Läckt? Kontrollera och åtgärda

Modul 2: Lösenord och inloggning · Lästid: 10 minuter

Lärandemål: Efter denna lektion kan du själv kontrollera om dina uppgifter finns i en läcka, agera i rätt ordning efter en läcka och återfå och städa upp ett kapat konto.

Nyckelbegrepp: Have I Been Pwned, k-anonymitet, läckagevarningar, återkalla sessioner, sessionskaka, återställningsuppgifter, vidarebefordringsregler

Hur du får reda på att något har läckt

Ofta märker du det inte. Ett läckt lösenord kan ligga i en kombolista i flera månader innan någon försöker använda det. Håll därför utkik efter dessa signaler:

• En tjänst mejlar att det har skett en personuppgiftsincident (dataläcka). Kontrollera först att mejlet är äkta (modul 3): gå själv till webbplatsen i stället för att klicka på länken.
• Du får en inloggningskod eller godkännandeförfrågan som du inte själv har begärt (lektion 2.3).
• Du ser ett meddelande om "ny inloggning från en okänd enhet".
• Kunder eller kollegor får konstiga mejl "från dig", eller du saknar mejl som faktiskt har skickats.
• Din lösenordshanterare varnar för att ett lösenord förekommer i en läcka.
• Du kan plötsligt inte logga in längre, eller dina återställningsuppgifter har ändrats.

Kontrollera själv med Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) är en känd, gratis tjänst som samlar uppgifter från offentligt kända dataläckor. Du kan själv söka på din e-postadress. Du ser då i vilka läckor adressen förekommer och vilka typer av uppgifter som fanns med: bara e-postadresser, eller även lösenord, namn, telefonnummer eller adresser. Med funktionen "Notify me" får du ett mejl om din adress dyker upp i en ny läcka.

Gör detta själv, på tjänstens egen webbplats. I denna kurs ber vi dig aldrig fylla i din e-postadress eller ditt lösenord någonstans.

Det finns även en del som heter Pwned Passwords, som lösenordshanterare och webbplatser använder för att kontrollera om ett lösenord någon gång har läckt. Det fungerar med k-anonymitet: ditt lösenord omvandlas på din egen enhet till en hash (ett fingeravtryck), och bara de första 5 tecknen av den skickas till tjänsten. Tjänsten skickar tillbaka alla kända hashar som börjar med dessa 5 tecken, och din egen enhet kontrollerar om din fullständiga hash finns bland dem. Tjänsten får alltså aldrig se ditt lösenord och vet inte ens vilken av de hundratals returnerade hasharna som är din.

Två saker att tänka på:

• Att inte finnas med i listan betyder inte att du är säker. En läcka som (ännu) inte är känd finns inte med. Infostealers (lektion 1.4) stjäl även lösenord som aldrig hamnar i en publicerad läcka.
• Att finnas med i listan betyder inte att allt är förlorat. Titta på vilka uppgifter som läckte och när. Ett lösenord du inte har använt på flera år är inget problem, ett lösenord du fortfarande använder överallt är det.

Vad du gör först efter en läcka

Ordningen spelar roll. Den viktigaste regeln: börja med din mejlbox, för med din mejlbox kan en angripare via "glömt lösenord" ta över nästan alla dina andra konton.

Varför du ska återkalla sessioner

När du loggar in får din webbläsare en sessionskaka: ett slags tillfälligt inträdesbevis, så att du slipper logga in på nytt vid varje klick. Den som har den kakan är inloggad. Utan lösenord och utan ett andra steg.

Det är precis det infostealers stjäl: inte bara dina lösenord, utan även dina kakor. Och en angripare som har loggat in med ditt lösenord har också en session. Ändrar du bara ditt lösenord fortsätter den sessionen att fungera hos vissa tjänster.

Kontrollera därför efter en läcka eller en konstig inloggning översikten över aktiva sessioner eller enheter hos varje viktig tjänst, och logga ut allt du inte känner igen, eller allt utom enheten du arbetar på just nu. Hos många tjänster loggar ett nytt lösenord dig ut överallt automatiskt, men kontrollera ändå.

Vidarebefordringsregeln som bakdörr

Ett typiskt scenario. Bokföraren på Bagarna Example klickar på ett phishingmejl och fyller i sitt e-postlösenord. Angriparen loggar in på factuur@example.com och gör tre saker:

1. Han skapar en regel: varje mejl med "faktura", "betalning" eller "IBAN" i ämnesraden vidarebefordras till en extern adress på leverancier-administratie.example och flyttas sedan till papperskorgen.
2. Han anger sitt eget telefonnummer som återställningsnummer.
3. Han loggar ut igen.

Bokföraren märker att något är fel och ändrar sitt lösenord. Löst, tänker hon. Men regeln fortsätter att fungera. Angriparen läser varje faktura i flera veckor, och en dag får en kund en "ändrad" faktura med ett annat IBAN-nummer (lektion 1.2). Via återställningsnumret kan han dessutom ta tillbaka kontot.

Kontrollera därför alltid i en mejlbox:

• regler och filter: särskilt regler som vidarebefordrar eller raderar;
• vidarebefordran i mejlboxens inställningar och i din webbhotellpanel;
• automatiska svar som du inte själv har skapat;
• apppecifika lösenord och kopplade appar: ta bort det du inte känner igen;
• återställningsuppgifter och listan över enheter för tvåfaktorsautentiseringen.

Om ett konto verkligen har kapats

Kommer du inte in längre, använd då bara tjänstens officiella återställningsprocedur. Du hittar den genom att själv gå till webbplatsen, inte via en länk i ett mejl eller en sökannons. Se upp med "återställningshjälp" som du själv kontaktar på sociala medier eller som kontaktar dig: det är ofta bedragare som vill lura dig en andra gång.

Därefter:

• gör steg 3 till och med 8 i tabellen ovan;
• skapa nya återställningskoder och aktivera ett starkare andra steg (lektion 2.3 och 2.4);
• anmäl bedrägeriet till Polisen (https://polisen.se/) och gör en polisanmälan om det finns skada;
• skriv ner vad som hände och när. Rörde det kunduppgifter kan det vara en personuppgiftsincident (lektion 8.2).

I praktiken: så här ser det ut

I WebOké-miljön ser du i Mitt WebOké under Inloggningsuppgifter kortet Aktiva sessioner, med webbläsare, system, IP-adress och tidpunkt för varje session. Du kan logga ut en enskild session eller logga ut överallt utom på enheten du använder just nu. I Nextcloud finns under Säkerhet översikten Enheter & sessioner, där du också kan återkalla en enhet eller radera den på distans. Vidarebefordran och filter för en mejlbox hittar du i webbhotellpanelen och i webbmejlen. Hos andra leverantörer fungerar det på liknande sätt: leta efter "sessioner", "enheter", "säkerhet" eller "senaste aktivitet".

Sammanfattning

• Kontrollera själv på haveibeenpwned.com om din e-postadress finns i en känd läcka; Pwned Passwords fungerar med k-anonymitet (bara de första 5 tecknen av hashen skickas).
• Att inte finnas med i listan är inte samma sak som säker.
• Efter en läcka: börja med mejlboxen, återkalla sedan sessioner och kontrollera tvåfaktorsautentisering och återställningsuppgifter.
• En lösenordsändring tar inte bort vidarebefordringsregler, apppecifika lösenord eller stulna sessioner.
• Ett kapat konto återfår du bara via tjänstens officiella väg.

Quiz

Uppgift

Uppgift D2.5: Din egen läckagekontroll och städrunda. Kontrollera själv på haveibeenpwned.com dina företagets e-postadresser och aktivera "Notify me". Gå igenom aktiva sessioner, vidarebefordringsregler, apppecifika lösenord och återställningsuppgifter för din mejlbox och dina viktigaste konton, och städa upp det du inte känner igen. Bocka av checklistan och svara på reflektionsfrågorna. Du fyller inte i någon e-postadress eller något lösenord i kursen.

Läs mer

Stegen i WebOkés artiklar gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

• WebOké manual 3.6: Visa och logga ut aktiva sessioner
• Nextcloud-guide 3.6: Enheter och sessioner visa, återkalla eller rensa på distans
• DirectAdmin-guide 3.7: Säkra lösenord och vad du gör vid ett läckt lösenord
• Det går inte att logga in på Nextcloud: lösenord, kod eller inbromsning
• Har någon tagit över din brevlåda eller skickas det skräppost från din adress? Så här städar du upp
• Have I Been Pwned (sök själv på din e-postadress): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (engelska, förklaring av k-anonymitet): https://haveibeenpwned.com/Passwords
• Anmäl bedrägeri eller phishing till Polisen: https://polisen.se/