Підстановка облікових даних

Що таке Підстановка облікових даних?

Підстановка облікових даних працює, бо паролі використовують повторно: витік на сайті, який ви ледве пам'ятаєте, стає робочим входом до вашого облікового запису на роботі. Ви проходите весь шлях: від сповіщення про вхід з іншої країни до листа про витік, який ви місяць тому лише проглянули, а пароль там був той самий. Потім ви реагуєте на інцидент: телефонуєте до служби ІТ-безпеки, подаєте звіт про інцидент із джерелом і хронологією, порівнюєте SMS-коди із застосунками-автентифікаторами та апаратними ключами й налаштовуєте MFA через застосунок, зберігаючи коди відновлення окремо.

Що ви дізнаєтесь у Підстановка облікових даних

• Пояснюйте, як підстановка облікових даних перетворює витік у сторонньому сервісі на вхід у систему вашого роботодавця
• Розпізнавайте ознаки атаки підстановки у сповіщенні про вхід, зокрема успішний вхід з незнайомого місця після однієї-двох невдалих спроб
• Простежуйте, який саме витік і який повторно використаний пароль призвели до зламу корпоративного облікового запису
• Порівнюйте SMS, застосунки-автентифікатори й апаратні ключі та обирайте надійніший варіант для робочого облікового запису
• Налаштовуйте MFA через застосунок-автентифікатор і зберігайте коди відновлення окремо від пристрою, на якому працює автентифікатор

Підстановка облікових даних — Кроки навчання

1. Ласкаво просимо до TechNova Solutions

   Ви серйозно ставитеся до безпеки: завжди блокуєте комп'ютер і ніколи не переходите за підозрілими посиланнями. Але, як і багато хто, маєте улюблений пароль, яким користуєтеся в кількох облікових записах. Він досить складний і надійний, тож чому б не використовувати його знову?

2. Звичайний вівторковий ранок

   Вівторок, ранок. Ви працюєте над випуском нової функції, коли надходить сповіщення на пошту — щось про підозрілу активність в обліковому записі. Нічого незвичного ви не пригадуєте. Мабуть, це звичайне сповіщення системи безпеки.

3. Тривожні подробиці

   У вас усе обривається всередині. Бухарест? Ви там ніколи не були. І лише дві невдалі спроби, а потім успішний вхід о 03:47? Хтось точно отримав доступ до вашого облікового запису. Але як? На підозрілі посилання ви не переходили. Пароль нікому не передавали. Тоді ви згадуєте: минулого місяця вам прийшов лист про витік даних у StreamFlix — відеосервісі, де ви зареєструвалися багато років тому. Пароль там такий самий, як і для облікового запису TechNova...

4. Усе сходиться

   Ви гортаєте старі листи й знаходите повідомлення від StreamFlix про витік даних, що надійшло минулого місяця. У ньому йшлося, що адреси електронної пошти та паролі потрапили у відкритий доступ. Тоді ви змінили пароль у StreamFlix, але не здогадалися оновити його в інших облікових записах, де він такий самий. Тепер ви розумієте: зловмисники взяли ці витеклі облікові дані й випробували їх на інших сервісах, зокрема й у TechNova.

5. Тривожна ознака, яку ви пропустили

   Перечитуючи лист від StreamFlix, ви помічаєте важливе застереження, яке тоді пропустили повз увагу.

6. Звернення до служби ІТ-безпеки

   Алісі потрібно негайно повідомити про це. Вона бере телефон і телефонує до служби ІТ-безпеки за внутрішнім номером зі сповіщення, а не за номером із зовнішніх листів.

7. Подальші кроки від служби ІТ-безпеки

   Після розмови служба ІТ-безпеки надсилає лист із подальшими кроками й тимчасовими обліковими даними на особисту адресу Аліси, пошта з якої відкрита на її комп'ютері.

8. Початок розслідування

   Служба ІТ-безпеки підтверджує, що доступ до вашого облікового запису отримали з Румунії, використавши дійсні облікові дані. Зловмисник зайшов у вашу пошту, завантажив кілька документів і спробував потрапити в корпоративний VPN, перш ніж системи безпеки помітили незвичну поведінку. На щастя, служба ІТ-безпеки швидко виявила вторгнення. Але шкоду ще оцінюють.

9. Як працює атака

   Аналітик служби ІТ-безпеки пояснює, як працює підстановка облікових даних: 1. Витік даних: Зловмисники отримують викрадені облікові дані внаслідок витоку (як у StreamFlix) 2. Списки облікових даних: Вони складають величезні списки пар «адреса електронної пошти — пароль» 3. Автоматизована перевірка: Боти випробовують ці дані на тисячах інших сайтів 4. Викрадення облікового запису: Коли дані підходять, зловмисники отримують доступ до облікових записів і використовують їх Це не цілеспрямований злам, а автоматизована масова перевірка викрадених облікових даних.

10. Звіт про інцидент

    Служба ІТ-безпеки просить Алісу подати офіційний звіт про інцидент: зафіксувати злам і допомогти захистити інших.