Felugrik egy figyelmeztetés a telefonodon: az egyik jelszavad megjelent egy adatszivárgásban. Az első reakció általában az ijedtség, a második pedig az, hogy „biztos ez is átverés”. Pedig a kiszivárgott jelszó értesítés a telefon beépített, valódi védelmi funkciója – és pontosan az a dolga, hogy időben szóljon.
Honnan tudja a telefonod, hogy kiszivárgott jelszót használsz?
A Google jelszóellenőrzője a mentett jelszavaidat három szempont szerint vizsgálja: megjelentek-e az interneten, gyengék-e, illetve használod-e ugyanazt több fióknál. Ha a rendszer azt találja, hogy egy elmentett jelszó felbukkant az interneten, értesítést küld – a Google ajánlása szerint az ilyen jelszavakat a lehető leghamarabb meg kell változtatni.
Fontos részlet, hogy az ellenőrzés akkor is fut, ha az értesítéseket kikapcsolod, és a beállítások módosítása után akár 48 óráig is eltarthat, mire mindenhol érvényre jut. Az Apple oldalán ugyanez a Jelszavak alkalmazásban működik: a rendszer jelzi a gyenge jelszavakat és azokat, amelyek adatszivárgásban szerepeltek.
Ez nem azt jelenti, hogy feltörtek
A leggyakoribb félreértés a figyelmeztetés jelentése körül van.
Érdemes tisztázni, mit üzen a figyelmeztetés. Nem azt, hogy valaki bejutott a fiókodba, és nem is azt, hogy a telefonod fertőzött. Azt jelenti, hogy egy nyilvánosságra került adatbázisban szerepel az adott jelszó. Ha ezt más helyen is használtad, azok a fiókok is veszélyben vannak – ez a legfőbb kockázat.
Mit tegyél, ha kiszivárgott jelszó figyelmeztetést kapsz?
- Ne a felugró üzenetből indulj. Nyisd meg magad a jelszókezelőt vagy a beállításokat – így kizárod, hogy egy hamis értesítésre kattints.
- Kezdd az e-mail-fiókkal. Abból nyílik a legtöbb ajtó: ha az biztonságos, a többi is visszaszerezhető.
- Ne toldozgass. A „Jelszo123” helyett a „Jelszo1234” semmit nem ér; generálj újat.
- Sose használd ugyanazt kétszer. A jelszóújrahasznosítás miatt lesz egyetlen szivárgásból tíz feltört fiók.
- Kapcsold be a kétlépcsős azonosítást mindenhol, ahol lehet – erről a jelszókezelésről és kétlépcsős azonosításról szóló cikkünk szól.
Sorrend, ha több fiókról van szó
Ha egyszerre több kiszivárgott jelszó gyűlt össze a listán, ne próbáld egyszerre mindet lecserélni – a fáradtság miatt fél óra után úgyis abbahagynád. Menj fontossági sorrendben: e-mail, netbank, majd az a néhány szolgáltatás, ahol bankkártyaadat is van elmentve. A hírlevél-regisztrációk és a régi fórumfiókok ráérnek, sőt a legtöbbjüket inkább törölni érdemes.
A hosszú távú megoldás
Az igazi kiút az, ha egyre kevesebb helyen van egyáltalán jelszavad. A jelszó nélküli belépés, vagyis a passkey pontosan ezt oldja meg: nincs olyan titok, ami kiszivároghatna egy szolgáltató adatbázisából. A működéséről a passkey-ről szóló írásunkban olvashatsz részletesen.
Mire használják a csalók a kiszivárgott jelszót?
A kiszivárgott jelszó önmagában is baj, de a nagyobb kockázat az, amit utána kezdenek vele. A megszerzett e-mail-cím és jelszó párosokkal automatizált belépési kísérleteket futtatnak több száz oldalon – ezért veszélyes az ismétlés. Emellett gyakori a zsarolólevél, amelyben a régi jelszavadat idézik bizonyítékként, holott csak egy nyilvános listáról származik.
Ugyanezt az adatot használják célzott adathalászathoz is: minél többet tudnak rólad, annál hihetőbb az üzenet. A mintákat az adathalász SMS-ekről és az álláshirdetéses csalásokról szóló cikkeinkben mutattuk be.
Cégeknél más a tét
Munkahelyi fióknál egyetlen kiszivárgott jelszó az egész szervezetet érintheti, mert a támadó onnan tovább tud lépni a belső rendszerekbe. Érdemes központi jelszókezelőt bevezetni, a közösen használt fiókokat megszüntetni, és a kilépő munkatársak hozzáféréseit azonnal visszavonni. Ez a három lépés önmagában több incidenst előz meg, mint bármilyen drága szoftver.
És ami az adataidból nyilvános
Ha a szivárgás miatt az elérhetőségeid is kikerültek, érdemes megnézni, mi látszik belőlük a keresőben. A Google találatok eltávolításáról szóló írásunk lépésről lépésre végigvezet a kérelmezésen.
Egy jó hír a végére: a kiszivárgott jelszó felfedezése valójában előny. Azt jelenti, hogy tudsz róla, mielőtt bárki kihasználná. Tíz perc rendrakás – e-mail, bank, közösségi média –, és a legfontosabb fiókjaid újra biztonságban vannak.
Ha a céged fiókjait és jelszókezelését szeretnéd rendszerbe tenni, nézd meg szolgáltatásainkat, vagy írj nekünk a kapcsolat oldalon.
Források: Google Súgó – Jelszóellenőrzés és jelszavakkal kapcsolatos figyelmeztetések, Apple – Gyenge vagy kiszivárgott jelszavak módosítása iPhone-on