Kontoövertagande och personuppgiftsincidenter

Modul 1: Varför du är ett mål · Lästid: 10 minuter

Lärandemål: Efter den här lektionen kan du förklara hur stulna inloggningsuppgifter återanvänds och vad som händer med läckta uppgifter.
Nyckelbegrepp: kontoövertagande, credential stuffing, infostealer, sessionscookie, personuppgiftsincident, personuppgifter, komboliste

Logga in istället för att bryta sig in

Det enklaste sättet att ta sig in i ett system är inte att leta efter en lucka, utan att helt enkelt logga in. Den som har din e-postadress och ditt lösenord behöver inte hacka något. För systemet är han helt enkelt du. Det kallas kontoövertagande: någon annan tar över ett konto och använder det som om han vore ägaren.

För ett litet företag är mejllådan det viktigaste kontot. Den som har din mejllåda kan:

• via "glömt lösenord" återställa lösenorden till nästan alla dina andra konton;
• läsa din mejl och skicka en falsk faktura precis vid rätt tillfälle (lektion 1.2);
• skicka mejl i ditt namn till kunder, som litar på dig;
• ställa in en vidarebefordringsregel, så att han obemärkt fortsätter få en kopia av all mejl, även efter att du har bytt lösenord (lektion 2.5).

Men hur kommer en angripare över ditt lösenord? Det finns tre huvudvägar: du fyller i det själv på en falsk sida (phishing, modul 3), det läcker från en annan tjänst och du har använt samma lösenord där, eller skadlig programvara på din dator stjäl det. De två sista går vi igenom här.

Credential stuffing: en läcka, testad överallt

Webbplatser blir regelbundet hackade. Vid en sådan läcka hamnar ofta användares e-postadresser och lösenord på gatan, ibland läsbara, ibland i en form som kan räknas tillbaka med beräkningskraft. Dessa uppgifter samlas in, slås samman och säljs i enorma listor med e-postadresser och lösenord: kombolister.

Med en sådan lista utför en angripare credential stuffing: han testar automatiskt varje par av e-postadress och lösenord på andra tjänster. OWASP, en känd öppen organisation för webbsäkerhet, beskriver det som den automatiserade inmatningen av stulna inloggningsuppgifter för att få åtkomst till konton. Det fungerar av en enda anledning: människor använder samma lösenord på flera ställen.

Ett exempel. Petra från Bakkerij Example skapade för flera år sedan ett konto hos en webbutik för bakredskap, med info@example.com och lösenordet som hon då använde överallt. Den webbutiken blir hackad. Ett år senare finns hennes kombination i en komboliste. Ett program testar den på en natt på:

Petra märker ingenting: hon har inte sett något phishingmejl och inte klickat på något. Lärdomarna av detta: ett unikt lösenord per tjänst förhindrar att en läcka sprider sig (lektion 2.1 och 2.2), och tvåfaktorsautentisering stoppar en angripare som faktiskt har rätt lösenord (lektion 2.3). Du kan själv kolla på https://haveibeenpwned.com om din e-postadress finns med i en känd läcka.

Ett vanligt misstag är ett "system" för att variera lösenord: Bakkerij2025! för mejlen och Bakkerij2025!boekhouding för bokföringen. Program som använder komboliste testar även sådana uppenbara varianter.

Infostealers: lösenordet direkt från din dator

En infostealer är skadlig programvara som samlar in uppgifter från din dator och skickar dem till angriparen. Microsoft beskriver att infostealers bland annat hämtar sparade användarnamn och lösenord, sessionscookies, automatiskt ifyllda formulärdata och kortuppgifter från webbläsare. Du får ett sådant program till exempel via en falsk nedladdning ("gratis version av ett dyrt program"), en bilaga, en falsk annons eller en sida som ber dig kopiera och klistra in ett kommando "för att lösa ett problem".

En infostealer arbetar ofta i några minuter och försvinner sedan igen. Bytet, en så kallad logg med alla uppgifter från just den datorn, säljs. Ibland används den flera år senare.

Varför en sessionscookie är så farlig

När du loggar in på en webbplats, med lösenord och tvåfaktorsautentisering, får din webbläsare en sessionscookie: en liten fil som vid varje följande förfrågan visar att du redan är inloggad. Därför behöver du inte mata in din kod på nytt vid varje klick.

Den som stjäl den cookien kan lägga den i sin egen webbläsare och är då också inloggad. Han behöver inte ditt lösenord eller din andra faktor, för inloggningen har redan skett. MITRE ATT&CK, en offentlig kunskapsbas över angreppstekniker, säger det rakt ut: sessionscookies kan användas för att kringgå vissa former av multifaktorautentisering.

Vad som hjälper mot infostealers och stulna cookies:

• installera inte programvara från okända källor, och arbeta inte med ett administratörskonto, så att installation inte sker alltför lätt (lektion 5.2);
• uppdatera ditt operativsystem och din webbläsare (lektion 5.1);
• efter en infektion, rensa eller installera om datorn först, därefter byt lösenord från en ren enhet och återkalla alla sessioner, så att stulna cookies blir ogiltiga (lektion 2.5 och 3.5);
• phishingresistenta inloggningsmetoder som passkeys, som gör det omöjligt att stjäla inloggningsuppgifter via falska sidor (lektion 2.4).

Vad en personuppgiftsincident är

Hittills har det handlat om dina egna konton. Men om en angripare sitter i din mejllåda, din bokföring eller din webbutik, ser han även andras uppgifter: kunder, medarbetare, medlemmar. Då handlar det om en personuppgiftsincident.

GDPR definierar personuppgifter som all information om en identifierad eller identifierbar person: ett namn, en mejladress, ett telefonnummer, en adress, men även ett kundnummer som kan kopplas till en person. En personuppgiftsincident (i GDPR: en personuppgiftsincident, artikel 4 punkt 12) är ett säkerhetsbrott som leder till oavsiktlig eller olaglig förstöring, förlust, ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter.

En personuppgiftsincident behöver inte vara en hackning. Även detta kan vara en personuppgiftsincident:

• ett mejl med en kundlista till fel mottagare;
• en stulen eller borttappad bärbar dator utan kryptering;
• en dellänk till en mapp med CV:n som ligger öppet på internet;
• en övertagen mejllåda som innehåller fakturor med namn och adresser;
• filer som krypterats av ransomware och som du inte har någon säkerhetskopia av (förstöring och förlust).

Till en personuppgiftsincident hör skyldigheter: du dokumenterar varje personuppgiftsincident i ett incidentregister, du anmäler den inom 72 timmar till Integritetsskyddsmyndigheten (IMY) om den inte sannolikt saknar risk för de berörda, och vid hög risk informerar du även personerna själva. Hur det exakt går till lär du dig i lektion 8.2. För nu är det viktigt att du inte bara ser ett kontoövertagande som "vårt problem": det drabbar ofta även de personer vars uppgifter du har.

Vad som händer med läckta uppgifter

Läckta uppgifter försvinner inte. De kopieras, slås samman och säljs vidare. Därför får en läcka konsekvenser som varar länge:

• Återanvändning: lösenord hamnar i komboliste för credential stuffing.
• Bättre phishing: med ditt namn, dina kunder och din senaste beställning skapar en bedragare ett övertygande mejl. En kund som veckan efter en läcka hos din webbutik får en "betalningspåminnelse" från dig betalar snabbare.
• Identitetsbedrägeri: med tillräckligt med uppgifter om en person kan en bedragare öppna konton eller utge sig för att vara den personen.
• Utpressning: "betala, annars berättar vi för dina kunder att deras uppgifter har läckt hos dig" (lektion 1.3).

Därför är det att spara mindre också en säkerhetsåtgärd. Uppgifter du inte har kan heller inte läcka.

Sammanfattning

• Vid ett kontoövertagande loggar en angripare helt enkelt in; mejllådan är det viktigaste kontot, eftersom du med den återställer andra lösenord.
• Credential stuffing testar automatiskt läckta kombinationer av e-postadress och lösenord från komboliste på andra tjänster; unika lösenord och 2FA stoppar det.
• Infostealers stjäl lösenord och sessionscookies från webbläsaren; med en stulen cookie kan en angripare kringgå viss 2FA, så återkalla alla sessioner efter en infektion.
• En personuppgiftsincident är varje säkerhetsbrott mot personuppgifter, även ett felaktigt skickat mejl eller en borttappad bärbar dator.
• Läckta uppgifter återanvänds för nya attacker; att spara mindre innebär mindre risk.

Quiz

Uppgift

Uppgift A1.4: Ett läckage, vilka konton är i fara? Du får en översikt över kontona hos ett litet företag: vilket lösenord (angivet som W1, W2 och så vidare, aldrig ett riktigt lösenord) som hör till vilken tjänst, och om tvåfaktorsautentisering är aktiverad. Sedan läcker en tjänst. Ange vilka konton som genast är i fara, i vilken ordning du åtgärdar dem och om det handlar om en personuppgiftsincident. Programmet rättar och förklarar.

Läs mer

Stegen i WebOkés artiklar gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

• DirectAdmin-guide 3.7: Säkra lösenord och vad du gör vid ett läckt lösenord
• WebOké manual 3.6: Visa och logga ut aktiva sessioner
• Have I Been Pwned (kontrollera själv om din e-postadress finns i en känd läcka): https://haveibeenpwned.com
• OWASP, Credential stuffing (engelska): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (engelska): https://attack.mitre.org/techniques/T1539/
• GDPR (förordning (EU) 2016/679), officiell text: https://eur-lex.europa.eu/eli/reg/2016/679/oj