Poziom: średniozaawansowany | Czas czytania: ok. 3 minuty
Głośny cyberatak na firmę obsługującą systemy dla gabinetów lekarskich przypomniał, że dane osobowe nie znikają wraz z końcem medialnej burzy. Jeśli przestępcy poznali czyjś e-mail, telefon, PESEL albo informacje związane ze zdrowiem, nie muszą wykorzystać ich natychmiast. Mogą poczekać, aż czujność osłabnie, i dopiero wtedy zadzwonić „z przychodni”, „z banku” lub „z urzędu”.
To właśnie jest najważniejsza lekcja po każdym dużym wycieku: zagrożeniem nie jest wyłącznie sam plik z danymi, lecz wiarygodna historia, którą ktoś może z nich zbudować.
Miliony rekordów nie zawsze oznaczają miliony osób
W doniesieniach o incydentach często pojawia się liczba „rekordów”. Rekord to pojedynczy wpis w bazie, na przykład wizyta, numer telefonu albo dokument. Jedna osoba może mieć ich kilka lub kilkadziesiąt. Duża liczba rekordów pokazuje skalę zdarzenia, ale nie mówi automatycznie, ilu ludzi dotyczy wyciek.
Znacznie ważniejsze jest to, jakie dane zostały ujawnione i czy można je ze sobą połączyć. Sam adres e-mail zwykle nie wystarczy do kradzieży tożsamości. Jednak e-mail zestawiony z imieniem, telefonem, PESEL-em i informacją o placówce medycznej pozwala przygotować bardzo przekonującą próbę oszustwa.
Tak działa inżynieria społeczna (ang. social engineering [sołszyl endżyniring]): przestępca nie musi łamać zabezpieczeń banku, jeśli potrafi skłonić człowieka do podania kodu, kliknięcia linku albo zatwierdzenia operacji.
Zaskoczenie: zmiana jednego hasła może nie rozwiązać problemu
Jeżeli w wycieku nie było haseł, ich gorączkowa zmiana we wszystkich usługach nie zawsze jest najpilniejszym działaniem. Trzeba natomiast zmienić hasło do zaatakowanego serwisu oraz wszędzie tam, gdzie użyto takiego samego lub podobnego. Przestępcy automatycznie sprawdzają przejęte dane logowania w poczcie, sklepach i mediach społecznościowych. To automatyczne testowanie przejętych haseł (ang. credential stuffing [kredenszyl stafing]).
Najważniejsza jest poczta e-mail, bo to przez nią można resetować dostęp do innych kont. Powinna mieć unikalne hasło i uwierzytelnianie wieloskładnikowe (ang. multi-factor authentication [multi faktor autentikejszyn]). Jeśli serwis pozwala użyć aplikacji uwierzytelniającej zamiast kodów SMS, jest to zwykle bezpieczniejszy wybór.
Checklista po wycieku danych
Gotową checklistę znajdziesz w linku pod artykułem – wydrukuj ją i zachowaj – na wszelki wypadek!
- Sprawdź komunikat firmy lub instytucji i ustal, jakie konkretnie dane mogły zostać ujawnione. Nie klikaj linku z przypadkowego SMS-a! Wejdź na stronę samodzielnie.
- Zmień hasło w zaatakowanym serwisie i we wszystkich miejscach, w których było ono powtórzone. Zacznij od skrzynki e-mail.
- Włącz uwierzytelnianie wieloskładnikowe. Zachowaj kody odzyskiwania w bezpiecznym miejscu.
- Sprawdź adres e-mail w serwisie Have I Been Pwned i włącz powiadomienia o kolejnych ujawnieniach.
- Jeżeli wyciekł PESEL, zastrzeż go bezpłatnie w aplikacji lub serwisie mObywatel. Nie blokuje to wizyt lekarskich, recept, przelewów ani spraw urzędowych.
- Przeglądaj historię rachunku, powiadomienia bankowe i informacje o próbach zawarcia umowy na Twoje dane.
- Uprzedź bliskich, że mogą pojawić się wiarygodnie brzmiące telefony „w Twojej sprawie”. Ustalcie rodzinne hasło do potwierdzania pilnych próśb o pieniądze.
- Zachowaj podejrzane wiadomości i zrzuty ekranu. Mogą być potrzebne przy zgłoszeniu oszustwa bankowi, policji lub właściwej instytucji.
Najlepsza ochrona zaczyna się od krótkiej PAUZY
Po wycieku nie da się „odzyskać” numeru telefonu, daty urodzenia czy historii kontaktu z placówką. Można jednak odebrać przestępcom najważniejszą przewagę: pośpiech ofiary. Bank, lekarz ani urząd nie powinien wymagać natychmiastowego podania hasła, kodu autoryzacyjnego czy instalacji aplikacji podczas niespodziewanej rozmowy.
Rozłącz się i samodzielnie wybierz oficjalny numer. Nie oddzwaniaj na numer podany przez rozmówcę. Ta minuta ostrożności może ochronić lepiej niż najbardziej skomplikowane hasło.
Źródła i inspiracje
Federal Trade Commission: What To Do After a Data Breach
Have I Been Pwned: sprawdzanie adresu e-mail w znanych wyciekach