Parolele din peste 29.000 de corporații au fost puse în pericol. Cum prevenim o astfel de situație?

Securitatea unui furnizor nu o puteți controla, dar puteți limita paguba unui atac ca acesta: cu autentificare în doi pași pe toate conturile importante, cu parole unice pentru fiecare cont, schimbate imediat ce furnizorul anunță o breșă, și cu multă atenție la e-mailurile care apar după aceea.

Ce s-a întâmplat cu Passwordstate, în aprilie 2021?

În aprilie 2021, un grup de hackeri a compromis managerul de parole Passwordstate, după cum relata atunci Ars Technica. Potrivit producătorului, aplicația este folosită de peste 29.000 de companii, cu peste 370.000 de utilizatori, specialiști IT și de securitate.

Click Studios, producătorul aplicației, a anunțat că atacatorii au reușit să strecoare un program malițios în mecanismul de actualizare din aplicație (In-Place Upgrade). Clienții care au actualizat aplicația astfel între 20 și 22 aprilie 2021, într-un interval de aproximativ 28 de ore, au instalat odată cu actualizarea și programul malițios, numit Moserpass de cercetătorii firmei CSIS. Acesta trimitea atacatorilor informații despre server și, potrivit Click Studios, este posibil ca parolele salvate de clienții afectați să fi ajuns la atacatori. Actualizările făcute manual nu au fost compromise.

Atacul nu a expus, deci, parolele tuturor celor 29.000 de companii: Click Studios a spus că numărul clienților afectați pare „foarte mic”. Oricare dintre clienți putea însă instala actualizarea în acel interval, iar celor afectați producătorul le-a cerut să schimbe toate parolele salvate în aplicație. La câteva zile după atac, au apărut și e-mailuri de phishing care imitau mesajele Click Studios și răspândeau o variantă nouă a programului malițios.

De ce folosesc firmele manageri de parole?

Aplicațiile de tip manager de parole sunt foarte populare în mediul corporate, unde politicile de securitate cer parole complexe, deseori greu de memorat. Fără astfel de aplicații, utilizatorii ar fi nevoiți să noteze parolele în diverse locuri, lucru care ar genera breșe mari de securitate.

Passwordstate este un manager de parole proprietar, vândut în mare parte către companii, care îl instalează pe propriile servere. De regulă, este folosit pentru stocarea parolelor de VPN, pentru logarea în anumite aplicații sau chiar pentru accesarea echipamentelor de rețea.

Utilizatorii care aveau autentificare în doi pași pe serviciile ale căror parole erau în seif au fost mai bine protejați: atacatorii nu se puteau loga doar cu parola, fără „a doua metodă de logare”. Chiar și așa, parolele trebuiau schimbate, ca măsură de precauție.

Lecția atacului nu este renunțarea la managerul de parole. Un seif de parole bine protejat rămâne mult mai sigur decât parolele refolosite sau notate pe hârtie. Contează însă să-l protejați cu autentificare în doi pași și să știți dinainte ce faceți dacă furnizorul anunță o breșă.

Ce este un atac asupra lanțului de aprovizionare?

Este un atac în care hackerii nu țintesc direct firma, ci un furnizor al ei: un program, o actualizare sau o firmă de servicii prin care ajung apoi la clienți. Cazul Passwordstate seamănă cu atacul asupra SolarWinds, descoperit în decembrie 2020, în care o actualizare compromisă a programului Orion a ajuns la mii de organizații.

Pentru firmele care intră sub incidența NIS2, riscul venit de la furnizori nu mai este doar o problemă tehnică: OUG 155/2024, care transpune în România Directiva (UE) 2022/2555, le cere să țină sub control și securitatea lanțului de aprovizionare.

Recomandări pentru alegerea de parole sigure

• Folosiți generatoare de parole aleatorii, cum sunt cele din managerele de parole sau din browser: în acest fel, veți alege mereu parole sigure și diferite pentru fiecare cont. Mai multe găsiți în articolul cu reguli de bază pentru crearea de parole sigure.
• Activați autentificarea în doi pași peste tot pe unde puteți. În acest fel, logarea trebuie confirmată și de pe un al doilea dispozitiv: o aplicație de autentificare instalată pe telefon, o cheie de securitate sau, varianta cea mai slabă, un cod primit prin SMS.
• Folosiți chei de acces (passkeys) acolo unde sunt disponibile. Acceptate astăzi de Microsoft, Google și Apple, ele înlocuiesc parola cu o confirmare pe telefon sau pe calculator și rezistă la phishing.
• Ștergeți conturile pe care nu le mai folosiți. În felul acesta, reduceți numărul locurilor din care vă pot fi furate datele.
• Verificați periodic activitatea de pe conturile dumneavoastră. Dacă observați autentificări nefirești, schimbați parola de urgență.
• Verificați dacă adresa de e-mail a apărut în breșe cunoscute, pe Have I Been Pwned, și schimbați parolele conturilor afectate.
• Fiți atenți la e-mailurile care urmează unei breșe. Atacatorii se folosesc de vestea atacului ca să trimită mesaje false în numele furnizorului; cum le recunoașteți explicăm în articolul despre atacurile de tip phishing.

Cum protejează o firmă parolele angajaților în 2026?

Cu reguli aplicate centralizat, nu lăsate la alegerea fiecărui angajat:

• un manager de parole pentru echipă, cu seiful protejat prin autentificare în doi pași și cu acces, pentru fiecare om, doar la parolele de care are nevoie;
• autentificare în doi pași obligatorie pe e-mail (Microsoft 365 sau Google Workspace), pe VPN și pe conturile de administrator;
• conturi închise imediat ce un angajat pleacă din firmă;
• parole schimbate la fiecare schimbare a furnizorului de IT;
• un plan scris pentru incidente: cine schimbă parolele, în ce ordine și pe cine anunțați.

Cât de bine stă firma dumneavoastră la aceste capitole aflați dintr-un Audit IT gratuit.

RezolvIT este o companie de outsourcing IT, certificată ISO/IEC 27001, care ajută firmele cu securizarea infrastructurii și cu munca la distanță a angajaților. Pregătim conturile angajaților noi și închidem accesele celor care pleacă, iar când preluăm IT-ul de la alt furnizor, planul scris, gata în maximum 24 de ore, include și schimbarea parolelor. Detalii găsiți pe pagina Securitate IT.