Kontoovertagelse og databrud

Modul 1: Hvorfor du er et mål · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du forklare hvordan stjålne login-oplysninger genbruges, og hvad der sker med lækkede data.
Nøglebegreber: kontoovertagelse, credential stuffing, infostealer, sessionscookie, databrud, personoplysninger, combo-liste

Login i stedet for indbrud

Den nemmeste måde at komme ind i et system på er ikke at finde et hul i sikkerheden, men bare at logge ind. Den, der har din e-mailadresse og adgangskode, behøver ikke at hacke noget som helst. For systemet er han simpelthen dig. Det kaldes en kontoovertagelse: en anden overtager en konto og bruger den, som var han ejeren.

For en lille virksomhed er mailboksen den vigtigste konto. Den, der har din mailboks, kan:

• via "glemt adgangskode" nulstille adgangskoderne til næsten alle dine andre konti;
• læse med i din mail og sende en falsk faktura på præcis det rigtige tidspunkt (lektion 1.2);
• sende mail på dine vegne til kunder, som stoler på dig;
• oprette en videresendelsesregel, så han uden at blive opdaget bliver ved med at modtage en kopi af al din mail, også efter du har ændret din adgangskode (lektion 2.5).

Men hvordan får en angriber fat i din adgangskode? Der er tre hovedruter: du taster den selv ind på en falsk hjemmeside (phishing, modul 3), den lækker fra en anden tjeneste, hvor du også har brugt den, eller skadelig software på din computer stjæler den. De sidste to behandler vi her.

Credential stuffing: ét lækage, afprøvet overalt

Hjemmesider bliver jævnligt hacket. Ved sådan et lækage havner brugernes e-mailadresser og adgangskoder ofte på gaden, nogle gange i læsbar form, nogle gange i en form, der kan regnes tilbage med regnekraft. De data bliver samlet, kombineret og handlet i enorme lister med e-mailadresser og adgangskoder: combo-lister.

Med sådan en liste udfører en angriber credential stuffing: han afprøver automatisk hvert par af e-mailadresse og adgangskode på andre tjenester. OWASP, en kendt åben organisation for websikkerhed, beskriver det som automatiseret indtastning af stjålne login-oplysninger for at få adgang til konti. Det virker af én grund: folk bruger den samme adgangskode flere steder.

Et eksempel. Petra fra Bageriet Eksempel oprettede for mange år siden en konto hos en webshop til bagetilbehør, med info@example.com og den adgangskode, hun dengang brugte overalt. Den webshop bliver hacket. Et år senere står hendes kombination på en combo-liste. Et program afprøver den på én nat på:

Petra bemærker ingenting: hun har ikke set en phishingmail og har ikke klikket på noget. Lektionerne heraf: en unik adgangskode per tjeneste forhindrer, at ét lækage spreder sig (lektion 2.1 og 2.2), og totrinsbekræftelse (2FA) stopper en angriber, som rent faktisk har den rigtige adgangskode (lektion 2.3). Du kan selv tjekke på https://haveibeenpwned.com, om din e-mailadresse optræder i et kendt lækage.

En hyppig fejl er et "system" til at variere adgangskoder: Bakkerij2025! til mailen og Bakkerij2025!boekhouding til bogføringen. Programmer, der bruger combo-lister, prøver også sådanne oplagte varianter.

Infostealere: adgangskoden direkte fra din computer

En infostealer er skadelig software, der indsamler data fra din computer og sender dem til angriberen. Microsoft beskriver, at infostealere blandt andet henter gemte brugernavne og adgangskoder, sessionscookies, autoudfyldte formulardata og kreditkortoplysninger fra browsere. Du får sådan et program for eksempel via et falsk download ("gratis version af et dyrt program"), en vedhæftet fil, en falsk annonce eller en side, der beder dig kopiere og indsætte en kommando "for at løse et problem".

En infostealer arbejder ofte i løbet af få minutter og forsvinder derefter igen. Byttet, en såkaldt log med alle data fra netop den computer, bliver solgt. Nogle gange bliver den brugt år senere.

Hvorfor en sessionscookie er så farlig

Når du logger ind på en hjemmeside, med adgangskode og totrinsbekræftelse, får din browser en sessionscookie: en lille fil, der ved hver efterfølgende anmodning viser, at du allerede er logget ind. Derfor behøver du ikke indtaste din kode igen ved hvert klik.

Den, der stjæler den cookie, kan sætte den i sin egen browser og er så også logget ind. Han behøver ikke din adgangskode eller din anden faktor, for login er allerede sket. MITRE ATT&CK, en offentlig videnbase over angrebsteknikker, siger det ligeud: sessionscookies kan bruges til at omgå visse former for flerfaktorautentificering.

Hvad hjælper mod infostealere og stjålne cookies:

• installér ikke software fra ukendte kilder, og arbejd ikke med en administratorkonto, så installation ikke bare lykkes (lektion 5.2);
• opdatér dit styresystem og din browser (lektion 5.1);
• efter en infektion skal du først rense computeren eller geninstallere den, derefter fra en ren enhed skifte adgangskoder og tilbagekalde alle sessioner, så stjålne cookies bliver ugyldige (lektion 2.5 og 3.5);
• phishingresistente login-metoder som passkeys, der gør det umuligt at stjæle login-oplysninger via falske hjemmesider (lektion 2.4).

Hvad et databrud er

Indtil nu har det handlet om dine egne konti. Men hvis en angriber er i din mailboks, din bogføring eller din webshop, ser han også andres data: kunder, medarbejdere, medlemmer. Så er der tale om et databrud.

GDPR definerer personoplysninger som al information om en identificeret eller identificerbar person: et navn, en mailadresse, et telefonnummer, en adresse, men også et kundenummer, der kan knyttes til en person. Et databrud (i GDPR: brud på persondatasikkerheden, artikel 4, nr. 12) er et brud på sikkerheden, der ved et uheld eller ulovligt fører til tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysninger.

Et databrud behøver ikke at være et hack. Også dette kan være et databrud:

• en mail med en kundeliste sendt til den forkerte modtager;
• en stjålet eller mistet bærbar uden kryptering;
• et dellink til en mappe med cv'er, der ligger offentligt tilgængeligt på internettet;
• en overtaget mailboks, hvor der ligger fakturaer med navne og adresser;
• filer, der er krypteret af ransomware, og som du ikke har en backup af (tilintetgørelse og tab).

Et databrud medfører pligter: du registrerer hvert databrud i et databrudsregister, du anmelder det inden for 72 timer til Datatilsynet, medmindre det sandsynligvis ikke udgør en risiko for de berørte, og ved høj risiko informerer du også personerne selv. Hvordan det nøjagtigt fungerer, lærer du i lektion 8.2. For nu er det vigtigt, at du ikke kun ser en kontoovertagelse som "vores problem": ofte rammer det også de mennesker, hvis data du opbevarer.

Hvad der sker med lækkede data

Lækkede data forsvinder ikke. De bliver kopieret, samlet og videresolgt. Derfor har et lækage konsekvenser, der varer ved længe:

• Genbrug: adgangskoder havner i combo-lister til credential stuffing.
• Bedre phishing: med dit navn, dine kunder og din seneste ordre laver en svindler en overbevisende mail. En kunde, der ugen efter et lækage hos din webshop får en "betalingspåmindelse" fra dig, betaler hurtigere.
• Identitetssvindel: med nok data om en person kan en svindler oprette konti eller udgive sig for at være den person.
• Afpresning: "betal, eller vi fortæller dine kunder, at deres data er lækket hos dig" (lektion 1.3).

Derfor er mindre opbevaring også en sikkerhedsforanstaltning. Data, du ikke har, kan heller ikke lække.

Opsummering

• Ved en kontoovertagelse logger en angriber bare ind; mailboksen er den vigtigste konto, fordi du bruger den til at nulstille andre adgangskoder.
• Credential stuffing afprøver lækkede kombinationer af e-mailadresse og adgangskode fra combo-lister automatisk på andre tjenester; unikke adgangskoder og 2FA stopper det.
• Infostealere stjæler adgangskoder og sessionscookies fra browseren; med en stjålet cookie kan en angriber omgå nogle former for 2FA, så tilbagekald alle sessioner efter en infektion.
• Et databrud er ethvert brud på sikkerheden for personoplysninger, også en forkert afsendt mail eller en mistet bærbar.
• Lækkede data genbruges til nye angreb; mindre opbevaring betyder mindre risiko.

Quiz

Opgave

Opgave A1.4: Ét lækage, hvilke konti er i fare? Du får et overblik over kontiene i en lille virksomhed: hvilken adgangskode (angivet som W1, W2 osv., aldrig en rigtig adgangskode) hører til hvilken tjeneste, og om totrinsbekræftelse er slået til. Derefter lækker én tjeneste. Angiv hvilke konti er i umiddelbar fare, i hvilken rækkefølge du håndterer dem, og om der er tale om et databrud. Programmet retter og forklarer.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på tilsvarende vis.

• DirectAdmin vejledning 3.7: Sikre adgangskoder, og hvad du gør ved en lækket adgangskode
• WebOké vejledning 3.6: Se aktive sessioner og log ud
• Have I Been Pwned (tjek selv om din e-mailadresse findes i et kendt lækage): https://haveibeenpwned.com
• OWASP, Credential stuffing (engelsk): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (engelsk): https://attack.mitre.org/techniques/T1539/
• GDPR (forordning (EU) 2016/679), officiel tekst: https://eur-lex.europa.eu/eli/reg/2016/679/oj