kapcsold be a kétlépcsős azonosítást a fontos fiókoknál. Ez az a lépés, ami akkor is megvéd, ha a jelszavad már kint van – erről szól a jelszókezelésről és kétlépcsős azonosításról írt cikkünk.
- Nézd át az aktív bejelentkezéseket. A nagy szolgáltatóknál látszik, milyen eszközről van élő munkamenet – az ismeretleneket léptesd ki.
- Számíts célzott levelekre. A kiszivárgott adatokkal hitelesebb átverést lehet írni: pontos névvel, régi jelszóval, valós rendelési adattal.
Miért nem elég a jelszócsere?
Mert a jelszó mint védelmi vonal önmagában elavult. Ezért terjed a jelszó nélküli belépés: a passkey esetén nincs olyan titok a szolgáltatónál, amit ki lehetne szivárogtatni.
Amíg ez mindenhol elérhető nem lesz, a gyakorlati minimum: minden fontos fiókhoz külön jelszó, jelszókezelőben tárolva, plusz kétlépcsős azonosítás.
Cégként ez más műfaj
Ha nem téged érint, hanem te vagy az adatkezelő, akkor jogi kötelezettségek is belépnek. A NAIH tájékoztatása szerint az adatvédelmi incidenst indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül be kell jelenteni a hatóságnak, és ha ez később történik, azt meg kell indokolni. Magas kockázat esetén az érintetteket is tájékoztatni kell.
A gyakorlatban ezen a 72 órán az szokott elcsúszni, hogy nincs kijelölve, ki dönt és ki ír. Egy féloldalas belső eljárásrend – ki értesít kit, milyen adatokat gyűjtünk össze, ki beszél az ügyfelekkel – többet ér, mint bármilyen szoftver.
Hogyan csökkentsd a kitettséged a következő adatszivárgásnál?
Nem tudod megakadályozni, hogy egy szolgáltatót feltörjenek. Azt viszont eldöntheted, mennyi adatod van náluk. Használj külön e-mail-címet a regisztrációkhoz, ne adj meg feleslegesen telefonszámot, és töröld a fiókokat, amelyeket nem használsz – erről is szó volt a levélszemét elleni takarításban.
Három gyakori kérdés
Mit tegyek, ha egy levél régi jelszavamat idézi és pénzt követel?
Ez zsarolólevél, ami egy régi adatszivárgásra épül. Ne fizess, ne válaszolj – cseréld le a jelszót, ha valahol még használatban van. Ilyen és hasonló trükkökről az álláshirdetéses csalásokról szóló cikkünkben is írtunk.
Megbízható egy ilyen ellenőrző oldal?
A Have I Been Pwned évek óta működő, a szakmában elfogadott szolgáltatás. Az arany szabály viszont marad: jelszót ilyen oldalon soha ne adj meg.
Törölhetem magam a kiszivárgott adatbázisokból?
Az adat, ami egyszer kikerült, nem hívható vissza. Amit tehetsz: érvénytelenné teszed – új jelszó, kétlépcsős azonosítás, és ahol lehet, a fiók törlése.
A lényeg
Az adatszivárgás nem kivételes esemény, hanem a digitális élet háttérzaja. Nem az a kérdés, érintett vagy-e, hanem az, hogy tudsz-e róla, és lezártad-e utána a nyitva maradt ajtókat.
Két perc az ellenőrzés, tíz perc a fontos fiókok átnézése. Ez a legjobb megtérülésű biztonsági befektetés, amit ma megtehetsz.
A Pixela Internet Kft. 2008 óta foglalkozik webfejlesztéssel, üzemeltetéssel és rendszergazdai szolgáltatásokkal. Ha a céges hozzáféréseket és az incidenskezelést tennéd rendbe, keress minket.