Do sieci trafiły miliony loginów oraz haseł powiązanych z popularnymi polskimi serwisami, oraz sklepami internetowymi. Jak podaje portal Zaufana Trzecia Strona, który jako pierwszy opublikował informacje o wycieku – jest to najpewniej jeden z największych jednorazowych wycieków danych kont w historii polskiego internetu.

29 maja 2023, późnym wieczorem portal Zaufana Trzecia Strona poinformował o wycieku bazy danych zawierających dane użytkowników polskich serwisów internetowych.

Adam Haertle, z zaufanatrzeciastrona.pl

Dzisiaj wieczorem na Cebulce, polskojęzycznym forum w sieci Tor, opublikowano ogromną bazę danych zawierającą miliony wierszy. Każdy wiersz to dane konta gdzieś w sieci, najczęściej należącego do kogoś z Polski.

O wycieku od rana (30 maja 2023) informują również inne serwisy o tematyce technologicznej – między innymi portal dobreprogramy.pl , gsmmaniak.pl, a także spidersweb.pl.

Skąd pochodzą opublikowane dane?

Największa część opublikowanej bazy dotyczy popularnych wśród polskich internautów serwisów — w tym między innymi znajdują się serwisy aukcyjne, sklepy internetowe, darmowe usługi pocztowe powiązane z portalami informacyjnymi. Bardzo wiele wskazuje na to, że w komputerach wielu – szacunkowo setek tysięcy – Polaków istniało zainstalowane złośliwe oprogramowanie.

Samo działanie złośliwego oprogramowania oraz sposób pozyskiwania danych nie jest do końca znany – oprogramowanie mogło wykradać hasła z historii przeglądarki albo przechwytywać znaki wpisywane z klawiatury, a następnie przesyłać do atakującego listę zawierającą zestaw informacji jak adres url, w ramach którego następowało logowanie, login oraz hasło.

Masowy charakter oraz powiązanie z dokładnymi adresami url wskazuje na to, że była to akcja o charakterze rozproszonym, a nie włamanie do infrastruktury któregokolwiek operatora czy serwisu.

Czy moje hasło zostało wykradzione z serwisu lub sklepu internetowego?

Jeśli Twój login jest w opublikowanej bazie, to najbardziej prawdopodobny scenariusz wydaje się taki, że zostało ono przechwycone w Twoim telefonie, tablecie lub komputerze. Włamanie do infrastruktury operatora jakiejkolwiek poważnej aplikacji – a mówimy tu o największych polskich serwisach – nie umożliwiłoby wykradzenia haseł.

Hasła we współczesnych architekturach nie są przechowywane w bazach danych ani plikach, nie da się ich zatem ukraść operatorowi. Banki, sklepy i serwisy nie znają haseł, a jedynie ich cyfrowe „odciski”. Zachodzi tu relacja podobna nieco do klucza i zamka – to użytkownik zna hasło, a operator tylko umie potwierdzić, czy ono jest prawidłowe, czy nie.

Także w odniesieniu do ewentualnych usług w naszej infrastrukturze warto podkreślić, że nie doszło tu do żadnego incydentu na serwerze czy w aplikacjach. Źródłem zaistniałego problemu jest złośliwe oprogramowanie, które ma za zadanie zainfekowanie komputera lub telefonu, by następnie wykradać i przesyłać z zainfekowanych urządzeń dane uwierzytelniające.

Na liście znajdują się miliony rekordów. Nie mamy możliwości sprawdzenia, czy są tam Twoje loginy do wszelkich serwisów, z których korzystasz, ale na wszelki wypadek rekomendujemy Ci przejście poniższej procedury.

Czy opublikujecie tę listę?

Nie, ponieważ wg informacji prasowych zawiera ona hasła i loginy do milionów usług. Uważamy, że dystrybuowanie tego rodzaju listy byłoby bardziej szkodliwe niż pomocne.

Co powinienem teraz zrobić?

Jako że tak czas, jak i szybkość reakcji mają tu ogromne znaczenie, sugerujemy poniższą instrukcję rekomendowanego przez nas postępowania. Jeśli Twoje urządzenie nie zostało do tej pory zainfekowane, dzięki zastosowaniu się do poniższych zaleceń zwiększysz prawdopodobieństwo, że prawidłowo przechowujesz swoje wrażliwe dane i są one  bezpieczne oraz masz szansę uniknąć konsekwencji, jeśli na Twoim urządzeniu do infekcji doszło.

Instrukcja krok po kroku – dotyczy wszystkich urządzeń, z których logujesz się do serwisów internetowych:

1. Niezwłocznie przejrzyj zainstalowane oprogramowanie i aplikacje i odinstaluj te z nich, które wydają ci się podejrzane.
2. Zaktualizuj oprogramowanie antywirusowe i natychmiast uruchom pełne skanowanie urządzenia.
3. W przypadku wykrycia zainfekowanych plików lub szkodliwego oprogramowania poddaj je kwarantannie lub najlepiej, jeśli to możliwe, natychmiast usuń z urządzenia.
4. Zresetuj wszystkie loginy i hasła używane do logowania się na stronach internetowych i przygotuj nowe, pamiętając o kierowaniu się zasadami tworzenia mocnych i bezpiecznych haseł. Uwaga – ma to sens dopiero po usunięciu złośliwego oprogramowania z Twojego komputera. W przeciwnym wypadku oprogramowanie przestępców przechwyci Twoje nowe hasło.
5. Włącz uwierzytelnianie dwuskładnikowe tzw. 2FA w dostępie do Panelu Klienta i 2FA do poczty Webmail. Dzięki temu posiadanie samego hasła nie wystarczy to realizacji logowania.
6. Unikaj zapisywania haseł w przeglądarce. Stosuj zamiast tego oprogramowanie typu manager haseł, np. KeePass XC, Lastpass, Bitwaren.

Jakie mogą być konsekwencje, jeśli moje dane zostały upublicznione?

W wypadku bankowości jest to dostęp do konta i utrata poufności w zakresie finansów. Jednocześnie ryzyko utraty środków jest tu umiarkowane, ponieważ transfer pieniędzy wymaga najczęściej drugiego składnika uwierzytelniającego – kodu w aplikacji bankowej, jednorazowego kodu sms.

Utrata dostępu do poczty to naruszenie tajemnicy korespondencji oraz, co nie jest takie oczywiste, ryzyko przejmowania kolejnych kont w innych serwisach. Chodzi o to, że konto poczty elektronicznej można wykorzystać do resetu hasła w wielu usługach, a loginem często jest po prostu adres e-mail. W takim wypadku atakujący posiada adres i w prosty sposób zresetuje hasło, a co za tym idzie narażone mogą być wszelkie usługi, do których logowanie następowało ze skompromitowanego adresu — na przykład w portalach ogłoszeniowych i społecznościowych. Dostęp do nich może posłużyć do dalszego działania przez cyberprzestępców — znane oszustwa OLX.

Z kolei w wypadku sklepów internetowych ryzyko jest umiarkowane, bo te rzadko zrealizują zamówienia, które nie są opłacone. Dlatego wydaje mi się, że w tym scenariuszu skompromitowane mogą zostać dane osobowe i np. historia zamówień, ale prawdopodobnie na tym skutki się skończą.

Oczywiście istnieje też ryzyko szantażowania właścicieli serwisów, których dane wyciekły – poprzez wmawianie im, że doszło do kradzieży danych z ich systemu/serwera/aplikacji.

Z pewnością w najgorszej sytuacji są tu osoby posługujące się tym samym hasłem w wielu systemach i serwisach – dlatego, jak zwykle – rekomenduję Ci stosowanie różnych haseł do każdego serwisu internetowego.