Éppen ültem volna be a legújabb Avengers filmre, amikor kaptam egy üzentet a saját email címemről, hogy feltörték a készülékem operációs rendszerét, és hozzáférnek az email fiókomhoz. Egy pillanatra közel sokkos állapotba kerültem, majd valami olyat tettem, amit gyűlöltem világ életemben.

A jelszavaink és a lustaság

Néhány kivételtől eltekintve mindenki utálja a jelszavakat. Ha tehetnénk, el is felejtenénk az egész jelszó-mizériát és mindenhol a nevünk és születési dátumunk kombinációit használnánk (vagy még azt sem). Ez a flegma nemtörődömség olyan luxus, aminek később bitcoinnal fizethetjük meg az árát.

Na de ne szaladjunk ennyire előre.

Téged meghackeltek-e már?

Írd be az alábbi oldalra az email címed és sokkold magad:

https://haveibeenpwned.com/Passwords

Ha nem beszélsz angolul, akkor mondom mire való az oldal: kilistázza, hogy hány alkalommal kompromittálódott a jelszavad az elmúlt években.

Ha még nem zsaroltak meg, vagy lopták el az adataidat azt nem a jószerencsédnek köszönheted, hanem mindössze annak a jele, hogy volt értékesebb célpont.

hacker

Kép forrása: Unsplash

Kérdés, hogy szeretnél-e egyszer egy ilyen üzenettel találkozni:

Fiókját feltörték, sürgősen változtassa meg a jelszavát!

Fontos megjegyzés: Az alábbi levél eredeti formában, változtatás nélkül kerül közlésre. Egyes szakértők szerint a csalók szándékosan fogalmaznak rossz magyarsággal/angolsággal, hiszen ezzel is próbálják szűrni, hogy kibe érdemes „több energiát fektetni”. A hiszékeny célpontok a helyesírási és stilisztikai hibák ellenére később nagyobb valószínűséggel esnek manipuláció áldozatául. Mivel az üzenetek tömegesen kerülnek kiküldésre (általában valós zsarolási alap nélkül), így a visszaélést elkövetők próbálják az erőfeszítéseiket racionalizálni, és a gyanút nem fogó, könnyedén bepalizható áldozatokra fókuszálni. A csaló psziché-jével gondolkodva nettó időpazarlás lenne valaki olyanra fókuszálni, aki kis valószínűséggel fog a folyamat végén fizetni.

Nézzük a levelet:

tárgy: Fiókját feltörték, sürgősen változtassa meg a jelszavát!

Szia!

Hackerek vagyok, aki feltörte a készülék operációs rendszerét.

Hozzáférhetek az Ön e-mail fiókjához!

Több hónapig figyelek téged.

Tény, hogy egy webhelyen keresztül fertőzött meg egy kártevővel.

Ha nem ismeri ezt, elmagyarázom.

A trójai vírus teljes hozzáférést biztosít a készülék operációs rendszeréhez.

Ez azt jelenti, hogy mindent láthatok a képernyőn, kapcsolja be a fényképezőgépet és a mikrofont. De nem tudod róla.

Hozzáférhetem az összes kapcsolatodhoz és minden levelezéshez.

Miért nem fedezte fel a víruskereső a rosszindulatú programokat?

Válasz: A rosszindulatú program az illesztőprogramot használja, 4 óránként frissítem aláírásait, hogy a víruskereső csendben legyen.

Készítettem egy videót, amely megmutatja, hogyan maszturbáltál a képernyő bal oldalán.

A képernyő jobb oldalán látható a megtekintett videó.

Egy egérkattintással elküldhetem ezt a videót az összes e-mail címemre és kapcsolatodra a szociális hálózatokon.

Elérhetem az összes e-mail levelezést és üzenetküldőt is.

Ha ezt meg akarja akadályozni, helyezze át a 550€ összeget a bitcoin címemre (ha nem tudod, hogyan kell ezt csinálni, írj a Google-nak: “Buy Bitcoin”).

A bitcoin címem (BTC Wallet): 1EfG76Xyi2X32Dpi5em5eGdXdcDL4A8j1v

Amint elküldi nekem a bitcoinokat, törlöm a videót. Soha többé nem hallasz engem.

50 órát (több mint 2 nap) adok neked.

Van egy értesítésem, amely elolvassa ezt a levelet, és az időzítő akkor fog működni, amikor meglátja ezt a levelet.

A panasz benyújtása valahol nincs értelme, mert ezt az e-mailt nem lehet követni, mint a bitcoin címem.

Nem hibázok.

Ha úgy találom, hogy megosztotta ezt az üzenetet valakivel, a videó azonnal el lesz osztva.

Üdvözlettel!

Zsarolás csúcsra járatva

Távolról talán nem is olyan félelmetes, főleg, ha biztosan tudod, hogy kamu vagy blöff a fenyegető üzenet. De vajon mit teszel, ha olyan dologgal zsarolnak, aminek van valós alapja?

Itt válik igazán mesterivé az iménti üzenet – hiszen az érzelmi manipuláció feketeöves kivitelezését láthatjuk.

Na de miért ijedtem meg egy pillanatra, amikor láthatóan kamu fenyegetést kaptam?

Mert a saját email címemről érkezett az üzenet.

Továbbá tudtam, hogy vannak oldalak, ahol ugyanazt a jelszót használom lassan évek óta.

Egy pillanatra végigfutott az agyamon, hogyha elveszítem a PayPal, a Facebook, vagy a Google fiókom, akkor az imént megnevezett összegnél sokkal komolyabb anyagi kárral nézek szembe.

Pánik helyett azonnali cselekvés és tűzoltás

Ahelyett, hogy megnéztem volna az új filmek előzeteseit, ledobtam magam az egyik kanapéra, jelszót változtattam a legfontosabb oldalakon, majd beállítottam az egyébként gyűlölt és rengeteg kényelmetlenséget okozó kétlépéses azonosítást.

kétlépcsős azonosítás

Kép forrása: Unsplash

Később, amikor jobban utánajártam a témának, akkor meg is találtam egy oldalt, ahol hasonló üzeneteket lehet ellenőrizni:

www.bitcoinabuse.com

Az oldalra a zsaroló levélben szereplő Bitcoin címet kell bemásolni, hogy részletes riportot láss.

A cikk írásakor 145 visszaélést panaszoló bejelentés érkezett a korábbi levélben szereplő Bitcoin címmel kapcsolatban. Ne feledd, ezek csak a bejelentések, a valós esetszám ennek sokszorosa lehet.

Ez azért fontos, mert szerintem a cél feltehetően nem a valós végrehajtása a zsarolásoknak, hanem a hiszékeny és egyébként sáros emberek megfélemlítésén keresztül elért haszon.

Persze, ne legyen kétséged: téged is hackeltek már meg.

De a valóságban itt szerintem egy tömeges üzenetküldésen és tömeges zsaroláson keresztüli csalással elért haszonszerzés lehet a stratégia.

Ez persze nem jelenti azt, hogy be kellene csuknod a cikket és figyelmen kívül hagynod ezt az egészet. Mert bárhogy is nézzük, nap mint nap vásárra viszed a bőröd, amíg ignorálod a témát.

Nézzük, mit tehetsz, ha nagyobb biztonságban szeretnéd tudni a jelszavakat, bankkártyákat, és a családi fotókat.

A szolgáltatók nem védik megfelelően a jelszavakat

(Original footage from Citizenfour by Laura Poitras)

Ha nem is takarod le magad egy paplannal, akkor is érdemes védekezned a jelszólopás ellen. Ez pedig nem csak abból áll, hogy nehezen kitalálható és összetett jelszót választasz, illetve azt nem teszed könnyen hozzáférhetővé. Ez bizony arról is szól, hogy milyen szolgáltatókkal dolgozol.

Sajnos a jelszavakat egyes szolgáltatók egy sima doksiban tárolják a felhasználóneveddel együtt. 

Ez nyilván azt is jelenti, hogy rosszabb helyeken az alkalmazottak is könnyedén hozzáférnek bármelyik felhasználói fiókhoz. De van egy ennél is rosszabb hírem.

Ha feltörik az adott oldalt, akkor minden jelszó kikerül a netre.

Ezeket pedig később százas csomagokban értékestik a Darknet-en. Különböző oldalakhoz tartozó felhasználói fiókok, személyes adatok, bankkártya számok – innen sajnos csak a képzelet szab határt annak, hogy ezekkel mit kezdenek.

Tolerálható mértékű kockázat 

Nincsenek illúzióim, hogyha extra elővigyázatossággal járok is el, akkor is veszélyben vagyok, de legalább tolerálható mértékű kockázatot futok csak.

Az elővigyázatosság itt nem 100% védettségről, hanem kockázatminimalizálás szól.

Ebben segítenek az olyan szolgáltatók, mint például a Tresorit is, ahol a jelszavakat nem egy titkosítás nélküli doksiban őrzik, hanem többszörös titkosítással védik.

Ez garancia arra, hogy az esetleg csalárd alkalmazottak se élhessenek vissza az adatokkal, illetve, ha valaki meghackelné őket, akkor legalább a felhasználók teljes biztonságban legyenek.

A Tresorit egyébként egy garantált megoldás lehet a biztonságos fájltárolásra és megosztásra. Mindent tud, amit a Google Drive, a Dropbox vagy például a Wetransfer, csak még megfelelő védelmet is nyújt.

Persze most mondhatod, hogy neked nincs szükséged védelemre, de a valóság az, hogy nem a családi fotók miatt kellene csak aggódnod. Pillanatok alatt leszívhatják a hitelkártyád, vagy válhatsz például identitáslopás áldozatává.

Fogadok, hogy fotóztad már le a lakcímkártyádat, személyi igazolványodat, vagy ne adj’ Isten a bankkártyádat valamilyen céllal, ami most ott pihen az elvileg biztonságosnak hitt felhőben. Folytassam?

Végjáték – a sztori tanulsága

Miért ültem be végül közel teljes nyugalommal az Avengers filmre a dupla autentikáció beállítása és a jelszóváltoztatások után? Mert amit tehettem, az adott pillanatban megtettem.

Ma már úgy élem a mindennapokat, hogyha mindent el is veszítenék, akkor is van biztonsági mentésem. A legfontosabb fájlokat fizikai merevlemezen is őrzöm. A jelszavaimat titkosított formában csak jegyzetfüzetekben tárolom. De ez nem volt mindig így. Kellett egy kijózanító jó szombati esti zsaroló üzenet, hogy észbe kapjak.

Talán neked ez a cikk is elég lesz, hogy cselekedj.

Munkavállalóként a te felelősséged is, hogy az egyre népszerűbb home office és remote munkavégzés biztonságos legyen.

3 ütős ötlet a nagyobb biztonság érdekében, amit a munkaadódnak is javasolhatsz

  • regisztrációnként más-más erős jelszavak létrehozása és biztonságos tárolása

  • kétfaktoros autentikáció bekapcsolása, ahol lehetséges

  • biztonságos felhős megoldással (pl. Tresorit) tárolni a legfontosabb és legérzékenyebb fájlokat

Nézd meg a Tresorit megoldását az alábbi képre kattintva:

védekezz a hackerek ellen a tresorittal

Szponzorált tartalom – a cikk megjelenést a Tresorit Kft. támogatta.