Niebezpiecznik

The internet is for sex, to znana maksyma. Serwisów umożliwiających zdradę małżeńską jest od groma. Jednym z najpopularniejszych, reklamujących się sloganem “życie jest zbyt krótkie, skocz w bok” był Ashley Madison, na którym konta mają także Polacy. Niestety, 11 lipca temu serwisowi zachęcającemu do zdrady wykradziono pełną bazę danych, a także klucze domenowe i prywatne dokumenty pracowników serwisu. Włamywacz postawił ultimatum — serwis ma zniknąć z sieci. Nie zniknął …i za karę dane osobowe wszystkich jego użytkowników oraz dane pracowników serwisu właśnie zostały opublikowane w internecie, a obecnie są przeglądane przez setki internautów…

Cieżko o anonimowość przy szukaniu “randki”

Kiedy zdradzasz, zapewne zależy Ci na anonimowości, a przynajmniej w takim zakresie, żeby o Twoich wybrykach nie dowiedziała się twoja druga połówka. Trudno jednak umówić się na skok w bok nie ujawniając przyszłej kochance swojego wyglądu albo kontaktowego numeru telefonu czy adresu e-mail. Niestety, jak wynika z opublikowanych przez włamywacza danych, nie wszyscy użytkownicy serwisu Ashley Madison pomyśleli o tym, aby skorzystać z dedykowanego numeru telefonu i adresu e-mail. Sporo ujawniało też swoje seksualne fantazje. Co gorsza, serwis pobierał od użytkowników opłaty — a jak wiadomo, jeszcze trudniej o kartę płatniczą na fałszywe nazwisko…

Polacy także korzystali z tego serwisu

Krótko mówiąc, znakomita większość randkowiczów, oczekująca nagości, właśnie została obnażona. Można zażartować, że zła karma wraca. Obecnie setki osób analizują dane z wycieku i robią rozmaite statystyki — np. to ile użytkowników serwisu korzystało z firmowych skrzynek albo z domen rządowych. W przypadku rządowych i wojskowych domen USA doliczono się 15 000 kont… Warto jednak nadmienić, że konto na dowolny adres e-mail mógł założyć każdy (takie konto może istnieć w dumpie nawet, jeśli właściciel e-maila, któremu ktoś podlożył świnię, nie kliknął w link z potwierdzeniem).

Jakie dane wyciekły?

W opublikowanym 10 gigabajtowym zrzucie znajdują się dane ok. 36 milionów użytkowników:

Imiona i Nazwiska użytkowników
Adresy e-mail
Numery telefonów
Hashe haseł (silne, bcrypt)
Profile członków (wysokość, waga)
Preferencje seksualne (“chętny do trójkąta”, “niewolnik”, itp.)
Transakcje kartowe (częściowe dane karty płatniczej)

fot. arstechnica

Ponieważ w samym dumpie nie ma bezpośrednich odwołań do serwisu Ashley Madison, a wiele z kont jest ewidentnie “tymczasówkami, część z internatuów uważała, że dane mogą być sfałszowane. Tak też twierdzili twórcy serwisu. Niestety, bardziej techniczni użytkownicy serwisu, którzy pobrali zrzut, a którzy rejestrowali swoje konta na dedykowane i używane tylko do tego celu e-maile, potwierdzili ich obecność w bazie. Prawdziwość wycieku potwierdza także zawartość kont z bugmenot, które założono przed włamaniem.

…ale to nie wszystko

W dumpie znajdują się klucze do domeny Windowsa, szereg wewnętrznych dokumentów (kontrakty, opisy technik sprzedażowych, itp.) oraz dane kont PayPal managerów serwisu.

To sugeruje, że atakujący nie tylko przejęli kontrolę nad serwisem internetowym, a nad całością infrastruktury — takżę biurowej — firmy prowadzącej serwis.

Co wiemy na temat przyczyn incydentu i wycieku?

Do tej pory nie jest jasne jak włamywacze wykradli dane użytkowników i pracowników serwisu. Udostępnienie wewnętrznych dokumentów może sugerować, że któryś z pracowników serwisu padł ofiarą phishingu lub otworzył zainfekowany załącznik. Atakujący, który uzyskał dostęp do skrzynki pocztowej mógł następnie poznać wewnętrzne dokumenty firmowe, w tym (co zresztą znajduje się w dumpie) dane dostępowe do serwerów.

Jak dokładnie wygląda taka eskalacja ataku — od przejęcia skrzynki e-mail, do przejęcia kontroli nad systemami finansowo-księgowymi firmy — opisaliśmy ostatnio w artykule Jak wyłudzono 467 milionów dolarów. Zacytujmy tu fragment:

Podczas wykonywania przez nas testów penetracyjnych, jeśli klient dopuści także ataki socjotechniczne, to nasz zespół bezpieczeństwa zawsze osiąga 100% skuteczność w uzyskaniu dostępu do nieautoryzowanych danych firmowych.

Ataki z reguły zaczynają się od podstawienia fałszywego serwisu imitującego firmowego webmaila, albo inny z systemów, z których korzystają pracownicy audytowanej firmy. Potem następuje rozesłanie zespoofowanego e-maila i przejęcie haseł od tych z pracowników, którzy nie zauważą różnicy pomiędzy “domeną” a “dorneną”. Kiedy pozyskamy dostęp do skrzynki e-mail, praktycznie zawsze jesteśmy w stanie nie tylko znaleźć “wrażliwe” dokumenty, ale również precyzyjnie zmapować strukturę zatrudnienia w firmie i następnie wykorzystać ją do eskalacji ataku na kolejne osoby. Tym razem nie musimy już “spoofować” e-maili. W eskalacji ataku często pomaga nam wykorzystywanie przez pracowników tych samych haseł do wielu systemów …i zmęczenie (rozkojarzenie) ofiar. Większość ataków celowo wykonujemy tuż przed końcem dnia pracy, kiedy czujność jest niższa, a ewentualna wpadka spowoduje, że dział bezpieczeństwa będzie miał olbrzymi problem, aby wszystkich skutecznie powiadomić. Nie wszyscy przecież mają telefony służbowe, albo — jeśli je mają — odbierają je po godzinach pracy. W trakcie prowadzonych przez nas ataków, nie tylko wykradaliśmy dane ze skrzynek e-mailowych kadry zarządzającej, ale również obchodziliśmy systemy dwuskładnikowego uwierzytelnienia, pozyskiwaliśmy dane z systemów finansowo księgowych i sami podstawialiśmy fałszywe faktury.

Za hipotezami dotyczącymi złośliwego oprogramowania i nieautoryzowanego dostępu do komputerów w sieci firmowej przemawia także fakt, że włamywaczom udało się pozyskać klucze domenowe. Ciężko jest tego dokonać nie mając dostępu do komputera znajdującego się w domenie — sam dostęp do skrzynki pocztowej zazwyczaj nie wystarcza (chyba, że ktoś wystawia swój kontroler do internetu…)

Korzystam z portali “randkowych” — co robić, jak żyć?

Jeśli już myślicie o skoku w bok z wykorzystaniem serwisu internetowego, zadbajcie o swoje bezpieczeństwo (i prywatność).

• Użyj fałszywych danych osobowych i dedykowanego e-maila
• Użyj dedykowanego tylko temu celowi telefonu komórkowego z dedykowaną kartą SIM.
• Nie loguj się do serwisu ze swojego adresu IP. Nawet korzystając z lewych danych, można z dużym prawdopodobieństwem ustalić, że miałeś konto w serwisie, porównując twój domowy/firmowy adres IP z adresem IP w bazie danych (serwisy zazwyczaj przechowują adres IP pierwszej rejestracji i ostatniego logowania).
• >Płatności dokonuj kartą prepaidową, nie zawierającą danych osobowych.
• Traktuj wszystkie dane umieszczane i przesyłane przez internet jako publicznie dostępne. Zawsze i dla każdego. Pamiętaj, że wysyłając komuś (nawet prywatnie) swoje zdjęcie, nie masz wpływu na to czy rzeczywiście będzie ono widziane tylko dla was dwojga. Abstrahując od zaufania do rozmówcy, błąd programistyczny albo włamanie (jak w tym przypadku) może sprawić, że dane wyciekną i ktoś zobaczy cię (nago albo w przebraniu pokojówki).

I na koniec oczywiście najskuteczniejsza rada: nie zdradzaj swojej partnerki (partnera).

PS. Jeśli korzystaliście z serwisu Ashley Madison, dajcie znać (w komentarzach albo przez formularz kontaktowy — obie formy komunikacji współpracują z Torem). Z chęcią dowiemy się, czy gra była warta świeczki oraz czy wasze dane są w wycieku.

Aktualizacja 20.08.2015
Pojawiają się pierwsze historie użytkowników ujawnionych przez wyciek. Jednym z nich jest homoseksualny Arab, który obawia się o swoje życie i po wycieku rozpoczął ucieczkę za granicę. Mieszka bowiem w Arabii Saudyjskiej, gdzie za stosunki homoseksualne czeka go ukamienowanie…