Praktikus útmutató webáruház-tulajdonosoknak: Hogyan védekezhetsz a malware-ek és a jelszólopás ellen? Interjút készítettünk a Shoptet biztonsági szakértőjével, Michal Špačekkel. Hogyan élnek vissza a támadók a jelszavakkal, a cookie-kkal és a hamis számlákkal a gyakorlatban?
Michal Špaček, a Shoptet biztonsági vezetője (Head of Security) az interjúban bemutatja azokat az alapokat, amelyeket minden webáruház-tulajdonosnak ismernie kell. Megtudhatod, hogyan védd a jelszavaidat, hogyan állítsd be az együttműködést, ha Shoptet Partnerekkel dolgozol együtt, és hozzáférést szeretnél adni nekik a webáruház admin felületéhez. Elmagyarázza azt is, hogyan működik a malware, és valós példákon keresztül mutatja be az ellopott adatok felhasználását.
Mi az a malware, és hogyan nehezítheti meg egy webáruház-tulajdonos életét?
A malware a malicious software kifejezés rövidítése, amely szó szerint rosszindulatú szoftvert jelent. Gyakran egyszerűen csak számítógépes vírusnak nevezik. Több típusa létezik, az egyik legismertebb például a ransomware, amely titkosítja a merevlemezt, hozzáférhetetlenné teszi az adatokat, majd váltságdíjat követel azért, hogy (esetleg) megkapd a visszafejtéshez szükséges kulcsot.
Viszonylag újnak számít az infostealer kategória, egy olyan kártevő szoftver, amely információkat lop el a fertőzött számítógépről, és többnyire nem mutat egyéb tüneteket. Az infostealer adatokat gyűjt a fertőzött számítógépről, miközben általában semmilyen más feltűnő jelet nem mutat. Az infostealer az összes olyan adatot megcélozza, amely valakinek hasznos lehet. Jelszavakat, cookie-kat, az asztalon és a dokumentumokban található fájlokat, személyi igazolványok szkennelt másolatait, elmentett hitelkártyaszámokat stb. Ezeket az adatokat letölti, majd elküldi a tulajdonosának, akik gyakran a tőlünk keletre fekvő országokban működnek. Az ellopott adatokat később sokszor továbbértékesítik, elcserélik, vagy akár ingyenesen is megosztják, így végül rengeteg olyan emberhez juthatnak el, akik visszaélésekre szeretnék felhasználni őket.
Mi történhet akkor, ha egy malware ellopja a webshop admin felületéhez tartozó jelszót?
Ha egy malware megszerzi a webáruház admin felületéhez tartozó jelszavadat, a csalók leggyakrabban a következőket teszik:
A támadók számára ezek a legrövidebb utak a pénzszerzéshez, de ennél sokkal többféle módszerük is van. Letölthetik az ügyféladatbázist, és azt értékesíthetik tovább, vagy a nevedben spameket küldhetnek az ügyfeleknek, esetleg „fizesd be a fennmaradó összeget” típusú csalásokkal is próbálkozhatnak.
Fontos hozzátenni, hogy nem minden támadó olyan kifinomult és technikailag felkészült, mint ahogy azt a filmek gyakran bemutatják. Vannak, akik még azt sem tudják, mit kezdjenek egy megszerzett hozzáféréssel, ezért egyszerűen továbbértékesítik. Erre azonban semmiképpen sem szabad számítani, mert minden támadás és minden támadó más.
Röviden összefoglalva, a támadók olyan módon próbálnak pénzt keresni, ami neked vagy az ügyfeleidnek veszteséget okoz. Ez pedig felesleges gondokat okozhat neked – akár odáig fajulhat a helyzet, hogy az adatvédelmi incidens miatt bejelentést kell tenned az Adatvédelmi hatóság felé a személyes adatok védelmének megsértése miatt.
Azt sem szabad elfelejteni, hogy webáruház-üzemeltetőként nemcsak a saját rendszeredhez tartozó jelszavakat kezeled. Hozzáférésed van a futárszolgálatok rendszereihez, különféle marketingeszközökhöz és más szolgáltatásokhoz is, ahol szintén jelentős károkat lehet okozni.
A történetnek érdekes az emberi oldala is, felmerülhet benned a kérdés: miért nem mennek ezek az emberek dolgozni, mint bárki más? Egyszer olvastam egy olyan adat- és jelszókereskedő vallomását, aki még csak nem is a támadási lánc elején állt. Azt írta, hogy a másik lehetősége az lett volna, hogy háborúba megy. Ehelyett leült a számítógép elé, és rájött, hogy különösebb szaktudás nélkül is lehet pénzt keresni, ezért végül nem vonult be. Igaz, ehhez képest a lopott adatok és jelszavak továbbértékesítése valószínűleg a jobb megoldás.
A webáruház-tulajdonosokat leginkább az érdekli, hogyan tudják megvédeni a jelszavaikat a Shopteten, és mi történik akkor, ha egy jelszó mégis illetéktelen kezekbe kerül.
A Shoptetnél igyekszünk figyelmeztetni ügyfeleinket, ha valahol az interneten megtaláljuk a kiszivárgott adataikat. De ez mindig csak egy reakció, amely alapvetően csak a probléma felmerülése után következik be. A malware azonnal ellopja az adatokat, és a mögötte álló támadók sem várnak arra, hogy észrevedd a történteket.
Ezért olyan eszközöket is biztosítunk, amelyek ezekre és más fenyegetésekre is védelmet nyújtanak. Korábban már bevezettük a kétfaktoros bejelentkezési hitelesítést (2FA), valamint értesítést küldünk akkor is, ha egy ismeretlen böngészőből történik a bejelentkezés, ami akár arra is utalhat, hogy valaki megszerezte a jelszavadat. Emellett használható olyan típusú fiók is, amely Partner jogosultsággal rendelkezik, és amely a 2FA funkció bekapcsolása nélkül nem engedi a Shoptet Partnernek vagy a kódolónak az admin felület használatát.
Számos kísérletet láttunk már bankszámlák megváltoztatására, ezért ezt a folyamatot megnehezítettük a támadók számára. Arra is törekszünk, hogy segítsünk a webáruházaknak, ha bármilyen gyanús tevékenységet észlelnek. Így segítettünk például feltárni egy feltört e-mail fiókot több végfelhasználó esetében, akiknek a webáruház számlát küldött, de a támadó azonnal letöltötte azt, módosította a banki adatokat, majd újra elküldte az ügyfélnek egy olyan címről, amely hasonlított a webáruház által használt címre. Az új számlán ráadásul az eredeti fizetési QR-kód is szerepelt – átfedve egy újjal, amelyen a támadó száma volt látható, de ez kissé eltolódott, így az eredetit ki lehetett jelölni és lemásolni.
Említetted már a 2FA-t. Ha bekapcsoljuk a webáruházban, akkor teljesen megoldódik a biztonsági problémánk?
Önmagában a 2FA nem feltétlenül elegendő. A malware ugyanis a böngészőkben tárolt cookie-kat is ellophatja, amelyek segítségével gyakran meg lehet kerülni a kétfaktoros hitelesítést. Annak érdekében, hogy ne kelljen minden egyes bejelentkezéskor megadnod a 2FA-kódot, a rendszer általában eltárol egy olyan információt a cookie-ban, mint például: „a következő 30 napban ne kérj 2FA-t”, vagy „ez egy ismert böngésző”. Ha egy infostealer megszerzi ezt a cookie-t, a támadó a saját böngészőjében felhasználhatja, és így megkerülheti a kétfaktoros hitelesítést.
Tehát a nagyobb biztonság érdekében inkább azt javaslod, hogy ne jelöljük be a „Ne kérj 2FA-t a következő 30 napban” opciót, hanem minden bejelentkezésnél adjuk meg a kódot?
Ha rendszeresen töltesz le vírusokat tartalmazó programokat, játékokhoz nem hivatalos kiegészítőket, vagy illegális szoftvereket használsz, akkor ezt valóban érdemes megfontolni. Én azonban inkább a probléma gyökerét kezelném: ne használj illegális szoftvereket, és ne tölts le nem hivatalos kiegészítőket és csalóprogramokat (cheateket) a játékokhoz. A „Ne kérj 2FA-t a következő X napban” funkció kényelmes megoldás, és így az emberek számára kevésbé megterhelő az a plusz lépés, hogy havonta egyszer újra megadják a hitelesítő kódot.
Én azt javaslom, hogy mindenhol kapcsoljuk be a kétfaktoros hitelesítést, ahol csak lehetséges, még akkor is, ha ez nem old meg minden lehetséges helyzetet. Az autóban is mindig bekapcsolom a biztonsági övet, pedig tudom, hogy nem fog megvédeni attól a szomszédtól, aki nem igazán tud beállni a parkolóhelyére tolatva.
Hogyan kerülhet malware a számítógépedre vagy a telefonodra?
Itt sajnos nem tudjuk elkerülni az idegen kifejezéseket, de a kevésbé műszaki beállítottságú webáruház-tulajdonosoknak sem kell megijedniük a következő résztől – mindent érthetően elmagyarázunk. A malware például crackeken, keygeneken, hamis e-mail-mellékleteken, csaló linkeken, játékmodokon, nem hivatalos programletöltéseken és hasonló forrásokon keresztül juthat be az eszközödre.
Az ellopott adatokkal együtt a malware információkat is küld a fertőzött eszközről, így a támadók láthatják például, milyen operációs rendszert használsz (a macOS sem kivétel), mennyi memória van a gépben, milyen gyors a processzor, illetve mi az IP-címe. A malware arról is jelentést küld, hogy pontosan melyik fájl vagy program futtatásával indult el, így gyakran arra is lehet következtetni, hogy a felhasználó mit töltött le.
A lopott adatokban előforduló valós példák a következők lehetnek:
Kiddions Mod Menu.exe – A GTA játékhoz készült kiegészítő.
Licence_Version_Loader.exe – Olyan programok licencvédelmének megkerülésére szolgáló eszköz, mint például az Adobe Photoshop.
Különféle operációs rendszerhez készült kiegészítők és eszközök, például FnHotkeyUtility.exe, ZenSync. és egyéb hasonlók.
Ezeknek a programoknak van néhány közös jellemzőjük: első ránézésre igyekeznek hasznos segítőeszköznek tűnni, bármivel kapcsolatban is lenne szükséged segítségre. De amint nem figyelsz, hátba szúrnak. Emellett szinte mindig nem hivatalos forrásokból, fórumokról és különféle letöltőoldalakról származnak. Olyan programok esetében, mint a Licence_Version_Loader.exe, ez tulajdonképpen másképp nem is lehet.
Az infostealerek és vírusok gyakran olyan programok formájában jutnak be a számítógépekre és egyéb eszközökre, amelyek dokumentumnak, kifizetetlen számlának vagy éppen „ügyvédektől“ érkező felszólításnak álcázzák magukat, amelyben illegális tartalom eltávolítására szólítanak fel.
Többször találkoztunk például olyan fájllal is, amelynek neve a következő volt: Munkaköri_leírás.docx[50 szóköz].exe, ahol a fájlnévben valóban körülbelül 50 szóköz szerepelt, ezért első, sőt még második pillantásra is egyszerű Word-dokumentumnak tűnt.
Miért olyan kockázatos a kalózszoftver, még akkor is, ha magát a programot végül nem telepíted? Felismerheti ezt egy átlagos felhasználó?
Maga a vírus, vagy általánosságban a malware már magában a telepítőprogramban is jelen lehet. Elég elindítanod egy setup.exe fájlt, és a vírus már aktiválódhat is anélkül, hogy a programot ténylegesen telepítenéd. A vírusok a keygenben vagy a crackben is előfordulhatnak, ha valamilyen módon meg kell kerülni a licencvédelmet.
Első pillantásra ezt nem könnyű felismerni, de minden olyan program vagy kiegészítő alkalmazás, amelyet nem hivatalos forrásból töltesz le, gyanúsnak tekinthető. Kalóz Photoshopot nyilván nem a gyártó hivatalos oldaláról fogsz letölteni, de a játékokhoz készült nem hivatalos kiegészítőkben vagy egy véletlenszerű fórumról letöltött Photoshop-verzióban szinte biztos, hogy jelen van valamilyen malware. És ha már ki szeretnél próbálni ilyesmit, semmiképpen se azon a számítógépen tedd, amelyet munkára használsz. Egy webáruház esetében ez nemcsak a tulajdonosra vonatkozik, hanem minden olyan felhasználóra is, aki hozzáféréssel rendelkezik a webshop kezeléséhez.
Mi a legjobb megelőzés? Mire érdemes odafigyelni?
Azon a számítógépen, amelyet munkára használsz, és amelyről hozzáférsz a webáruház admin felületéhez, a futárszolgálatok rendszereihez, ne végezz semmilyen magánjellegű tevékenységet. Ne telepíts játékokhoz készült nem hivatalos kiegészítőket, és ne tölts le kalóz Photoshop-verziókat.
Ha valami gyanúsnak tűnik (például olyan üzenetet kapsz, amely szerint illegális tartalom található a weboldaladon), vagy éppen túl szépnek hangzik ahhoz, hogy igaz legyen (például egy új állásajánlat vagy valamilyen jutalom ígérete), inkább azt hagyd figyelmen kívül, vagy kérd ki valaki véleményét. Az ilyen csalások gyakran az emberi kíváncsiságot és félelmet használják ki, ezért technikai eszközökkel önmagukban nehéz védekezni ellenük.
A „ClickFix” típusú támadások (magyarul nagyjából így fordíthatjuk le: „kattints ide, és ezzel megoldódik”) arról próbálnak meggyőzni, hogy a személyazonosságod igazolásához indíts el valamilyen parancsot a számítógépeden. Egy hagyományos CAPTCHA esetében ki kell választanod az összes motorkerékpárt vagy közlekedési lámpát. Ezután azonban az oldal arra kér, hogy nyomd meg a Win+R, majd a Ctrl+V, végül az Enter billentyűket. Miközben a CAPTCHA-n kiválasztod a motorkerékpárt vagy közlekedési lámpát, a weboldal észrevétlenül elhelyez egy parancsot a vágólapodon. Amikor megnyomod a Ctrl+V és Enter billentyűket, ezt a parancsot illeszted be, az Enter lenyomásával pedig el is indítod. A parancs letölt egy vírust, majd elindítja azt a számítógépeden, te pedig közben örülsz, hogy sikeresen bebizonyítottad – nem vagy robot.
Mit tegyél azonnal, ha elindítottál egy gyanús fájlt, vagy arra gyanakszol, hogy az eszközöd megfertőződött?
Az emberek erre általában túl későn jönnek rá. Többnyire csak akkor veszik észre a problémát, amikor gyanús vagy új bejelentkezésekről szóló értesítéseket kapnak a Google-tól vagy a Facebook-tól. A Shoptet e-mailes értesítést küld, ha valaki egy ismeretlen böngészőből kezdeményezett bejelentkezést. Ha ilyen értesítést kapsz, mindenképpen figyelj rá. Előfordulhat, hogy a bejelentkezést egy támadó hajtotta végre a saját számítógépéről.
Az infostealer típusú malware nem szeretne feltűnést kelteni, feladata egyszerűen az, hogy adatokat és hitelesítő információkat lopjon.
Ha felmerül a gyanú, vagy akár biztos a vírus jelenléte, a legfontosabb az, hogy minél előbb megváltoztasd a jelszavaidat – a webáruházhoz, az email fiókhoz, lehetőleg mindenhol. Csak ezután próbáld meg vírusmentesíteni a fertőzött eszközt – ilyenkor minden perc számít, a támadók automatizáltan próbálják ki az ellopott bejelentkezési adatokat.
A Google, a Facebook és a Shoptet lehetőséget biztosítanak arra, hogy megtekintsd a legutóbbi bejelentkezések listáját, és ezt érdemes alaposan átvizsgálni (Beállítások -> Adminisztráció -> Felhasználók menüpont alatt a Bejelentkezési kísérletek fülön). Bizonyos esetekben az ismeretlen eszközök eltávolíthatók a fiókból, máskor elegendő lehet a jelszó megváltoztatása.
Nézzük végig lépésről lépésre, hogy mit kell tegyünk ha azt gyanítjuk, hogy az admin felülethez tartozó jelszó kiszivárgott.
Ha arra gyanakszol, vagy van is rá bizonyítékod, hogy kiszivárgott a webáruház admin felülethez tartozó jelszavad, akkor:
Amennyiben valamiben nem vagy biztos, vagy valamit nem tudnál, írj vagy telefonálj a Shoptet ügyfélszolgálatának. Ez sokkal jobb, mint egyszerűen azt feltételezni, hogy “biztosan nem történt semmi”.
Végezd el a következő ellenőrzéseket:
Tanulj az esetből, korlátozd a jogosultságokat, töröld a régi felhasználókat, és mindenhol kapcsold be a kétfaktoros hitelesítést (2FA), ezzel akár a következő támadást is megakadályozhatod!
Változtasd meg a jelszavaidat egy nem fertőzött eszközről. Kezdd a webáruházzal, módosítsd az admin felülethez tartozó jelszót, és azonnal állítsd be a kétfaktoros hitelesítést (2FA). Ha a Shoptetnél e-mail-fiókod is van, ott se felejtsd el lecserélni a jelszót. Nézd meg azt is, hogy nem készített-e valaki új e-mail-fiókot (a csalók időnként ezt spamküldés céljából teszik). Ellenőrizd a Szerkesztőben található HTML-kódokat, és ellenőrizd a bankszámlaszám helyességét, hogy ne kerülhessen idegen számlaszám a kiküldött számlákra.
Nézd meg azt is, hogy történt-e olyan rendelés- vagy ügyféllista-exportálás, amelyet nem te kezdeményeztél.
A malware az angol malicious software, tehát rosszindulatú szoftver kifejezés rövidítése. Gyakran csak számítógépes vírusnak nevezik.
A malware-nek számos formája lehet. Az interjúban például szó esik a ransomware-ről is, amely titkosítja a merevlemezt, hozzáférhetetlenné teszi az adatokat, majd váltságdíjat követel azok esetleges visszaállításáért.
Azok a programok és kiegészítők a leginkább gyanúsak, amelyeket nem hivatalos forrásból töltesz le. Ilyenek például a játékokhoz készült nem hivatalos kiegészítők, vagy egy véletlenszerű fórumról letöltött kalózverziós Photoshop.
Jelszavakat, cookie-kat, szolgáltatásokhoz tartozó hozzáféréseket, dokumentumokat, és a kétfaktoros hitelesítés (2FA) megkerülésének lehetőségét.
Írjon megjegyzést