Što učiniti ako vas hakiraju

Biti hakiran je stresno. Osjećaj može biti vrlo osoban, hitan i zbunjujući u isto vrijeme. Možda ćete dobiti upozorenje o neobičnoj prijavi, pronaći poruke koje niste poslali, izgubiti pristup računu, primijetiti nestanak novca ili čuti od prijatelja da su od vas primili sumnjive poveznice.

Najvažnije je izbjeći ishitrene odluke zbog panike. Napadači često računaju na brzinu, konfuziju i pritisak. Vaš cilj treba biti usporiti situaciju, ograničiti štetu, povratiti kontrolu, a zatim ukloniti slabosti koje su omogućile kompromitaciju.

Ovaj vodič prolazi kroz praktične korake ako su vam hakirani osobni ili poslovni računi, uređaji ili online usluge.

1. Odmah obavijestite poslodavca ako bi posao mogao biti pogođen

Ako postoji i najmanja šansa da vaš poslodavac, klijent ili neka druga organizacija može biti pogođena, odmah obavijestite odgovarajući IT ili sigurnosni tim. Nemojte čekati dok ne dobijete potpuni dokaz. To uključuje slučajeve kada je kompromitirani uređaj korišten za posao, prijavljen kao vlastiti uređaj (BYOD), korišten za pristup službenom e-mailu, za single sign-on, pristup upravitelju lozinki firme, VPN-u, administracijskom panelu, repozitoriju izvornog koda, cloud konzoli ili servisu za dijeljenje datoteka.

Ovo treba napraviti prije nego pokušate sami istražiti cijelu situaciju. Organizacija možda mora odmah opozvati sesije, promijeniti vjerodajnice, provjeriti logove, izolirati kompromitirane sustave ili onemogućiti pristup dok incident još traje.

Odgoda ove obavijesti može pogoršati štetu i izložiti vas disciplinskim mjerama ili odgovornosti ako organizacija pretrpi gubitke koje ste pravodobnim prijavljivanjem mogli spriječiti. Ako nije moguće da su pogođene poslovne usluge, uređaji, računi ili podaci – nastavite s osobnim koracima oporavka u nastavku.

2. Krenite s čistog uređaja

Ako mislite da su računalo ili telefon možda zaraženi, nemojte koristiti isti uređaj za resetiranje lozinki ili prijavu u važne račune. Zlonamjerni softver može bilježiti nove lozinke, ukrasti kolačiće sesije, snimati zaslon ili presresti kodove za oporavak.

Koristite uređaj kojem vjerujete, npr.:

• Potpuno ažuriran telefon ili računalo na kojem nema sumnjivih znakova kompromitacije
• Uređaj člana obitelji kojem vjerujete
• Radni uređaj pod nadzorom IT tima, ako oni potvrde da je siguran za korištenje

Ako nemate pristup čistom uređaju, odvojite sumnjivi uređaj od interneta i fokusirajte se prvo na traženje pomoći prije unošenja novih vjerodajnica.

3. Prvo osigurajte e-mail račun

Vaš e-mail račun često je ključ za sve ostalo. Ako napadač kontrolira vašu e-poštu, može resetirati lozinke za banke, trgovine, cloud spremište, društvene mreže, developerske platforme i poslovne alate.

Započnite s glavnim e-mail računom i provjerite sljedeće:

• Promijenite lozinku na novu, jedinstvenu i snažnu
• Omogućite višefaktorsku autentikaciju (MFA) ako već nije uključena
• Provjerite recovery (oporavak) e-mail adrese i telefonske brojeve
• Uklonite opcije za oporavak koje ne prepoznajete
• Provjerite pravila prosljeđivanja i filtere na sumnjive promjene
• Provjerite nedavne lokacije prijave i aktivne sesije
• Odjavite sve druge sesije, ako davatelj tu opciju nudi

Posebnu pažnju posvetite pravilima za dolaznu poštu. Napadači ponekad stvaraju filtere koji skrivaju sigurnosna upozorenja, prosljeđuju račune ili neprimjetno kopiraju mailove za resetiranje lozinke na drugu adresu.

4. Mijenjajte lozinke ispravnim redoslijedom

Nakon što osigurate e-mail, nastavite s računima koji mogu uzrokovati najviše štete. Nemojte trošiti najvažnije prve minute na račune male vrijednosti dok napadač još ima pristup banci, cloud spremištu ili administratorskim alatima.

Prioritet promjene lozinki neka bude ovim redom:

1. E-mail računi
2. Bankarski, kartični i računi za kriptovalute
3. Upravitelji lozinki, identitetski provideri i single sign-on računi
4. Cloud spremišta, backup i servisi za dijeljenje datoteka
5. Poslovni računi, administratorski paneli, hosting provideri i developerske platforme
6. Društvene mreže i aplikacije za razmjenu poruka
7. Računi za kupovinu, igranje, forume i druge nižeg rizika

Svaka nova lozinka mora biti jedinstvena. Ako koristite istu novu lozinku na više računa, jedan preostali slabi točka može ponovno otvoriti sve.

5. Opozovite sesije, uređaje, aplikacije i tokene

Promjena lozinke je važna, ali možda neće ukloniti napadača koji je već prijavljen. Mnoge usluge drže sesije aktivnim i nakon promjene lozinke, osim ako ih sami izričito ne opozovete.

Pronađite postavke kao što su:

• Odjavi sa svih uređaja
• Aktivne sesije
• Pouzdani uređaji
• Povezane aplikacije
• Aplikacijske lozinke
• API ključevi
• Ekstenzije preglednika
• OAuth pristup
• SSH ključevi
• Kodovi za oporavak

Uklonite sve što ne prepoznajete. Za poslovne ili developerske račune, rotirajte API tokene, deployment ključeve, SSH ključeve, webhookove i podatke servisnih računa koji su potencijalno izloženi.

6. Uključite snažniju višefaktorsku autentikaciju

Višefaktorska autentikacija (MFA ili 2FA) može spriječiti mnoge pokušaje preuzimanja računa i kada je lozinka ukradena. Ako MFA ranije nije bio uključen, sada ga aktivirajte na vašim važnim računima.

Gdje god je moguće, izaberite snažniju metodu:

• Hardverski sigurnosni ključevi
• Aplikacije za generiranje kodova (authenticator)
• Kodovi za oporavak pohranjeni offline na sigurnom

SMS kodovi su bolji nego ništa, ali su slabiji od aplikacija ili hardverskih ključeva. Telefonski brojevi mogu se prebaciti SIM swap napadima, presresti u posebnim situacijama ili zloupotrijebiti zbog slabih recovery procesa računa.

Kada uključite MFA, generirajte kodove za oporavak i negdje ih sačuvajte. U suprotnom, gubitak telefona ili sigurnosnog ključa može postati novi hitan problem.

7. Provjerite financijsku i identitetsku štetu

Ako kompromitirani račun ima veze s novcem, identifikacijskim dokumentima, računima, podatcima klijenata ili poreznim informacijama, pretpostavite da je napadač mogao kopirati korisne detalje čak i ako brzo povratite kontrolu.

Provjerite sljedeće:

• Bankovne i kartične transakcije
• Uplate putem aplikacija i spremljene kartice
• Povlačenja iz kripto mjenjačnica i njihove API ključeve
• Nove adrese za dostavu u online trgovinama
• Nova pretplaćivanja ili kupnje
• Izvješća kreditnih ureda ili usluge praćenja identiteta, gdje su dostupne
• Portale za poreze, osiguranje ili državne servise

Odmah kontaktirajte banku ili pružatelja usluga plaćanja ako primijetite sumnjive aktivnosti. U većini slučajeva, brža prijava poboljšava izglede za poništenje prijevara i smanjenje odgovornosti.

8. Sačuvajte dokaze prije nego obrišete sve

Prirodno je poželjeti što prije sve očistiti, ali prerano brisanje poruka, logova ili datoteka može otežati istragu. Prije uklanjanja sumnjivih stavki, sačuvajte osnovne dokaze. Napravite to prije wipeanja (brisanja) ili ponovne instalacije uređaja, osobito ako su uključeni novac, podaci tvrtke, podaci o klijentima, ransomware ili pravne obaveze.

Korisni dokazi su:

• E-mailovi s upozorenjima o prijavi
• Screenshotovi sumnjivih aktivnosti računa
• Adrese pošiljatelja i zaglavlja s phishing e-mailova
• ID-ovi transakcija i detalji računa
• Lokacije i vremena prijava
• Imena nepoznatih uređaja ili aplikacija
• Brojevi support (podrška) tiketa
• Originalni hard disk ili SSD, ako je uređaj sam predmet forenzičke analize

Ove informacije mogu pomoći timovima za podršku, bankama, policiji, osiguravateljima, internim IT timovima ili stručnjacima za incidente da shvate što se dogodilo.

Ako je prijenosnik ili računalo u pitanju, razmislite o uklanjanju originalnog diska i instalaciji novog/čistog diska za novu instalaciju sustava. Tako ćete imati čisti sustav za rad, a originalni disk sačuvati za potrebu istrage. Ako se radi o poslovnom incidentu, prvo pitajte IT ili stručnjaka za incidentne situacije prije izmjene diskova ili ponovnog paljenja uređaja.

9. Ponovno izgradite kompromitirane uređaje od nule

Ako je kompromitacija možda započela zaraznim softverom, malicioznom privitkom, lažnom ekstenzijom za preglednik, piratskim softverom ili nepoznatim alatima za remote pristup, povrat računa nije dovoljan. Uređaj više možda nije pouzdan. Napadač je mogao instalirati mehanizme za skriveni stalni pristup, promijeniti sistemske postavke, uhvatiti sesijske kolačiće ili ostaviti softver koji odmah krade nove podatke koje unesete.

U toj situaciji, sigurnije je ne pokušavati ručno „čistiti” uređaj. Umjesto toga, prvo sačuvajte potrebne dokaze, napravite backup samo podataka koji su vam zaista potrebni, obrišite uređaj i svježe instalirajte operativni sustav.

Važne mjere opreza:

• Kreirajte instalacijski USB stick na sigurnom, nepokompromitiranom uređaju
• Preuzmite instalacijski medij isključivo s web stranica službenog proizvođača operativnog sustava
• Ne koristite stare image-e ili recovery datoteke ako niste sigurni kad je kompromitacija počela
• Záleđite dokumente, fotografije i druge važne datoteke, ali ne prebacujte sumnjive izvršne datoteke, skripte ili nepoznate instalacijske pakete
• Ponovno instalirajte aplikacije isključivo s pouzdanih izvora umjesto automatskog masovnog vraćanja backup-a
• Potpuno ažurirajte OS i preglednik prije prijave u važne račune
• Ponovno rotirajte lozinke ako ste ih upisivali dok je uređaj potencijalno i dalje bio kompromitiran

Za kompromitaciju visokog rizika – osobito ransomware, poslovne e-mail prevare, preuzimanje administratorskih računa ili sumnju na krađu podataka – zatražite stručnu pomoć prije brisanja sustava. Kod poslovnih korisnika, dokaze može biti potrebno sačuvati radi istrage, osiguranja, ispunjavanja pravnih obveza ili informiranja korisnika.

10. Obavijestite ljude koji mogu biti pogođeni

Ako su napadači koristili vaš račun za slanje poruka, računa, poveznica ili datoteka – upozorite one koji su ih mogli primiti. Neka upozorenje bude kratko i precizno.

Primjer:

Moj račun je bio kompromitiran. Molim vas, nemojte otvarati poveznice, privitke, zahtjeve za uplatu ili dijeljene datoteke koje su od mene stigle između [vrijeme] i [vrijeme]. Povratio/la sam pristup i istražujem što se dogodilo.

Za poslovne korisnike, obavješćivanje može biti i zakonska ili ugovorna obaveza. Ako su izloženi podaci o klijentima, zaposlenicima, podaci o plaćanju, zdravstveni podaci ili povjerljivi materijali, uključite pravni, compliance i sigurnosni tim što prije.

11. Prijavite incident gdje je to potrebno

Ne zahtijevaju svi hakirani računi na društvenim mrežama izvještavanje policiji, ali neki incidenti to trebaju. To se odnosi osobito na financijsku prijevaru, krađu identiteta, ransomware, kompromitaciju poslovnih e-mailova, krađu podataka o klijentima ili prijetnje koje se tiču osobne sigurnosti.

Korisni kanali za prijavu su:

• Pogođeni pružatelj usluge
• Vaša banka ili pružatelj platnih usluga
• IT ili sigurnosni tim vašeg poslodavca
• Lokalna policija ili nacionalni cyber centar
• Osiguravatelji, ako je uključeno cyber osiguranje
• Klijenti, partneri ili regulatori – ako je izlaganje podataka potvrđeno ili vrlo vjerojatno

Prijavljivanje stvara i pisani trag. Taj trag može biti važan kasnije, posebno ako se prijevarna aktivnost nastavi ili morate dokazati da ste pravovremeno reagirali.

Ako ste tvrtka – tretirajte ovo kao incident

Za organizacije, hakirani račun rijetko je samo problem jednog računa – često je prvi vidljivi znak većeg incidenta. Kompromitirana e-mail adresa može izložiti korisničke komunikacije. Ukradeni administratorski podatci mogu dovesti do krađe podataka. Procurjeli ključ za deployment može ugroziti produkcijske sustave.

Poslovni odgovor treba sadržavati:

• Izolaciju pogođenih uređaja i računa
• Sačuvavanje logova prije nego što se izbrišu/rotiraju
• Utvrđivanje što je napadač pristupio, mijenjao, kopirao ili stvorio
• Rotaciju lozinki, API ključeva, certifikata, tokena i kodova za oporavak koji su mogli biti izloženi
• Pregled pravila prosljeđivanja pošte, OAuth aplikacija, administratorskih uloga i novih korisničkih računa
• Uklanjanje zastarjelih pristupa bivših zaposlenika, dobavljača i podugovarača
• Jasnu komunikaciju prema pogođenim korisnicima i partnerima
• Dokumentiranje što se dogodilo i što će se mijenjati nakon incidenta

Ako su incidentom pogođeni podaci pod regulativom, korisnički podaci, ransomware, produkcijska infrastruktura ili povlašteni pristup, potražite stručnu podršku što prije. Odgađanje može otežati sanaciju i prikupljanje dokaza.

Uobičajene pogreške koje treba izbjegavati

Neke dobrohotne radnje mogu otežati oporavak ili donijeti novi rizik.

Izbjegavajte ove pogreške:

• Neobavještavanje poslodavca / IT odjela odmah
• Resetiranje lozinki s uređaja koji može biti zaražen
• Korištenje iste nove lozinke na više računa
• Ignoriranje pravila prosljeđivanja pošte i recovery postavki
• Zaboravljanje opoziva aktivnih sesija i povezanih aplikacija
• Brisanje sumnjivih e-mailova prije spremanja dokaza
• Pretpostavka da MFA automatski znači da je račun siguran
• Dani čekanja prije kontakta s bankom ili pružateljem usluge nakon financijske prijevare

Nakon oporavka: smanjite šansu za ponovnu kompromitaciju

Kad ste stabilizirali trenutnu situaciju, odvojite vrijeme na jačanje postavki sigurnosti. Većina provala u račune ne događa se zbog sofisticiranih napada, već zbog ponovnog korištenja lozinki, phishinga, slabih opcija za oporavak, zlonamjernog softvera, izloženih uređaja ili neuklonjenih starih pristupa.

Praktična lista za jačanje zaštite:

• Koristite jedinstvene lozinke za svaki račun
• Spremajte lozinke u pouzdani upravitelj lozinki, ne u dokumentima, bilješkama ili chat porukama
• Omogućite MFA na e-mailu, bankama, cloud-u, poslovnim i društvenim računima
• Zamijenite MFA putem SMS-a jačim metodama gdje možete
• Redovno ažurirajte uređaje, preglednike i aplikacije
• Uklonite nepotrebne aplikacije, ekstenzije i povezane servise
• Preispitajte postavke za oporavak računa svakih par mjeseci
• Redovno radite sigurnosnu kopiju važnih datoteka, na način da ransomware ne može lako prebrisati backup
• Naučite članove obitelji ili zaposlenike kako prepoznati phishing i lažne zahtjeve za podršku

Sigurnost ne mora biti savršena da bi bila znatno bolja. Nekoliko dosljednih navika uklanja najlakše napadljive putove i smanjuje štetu ako se opet nešto dogodi.

Završna misao

Biti hakiran nije uvijek znak da ste učinili nešto glupo. Napadači stalno ciljaju ljude i tvrtke, a čak i pažljivi korisnici mogu biti prevareni uvjerljivom phishing stranicom, ponovno korištenom lozinkom iz stare provale ili uređajem koji je tiho kompromitiran.

Najvažniji je pravodobni odgovor: prvo osigurajte e-mail, mijenjajte lozinke s pouzdanog uređaja, opozovite sesije, uključite snažan MFA, provjerite financijski rizik, sačuvajte dokaze i obavijestite sve koji mogu biti pogođeni. Nakon toga, unaprijedite sustave i navike kako bi sljedeći napad bio manje vjerojatan.