Több ezer NordVPN felhasználó jelszava szivárgott ki

Alig néhány héttel a NordVPN legutóbbi bakija után a vállalat újabb, jóval súlyosabb biztonsági fiaskóba futott bele. A korábbi eset során a cég egyik szerveréhez, azon pedig titkosítási kulcsokhoz szereztek ismeretlen támadók hozzáférést, érzékeny felhasználói adatokat azonban nem tudtak megszerezni - most viszont annál inkább, ugyanis mint kiderült, a VPN szolgáltatás több ezer felhasználójának jelszavait gyűjtötték be ismeretlenek.

A mintegy kétezer felhasználó információit tartalmazó adatbázis több online fórumon is felbukkant, abban pedig az email címek mellett egyszerű szövegként tárolt jelszavak is ott voltak. Az adatok az Ars Technicához is eljutottak, a lap szerint pedig valós, működő azonosítókról van szó - írásában az oldal ráadásul arról is beszél, már számos felhasználó jelezte, hogy illetéktelenek fértek hozzá fiókjához.

Az érintett felhasználók email címei már a Have I Been Pwned (HIBP) adatszivárgás-értesítő szolgáltatáshoz is eljutottak, amely ki is küldte a figyelmeztetéseket - az Ars Technica szerint ugyanakkor további aggodalomra ad okot, hogy a laphoz eljutott email címek egy része hiányzott a HIBP adatbázisából, azaz fokozott veszélyben van kitéve.

A helyzeten az sem javít, hogy az egyszerű szövegként kiszivárgott jelszavak legnagyobb része kifejezetten gyenge, néhány esetben az megegyezik az emailes felhasználónévvel, vagy épp megtalálható a legtöbb brute-force szótárban. A lap szerint emiatt valószínűsíthető, hogy az elkövetők úgynevezett "credential stuffing" módszerrel szerezték meg az információkat. Utóbbi során a támadók automatizáltan próbálgatnak végig, korábbi adatszivárgások során napvilágra került felhasználónév-jelszó párosokat egy-egy szolgáltatásban - akik pedig különböző felületeken ugyanazt a jelszót használják, könnyen áldozatul eshetnek a hasonló próbálkozásoknak.

Égbe révedő informatikusok: az Időkép-sztori Mi fán terem az előrejelzés, hogy milyen infrastruktúra dolgozik az Időkép alatt, mi várható a deep learning modellek térnyerésével?

Ha valóban ez a helyzet, az azt jelenti, hogy ezúttal nem a NordVPN szerverein volt biztonsági rés, az elkövetők más, külső forrásokból begyűjtött adatokkal dolgoztak - és az ügynek nincs köze a néhány hete napvilágot látott fiaskóhoz. Bár a felelősség elsősorban a gyenge jelszavakat választó, ráadásul azokat több helyen is alkalmazó felhasználókat terheli, ahogy az Ars Technica is rámutat, egy kifejezetten biztonsági funkciót ellátó szolgáltatásnál, mint a NordVPN, elvárható lenne, hogy figyelmeztesse felhasználóit, ha külső adatszivárgásokban érintettek - ahogy azt például a Google is teszi. De láthatóan a cégnek az automatizált bejelentkezési kísérletek elcsípésében is van hova fejlődni.

A vállalat a lapnak küldött levelében egyébként arról beszél, maga is proaktívan ellenőrzi a hasonló külső fenyegetéseket, amelyekről időről időre értesíti is ügyfeleit - úgy tűnik azonban a mostani mintegy kétezer kiszivárgott azonosítót a cégnek nem sikerült elcsípnie. A kiszivárgott adatokat megosztó weboldalak jelentős részét mára törölték, a NordVPN felhasználóinak mindenesetre érdemes haladéktalanul ellátogatniuk a HIBP felületére, és ellenőrizni, érintettek-e az adatszivárgásban, majd megváltoztatniuk jelszavukat - és természetesen meggyőződni róla, hogy egy-egy azonosítót csak egy szolgáltatásban használnak.