Lækket? Kontrollér og genopret

Modul 2: Adgangskoder og login · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du selv kontrollere om dine oplysninger findes i et lækage, reagere i den rigtige rækkefølge på et lækage og få en overtaget konto tilbage og ryddet op.

Centrale begreber: Have I Been Pwned, k-anonymitet, meldinger om lækager, inddrage sessioner, sessionscookie, gendannelsesoplysninger, videresendelsesregler

Sådan opdager du at noget er lækket

Ofte opdager du det slet ikke. En lækket adgangskode kan ligge i en combo-liste i månedsvis, før nogen prøver den. Vær derfor opmærksom på disse signaler:

• En tjeneste sender en mail om, at der har været et databrud. Kontrollér først om mailen er ægte (modul 3): gå selv ind på siden i stedet for at klikke på linket.
• Du får en login-kode eller godkendelsesmelding, som du ikke selv har anmodet om (lektion 2.3).
• Du ser en besked om "nyt login fra en ukendt enhed".
• Kunder eller kolleger får mærkelige mails "fra dig", eller du mangler en mail, som faktisk blev sendt.
• Din adgangskodeadministrator advarer om, at en adgangskode optræder i et lækage.
• Du kan pludselig ikke logge ind længere, eller dine gendannelsesoplysninger er ændret.

Tjek selv med Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) er en kendt, gratis tjeneste, der indsamler data fra offentligt kendte databrud. Du kan selv søge på din mailadresse. Du ser derefter i hvilke lækager adressen optræder, og hvilken slags data der var involveret: kun mailadresser, eller også adgangskoder, navne, telefonnumre eller adresser. Med funktionen "Notify me" får du en mail, hvis din adresse dukker op i et nyt lækage.

Gør dette selv, på tjenestens egen side. I dette kursus beder vi dig aldrig om at indtaste din mailadresse eller adgangskode noget sted.

Der er også en del, der hedder Pwned Passwords, som adgangskodeadministratorer og websites bruger til at kontrollere, om en adgangskode nogensinde er blevet lækket. Det fungerer med k-anonymitet: din adgangskode omdannes på din egen enhed til en hash (et fingeraftryk), og kun de første 5 tegn af den sendes til tjenesten. Tjenesten sender alle kendte hashes tilbage, der starter med de 5 tegn, og din egen enhed tjekker om din fulde hash er blandt dem. Tjenesten ser altså aldrig din adgangskode og ved ikke engang, hvilken af de hundredvis af returnerede hashes der er din.

To bemærkninger:

• Ikke på listen betyder ikke sikkert. Et lækage, der (endnu) ikke er kendt, står ikke der. Infostealere (lektion 1.4) stjæler også adgangskoder, der aldrig ender i et offentliggjort lækage.
• At stå på listen betyder ikke, at alt er tabt. Se hvilke data der blev lækket, og hvornår. En adgangskode, du ikke har brugt i årevis, er ikke et problem; en adgangskode, du stadig bruger overalt, er det.

Det første du gør efter et lækage

Rækkefølgen betyder noget. Den vigtigste regel: først din mailboks, for med din mailboks kan en angriber via "glemt adgangskode" overtage næsten alle dine andre konti.

Hvorfor du skal inddrage sessioner

Når du logger ind, får din browser en sessionscookie: en slags midlertidig adgangsbillet, så du ikke skal logge ind igen ved hvert klik. Den, der har den cookie, er logget ind. Uden adgangskode og uden anden trin.

Det er præcis det, infostealere stjæler: ikke kun dine adgangskoder, men også dine cookies. Og en angriber, der er logget ind med din adgangskode, har også en session. Hvis du kun ændrer din adgangskode, fortsætter den session med at virke hos nogle tjenester.

Derfor skal du efter et lækage eller et mærkeligt login tjekke oversigten over aktive sessioner eller enheder hos hver vigtig tjeneste, og logge alt ud, som du ikke genkender, eller alt på nær den enhed, du arbejder på lige nu. Hos mange tjenester logger en ny adgangskode dig også ud overalt; tjek det alligevel.

Videresendelsesreglen som bagdør

Et tilfælde, som det ofte går. Bogholderen hos Bakkerij Example klikker på en phishingmail og indtaster sin mailadgangskode. Angriberen logger ind på factuur@example.com og gør tre ting:

1. Han opretter en regel: enhver mail med "faktura", "betaling" eller "IBAN" i emnefeltet videresendes til en ekstern adresse på leverancier-administratie.example og flyttes derefter til papirkurven.
2. Han angiver sit eget telefonnummer som gendannelsesnummer.
3. Han logger ud igen.

Bogholderen opdager, at noget er galt, og skifter sin adgangskode. Løst, tænker hun. Men reglen fortsætter med at virke. Angriberen læser med i ugevis for hver faktura, og en dag får en kunde en "ændret" faktura med et andet IBAN-nummer (lektion 1.2). Via gendannelsesnummeret kan han også hente kontoen tilbage igen.

Kontrollér derfor altid følgende i en mailboks:

• regler og filtre: særligt regler, der videresender eller sletter;
• videresendelse i mailboksens indstillinger og i dit hostingpanel;
• automatiske svar, du ikke selv har oprettet;
• app-adgangskoder og tilknyttede apps: fjern det, du ikke genkender;
• gendannelsesoplysninger og listen over enheder ved totrinsbekræftelse.

Når en konto virkelig er overtaget

Kan du ikke længere komme ind, så brug kun tjenestens officielle gendannelsesprocedure. Du finder den ved selv at gå til siden, ikke via et link fra en mail eller en søgeannonce. Pas på "gendannelseshjælp", som du selv kontakter på sociale medier, eller som kontakter dig: det er ofte svindlere, der vil ramme dig en gang til.

Derefter:

• udfør trin 3 til og med 8 fra tabellen ovenfor;
• opret nye gendannelseskoder og slå en stærkere anden trin til (lektion 2.3 og 2.4);
• anmeld svindlen til politiet, hvis der er sket skade;
• skriv ned, hvad der skete, og hvornår. Hvis det drejede sig om kundeoplysninger, kan det være et databrud (lektion 8.2).

I praksis: sådan ser det ud

I WebOké-miljøet ser du i Mit WebOké under Login-oplysninger kortet Aktive sessioner, med browser, system, IP-adresse og tidspunkt for hver session. Du kan logge én session ud eller logge ud overalt undtagen på den enhed, du bruger lige nu. I Nextcloud finder du under Sikkerhed oversigten Enheder & sessioner, hvor du også kan inddrage en enhed eller slette den på afstand. Videresendelse og filtre til en mailboks finder du i hostingpanelet og i webmailen. Hos andre udbydere fungerer det på lignende vis: søg efter "sessioner", "enheder", "sikkerhed" eller "seneste aktivitet".

Opsummering

• Tjek selv på haveibeenpwned.com om din mailadresse findes i et kendt lækage; Pwned Passwords bruger k-anonymitet (kun de første 5 tegn af hashen sendes af sted).
• Ikke på listen er ikke det samme som sikkert.
• Efter et lækage: først din mailboks, derefter inddrage sessioner samt kontrollere totrinsbekræftelse og gendannelsesoplysninger.
• En adgangskodeændring fjerner ikke videresendelsesregler, app-adgangskoder eller stjålne sessioner.
• En overtaget konto genopretter du kun via tjenestens officielle vej.

Quiz

Opgave

Opgave D2.5: Din egen lækcheck og oprydningsrunde. Tjek selv på haveibeenpwned.com dine erhvervsmailadresser, og slå "Notify me" til. Gennemgå aktive sessioner, videresendelsesregler, app-adgangskoder og gendannelsesoplysninger for din mailboks og dine vigtigste konti, og ryd op i det, du ikke genkender. Afkryds tjeklisten, og besvar refleksionsspørgsmålene. Du indtaster ingen mailadresse eller adgangskode i kurset.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på lignende vis.

• WebOké vejledning 3.6: Se aktive sessioner og log ud
• Nextcloud-vejledning 3.6: Enheder og sessioner se, tilbagekalde eller fjernslette
• DirectAdmin vejledning 3.7: Sikre adgangskoder, og hvad du gør ved en lækket adgangskode
• Du kan ikke logge ind på Nextcloud: adgangskode, kode eller afbremsning
• Overtaget mailboks eller spam fra din adresse: sådan rydder du op
• Have I Been Pwned (søg selv på din mailadresse): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (engelsk, forklaring af k-anonymitet): https://haveibeenpwned.com/Passwords
• Politiet (anmeld svindel og phishing): https://politi.dk/