Čo robiť, ak možno unikli vaše prihlasovacie údaje

Úniky hesiel a prihlasovacích údajov patria medzi najčastejšie kybernetické incidenty, s ktorými sa dnes môžu stretnúť bežní používatelia aj firmy. Nemusí ísť pritom len o hackerský útok na veľkú internetovú službu. Prihlasovacie údaje sa často dostanú do obehu aj cez

• phishing,
• škodlivý softvér (malware),
• zle zabezpečené databázy
• alebo opakované používanie rovnakého hesla na viacerých stránkach.

Pre používateľa to môže vyzerať nevinne: jeden starý účet, jedna zabudnutá registrácia, jedno heslo použité pred rokmi. Pre útočníka však môže byť aj takýto údaj vstupnou bránou k

• e-mailu,
• sociálnym sieťam,
• firemným systémom,
• internet bankingu
• alebo ďalším službám.

Dobrá správa je, že riziko sa dá výrazne znížiť. Stačí rozumieť tomu, ako úniky prihlasovacích údajov fungujú, čo sa môže stať po úniku hesla a aké kroky treba urobiť hneď.

Čo znamená únik hesiel?

Únik hesiel znamená, že sa prihlasovacie údaje používateľov dostali mimo systému, v ktorom mali byť bezpečne uložené. Môže ísť o samotné heslá, e-mailové adresy, používateľské mená, telefónne čísla, IP adresy, cookies, session tokeny alebo ďalšie osobné údaje.

Nie každý únik je rovnaký. Niekedy uniknú heslá v čitateľnej podobe, čo je najhorší scenár. Inokedy sú heslá uložené ako tzv. hash, teda technicky spracovaná hodnota, ktorá by mala sťažiť ich zneužitie. Ak je však hashovanie zastarané alebo slabé, útočníci môžu časť hesiel spätne prelomiť.

V praxi je dôležité najmä jedno: ak sa vaše heslo objavilo v uniknutej databáze a používate ho aj inde, ohrozený nemusí byť len jeden účet

Ako sa prihlasovacie údaje dostanú k útočníkom?

K únikom prihlasovacích údajov dochádza viacerými spôsobmi. Niektoré sú technické, iné využívajú nepozornosť alebo dôverčivosť používateľov.

Najčastejšie príčiny sú:

• zle zabezpečené servery alebo databázy,
• neaktualizovaný softvér s bezpečnostnými zraniteľnosťami,
• phishingové e-maily a falošné prihlasovacie stránky,
• škodlivý softvér (malware) v počítači alebo mobile,
• slabé alebo opakovane používané heslá,
• nedostatočne chránené firemné účty,
• chýbajúce dvojfaktorové overenie.

Veľkým problémom sú aj tzv. infostealery, t.j. škodlivé programy, ktoré po infikovaní zariadenia zbierajú uložené heslá, cookies, údaje z prehliadača alebo prihlasovacie relácie. Používateľ si pritom nemusí všimnúť nič podozrivé.

Prečo je opakované používanie hesiel také nebezpečné?

Mnohí ľudia používajú rovnaké alebo veľmi podobné heslo na viacerých stránkach, či aplikáciách. Je to pohodlné, ale nebezpečné.

Ak napríklad unikne heslo zo starého e-shopu, útočník ho môže automatizovane skúsiť použiť aj v e-maile, na sociálnych sieťach, v cloudových službách alebo  pracovných nástrojoch. Tento typ útoku sa nazýva credential stuffing, útočníci skúšajú známe kombinácie e-mailov a hesiel na ďalších službách.

Preto sa aj únik zo služby, ktorú už roky nepoužívate, môže stať problémom. Nie preto, že by bol dôležitý samotný starý účet, ale preto, že rovnaké heslo môže odomknúť oveľa citlivejšie služby.

Čo vám hrozí, ak uniknú vaše prihlasovacie údaje?

Uniknuté heslá môžu byť zneužité rôznymi spôsobmi. Najčastejšie riziká sú:

• neoprávnené prihlásenie do účtu,
• zmena hesla a strata prístupu k službe,
• zneužitie e-mailu na resetovanie ďalších účtov,
• krádež identity,
• finančné podvody,
• objednávky alebo platby vo vašom mene,
• vydieranie alebo podvodné správy vašim kontaktom,
• cielený phishing,
• prienik do firemných systémov.

Najcitlivejším účtom je často e-mail. Ak sa útočník dostane do vašej e-mailovej schránky, môže cez ňu obnovovať heslá do ďalších služieb. Preto by mal mať e-mail vždy silné, unikátne heslo a zapnuté viacfaktorové overenie.

Ako zistíte, či vaše údaje unikli?

Na kontrolu môžete použiť verejne dostupné služby, ktoré sledujú známe úniky dát. Najznámejšou je Have I Been Pwned, kde si môžete overiť, či sa vaša e-mailová adresa objavila v známych únikoch. Služba zároveň prevádzkuje databázu kompromitovaných hesiel, ktorú môžu systémy používať na blokovanie hesiel známych z predchádzajúcich únikov.

Pri kontrole hesiel buďte opatrní. Nikdy nezadávajte svoje aktuálne heslo na neznáme stránky. Ak si nie ste istí dôveryhodnosťou služby, radšej heslo rovno zmeňte.

Čo robiť, ak zistíte, že vaše heslo uniklo?

Ak máte podozrenie, že vaše prihlasovacie údaje unikli, postupujte rýchlo, ale systematicky.

1. Okamžite zmeňte heslo v dotknutej službe

Ak viete, ktorého účtu sa únik hesla týka, zmeňte heslo priamo v danej službe. Nepoužívajte starú variáciu rovnakého hesla. Vytvorte nové, dlhé a unikátne heslo.

2. Zmeňte heslo všade, kde ste používali rovnakú kombináciu

Ak ste rovnaké heslo používali aj inde, zmeňte ho na všetkých týchto účtoch. Práve opakovanie hesiel je dôvod, prečo sa jeden únik môže rozšíriť na viacero služieb.

3. Zapnite dvojfaktorové alebo viacfaktorové overenie

Dvojfaktorové overenie pridáva ďalšiu vrstvu ochrany. Aj keď útočník pozná heslo, bez druhého faktora sa do účtu nemusí dostať. Pri citlivých účtoch je vhodné používať viacfaktorové overenie, bezpečnostné kľúče alebo passkeys.

4. Skontrolujte aktivitu účtu

Pozrite si históriu prihlásení, pripojené zariadenia, nastavené presmerovania e-mailov, záložné e-mailové adresy a telefónne čísla. Útočníci si niekedy po prieniku nastavia zadné vrátka, aby sa do účtu vedeli vrátiť.

5. Odhláste všetky aktívne relácie

Mnohé služby umožňujú odhlásiť účet zo všetkých zariadení. Urobte to najmä pri e-maile, sociálnych sieťach, cloudových úložiskách a pracovných nástrojoch.

6. Dajte si pozor na následný phishing

Po úniku dát môžu nasledovať podvodné e-maily alebo SMS správy, ktoré pôsobia veľmi presvedčivo. Útočník môže poznať vaše meno, e-mail, telefón alebo službu, ktorú používate. Neklikajte na odkazy v podozrivých správach a prihlasujte sa vždy cez oficiálnu stránku alebo aplikáciu.

Ako si vytvoriť bezpečné heslo?

Silné heslo nemusí byť nezapamätateľná zmes náhodných znakov. Dôležitejšia ako zložitosť je dĺžka, jedinečnosť a nepoužívanie známych alebo uniknutých hesiel.

Dobré heslo by malo byť:

• dlhé,
• unikátne pre každý účet,
• ťažko uhádnuteľné,
• nepoužité v minulosti,
• neobsahujúce meno, dátum narodenia, názov firmy ani jednoduché vzory.

Ešte lepším riešením je používať správcu hesiel. Ten vám dokáže vygenerovať silné heslá pre každý účet a bezpečne ich uložiť. Vy si potom pamätáte len jedno hlavné heslo.

Treba heslá meniť pravidelne?

Staré odporúčanie znelo: meňte heslá každých pár mesiacov. Dnes je bezpečnostná prax presnejšia.

Heslo by ste mali zmeniť najmä vtedy, keď:

• bolo súčasťou úniku dát,
• použili ste ho na viacerých službách,
• máte podozrenie na neoprávnený prístup,
• klikli ste na phishingový odkaz,
• zariadenie mohlo byť infikované škodlivým softvérom,
• ide o staré, slabé alebo ľahko uhádnuteľné heslo.

Súčasné odporúčania nepreferujú automatické nútené zmeny hesiel bez dôvodu, pretože používatelia si potom často vytvárajú slabšie a predvídateľné heslá. Zmysel má meniť heslo vtedy, keď existuje dôvodné podozrenie, že mohlo byť kompromitované.

Ako sa chrániť do budúcnosti?

Najlepšia ochrana je kombinácia viacerých jednoduchých návykov:

1. Používajte pre každý účet iné heslo.
2. Ukladajte heslá v správcovi hesiel.
3. Zapnite dvojfaktorové overenie všade, kde je to možné.
4. Najviac chráňte e-mail, bankovníctvo, sociálne siete a pracovné účty.
5. Neklikajte na podozrivé odkazy v e-mailoch a SMS správach.
6. Pravidelne aktualizujte operačný systém, prehliadač a aplikácie.
7. Nepoužívajte pracovné heslá v súkromných službách.
8. Pri podozrení na únik konajte okamžite.

Čo by mali robiť firmy?

Úniky prihlasovacích údajov sú vážnym rizikom aj pre firmy, nielen pre bežných užívateľov. Jeden kompromitovaný účet zamestnanca môže útočníkovi otvoriť cestu k interným systémom, e-mailovej komunikácii, zákazníckym dátam alebo finančným procesom.

Firmy by mali preto:

• používať viacfaktorové overenie,
• pravidelne aktualizovať systémy,
• školiť zamestnancov v oblasti kybernetickej bezpečnosti, najmä phishingu,
• monitorovať podozrivé prihlásenia,
• obmedzovať prístupy podľa pracovnej roly,
• používať bezpečnostné politiky pre heslá,
• zaviesť správu identít a prístupov,
• mať pripravený postup reakcie na incident.

Kybernetická bezpečnosť nie je len technická téma. Je to aj otázka návykov, procesov a zodpovednosti.

Jedno uniknuté heslo môže stačiť

Únik hesiel nemusí znamenať okamžitú katastrofu. Je však signálom, že treba konať. Najväčšie riziko vzniká vtedy, keď používatelia používajú rovnaké heslá na viacerých službách, ignorujú upozornenia a nemajú zapnuté dvojfaktorové overenie.

Digitálna bezpečnosť sa začína pri základných rozhodnutiach: silné a unikátne heslá, správca hesiel, viacfaktorové overenie a opatrnosť pri podozrivých správach. Tieto opatrenia nezaručia absolútnu ochranu, ale výrazne znižujú pravdepodobnosť, že sa z úniku jedného hesla stane vážny bezpečnostný problém.

Čo urobiť hneď teraz

Ak máte len 5 minút, urobte tieto tri veci:

1. Skontrolujte, či sa váš e-mail objavil v známom úniku dát.
2. Zmeňte heslá, ktoré používate na viacerých službách.
3. Zapnite dvojfaktorové overenie aspoň na e-maile, bankovníctve a sociálnych sieťach.