Čo robiť, ak vás hacknú

Byť hacknutý je stresujúce. Môže to pôsobiť osobne, naliehavo a zmätočne naraz. Môžete dostať podivné upozornenie na prihlásenie, nájsť správy, ktoré ste neposlali, stratiť prístup k účtu, všimnúť si chýbajúce peniaze alebo vám kamaráti oznámia, že od vás dostali podozrivé odkazy.

Najdôležitejšie je vyhnúť sa panickým rozhodnutiam. Útočníci často spoliehajú na rýchlosť, zmätok a nátlak. Vaším cieľom je spomaliť situáciu, obmedziť škody, získať kontrolu a potom odstrániť slabé miesta, vďaka ktorým k narušeniu došlo.

Tento návod popisuje praktické kroky, ktoré by ste mali urobiť, ak bol hacknutý váš osobný účet, firemný účet, zariadenie alebo online služba.

1. Ihneď informujte zamestnávateľa, ak to môže ovplyvniť prácu

Ak je čo i len malá šanca, že by to mohlo ovplyvniť vášho zamestnávateľa, zákazníka alebo inú organizáciu, okamžite informujte príslušné IT alebo bezpečnostné oddelenie. Nečakajte, kým budete mať kompletné dôkazy. To platí aj v prípadoch, keď bolo napadnuté zariadenie používané na pracovné účely, bolo registrované ako BYOD, mali ste na ňom firemný e-mail, používali ste ho na jediné prihlásenie, alebo ste boli prihlásený do firemného správcu hesiel, VPN, administračného panela, repozitára zdrojových kódov, cloudového prostredia alebo zdieľania súborov.

Toto by malo prebehnúť skôr, ako sa pokúsite všetko vyšetrovať sami. Organizácia možno bude musieť zrušiť relácie, zmeniť prístupové údaje, pozrieť logy, izolovať postihnuté systémy alebo dočasne zablokovať prístup ešte počas incidentu.

Oddialiť toto oznámenie môže zhoršiť škody a vystaviť vás disciplinárnym opatreniam či zodpovednosti, ak v dôsledku neskorého hlásenia vzniknú organizácii straty, ktoré mohli byť minimalizované promptným konaním. Ak nemôžu byť žiadne firemné služby, zariadenia, účty ani dáta ovplyvnené, pokračujte nižšie podľa krokov pre osobné zotavenie.

2. Začnite z čistého zariadenia

Ak máte podozrenie, že je váš počítač alebo telefón infikovaný, nepoužívajte toto isté zariadenie na resetovanie hesiel alebo prihlasovanie do dôležitých účtov. Malvér môže zaznamenať nové heslá, kradnúť session cookies, snímať obrazovku alebo zachytiť obnovovacie kódy.

Použite zariadenie, ktorému dôverujete, napríklad:

• Úplne aktualizovaný telefón alebo počítač, ktorý nejaví známky kompromitácie
• Zariadenie člena rodiny, ktorému dôverujete
• Firemné zariadenie, ak vám IT oddelenie potvrdí, že je bezpečné

Ak nemáte prístup k čistému zariadeniu, odpojte podozrivé zariadenie od internetu a zamerajte sa na získanie pomoci skôr, než zadáte akékoľvek nové údaje.

3. Najprv si zabezpečte e-mailový účet

Váš e-mail je často kľúčom ku všetkému ostatnému. Ak má útočník kontrolu nad vaším e-mailom, môže resetovať heslá k bankám, obchodom, cloudovým úložiskám, sociálnym sieťam, vývojárskym platformám či pracovným nástrojom.

Začnite svojím hlavným e-mailovým účtom a skontrolujte nasledovné:

• Zmeňte heslo na nové, jedinečné a silné
• Zapnite viacfaktorovú autentifikáciu, ak ešte nie je aktívna
• Skontrolujte záložné e-maily a telefónne čísla
• Odstráňte možnosti obnovy, ktoré nepoznáte
• Skontrolujte pravidlá preposielania a filtre na podozrivé zmeny
• Pozrite si nedávne lokality prihlásenia a aktívne relácie
• Odhláste všetky ostatné relácie, ak to poskytovateľ ponúka

Špeciálnu pozornosť venujte poštovým pravidlám. Útočníci niekedy vytvárajú filtre, ktoré skrývajú bezpečnostné upozornenia, preposielajú faktúry alebo ticho kopírujú správy o resetovaní hesla na inú adresu.

4. Meníte heslá v správnom poradí

Po zabezpečení e-mailu pokračujte účtami, ktoré môžu spôsobiť najväčšie škody. Neplytvajte prvými kritickými minútami na účtoch s nízkou hodnotou, kým má útočník stále prístup k bankovníctvu, cloudovému úložisku alebo administrátorským nástrojom.

Prioritizujte účty v tomto poradí:

1. E-mailové účty
2. Bankové, platobné a kryptomenové účty
3. Správcovia hesiel, poskytovatelia identity a účty na jediné prihlásenie
4. Cloudové úložiská, zálohy a zdieľané súbory
5. Pracovné účty, administrátorské panely, hostingy a vývojárske platformy
6. Sociálne siete a správy
7. Nákupné, herné, fóra a iné menej rizikové účty

Každé nové heslo musí byť jedinečné. Ak použijete to isté nové heslo na viacerých účtoch, jedna zvyšná slabina môže ohroziť všetko znova.

5. Zrušte relácie, zariadenia, aplikácie a tokeny

Zmena hesla je dôležitá, ale môže neodstrániť útočníka, ktorý je už prihlásený. Mnohé služby nechávajú aktívne sessions aj po zmene hesla, ak ich explicitne nezrušíte.

Hľadajte nastavenia ako:

• Odhlásiť zo všetkých zariadení
• Aktívne relácie
• Dôveryhodné zariadenia
• Pripojené aplikácie
• Heslá pre aplikácie
• API kľúče
• Rozšírenia prehliadača
• Prístupy OAuth
• SSH kľúče
• Obnovovacie kódy

Odstráňte všetko, čo nepoznáte. Pri firemných alebo vývojárskych účtoch vymeňte API tokeny, deploy kľúče, SSH kľúče, webhooky a prístupové údaje ku službe, ktoré mohli byť vystavené.

6. Zapnite silnejšie viacfaktorové overenie

Viacfaktorová autentifikácia, často označovaná ako MFA alebo 2FA, dokáže zastaviť mnoho pokusov o prevzatie účtu, aj keď je heslo ukradnuté. Ak ste MFA nemali zapnutú, zapnite ju teraz na vašich dôležitých účtoch.

Uprednostnite silnejšie možnosti, ak sú dostupné:

• Hardvérové bezpečnostné kľúče
• Autentifikačné aplikácie
• Záložné kódy uložené offline

Kódy posielané cez SMS sú lepšie ako žiadny druhý faktor, ale sú slabšie ako aplikácie alebo hardvérové možnosti. Telefónne číslo môže byť ukradnuté cez SIM swap útok, zachytené v niektorých prípadoch alebo zneužité cez slabé procesy obnovy účtu.

Po zapnutí MFA si vygenerujte zálohové kódy a bezpečne ich uložte. Inak strata telefónu alebo bezpečnostného kľúča môže prerásť do ďalšieho núdzového stavu.

7. Skontrolujte finančné a identitné škody

Ak sa napadnutý účet týka peňazí, identifikačných údajov, faktúr, zákazníckych dát alebo daňových informácií, predpokladajte, že útočník si mohol skopírovať užitočné informácie, aj keď sa vám podarí rýchlo obnoviť prístup.

Skontrolujte:

• Bankové a kartové transakcie
• Platobné aplikácie a uložené karty
• Výbery na kryptomenových burzách a API kľúče
• Nové poštové adresy v online obchodoch
• Nové predplatné alebo nákupy
• Kreditné reporty alebo sledovanie identity, kde je dostupné
• Daňové, poisťovacie alebo vládne portály

Okamžite kontaktujte svoju banku alebo poskytovateľa platobných služieb, ak vidíte podozrivú aktivitu. Rýchle nahlásenie väčšinou zvyšuje šancu na zvrátenie podvodných transakcií alebo minimalizuje vašu zodpovednosť.

8. Zachovajte dôkazy predtým, než všetko vymažete

Prirodzene chcete čo najskôr všetko vyčistiť, ale predčasné vymazanie správ, logov alebo súborov môže sťažiť vyšetrovanie. Skôr než podozrivé veci odstránite, zachovajte základné dôkazy—najmä pred preformátovaním alebo preinštalovaním zariadenia, hlavne ak sú v hre peniaze, firemné dáta, zákaznícke údaje, ransomvér alebo právne povinnosti.

Užitočné dôkazy zahŕňajú:

• E-maily s upozornením na prihlásenie
• Screenshoty podozrilej aktivity na účte
• Adresy odosielateľov a hlavičky správ podvodných e-mailov
• ID transakcií a detaily faktúr
• Lokality a časy prihlásení
• Mená neznámych zariadení alebo aplikácií
• Čísla rezervačných lístkov podpory
• Originálny harddisk či SSD, ak zariadenie môže potrebovať forenznú analýzu

Tieto informácie môžu pomôcť podporným tímom, bankám, polícii, poisťovniam, internému IT alebo bezpečnostným riešiteľom pochopiť, čo sa stalo.

Ak notebook či PC umožňuje, zvážte vybratie pôvodného disku a inštaláciu nového disku pre čistý operačný systém. Tak získate čistý systém na prácu a zároveň zachováte disk pre prípadné vyšetrovanie. Pri firemných prípadoch sa pred výmenou diskov alebo opätovným zapnutím zariadenia poraďte s IT oddelením alebo incident manažérom.

9. Znovu vybudujte kompromitované zariadenie od nuly

Ak kompromitácia mohla začať malvérom, škodlivou prílohou, falošným rozšírením prehliadača, pirátskym softvérom alebo neznámymi nástrojmi na vzdialený prístup, samotné obnovenie účtov nestačí. Samotné zariadenie už nemusí byť dôveryhodné. Útočník mohol nainštalovať persistenčné mechanizmy, upraviť systémové nastavenia, zachytiť session cookies či nasadiť softvér, ktorý ukradne nové údaje hneď, ako ich zadáte.

V takej situácii je bezpečnejšie nesnažiť sa zariadenie ručne "čistiť". Bezpečnejšie je najprv uchovať potrebné dôkazy, zálohovať len naozaj potrebné dáta, zariadenie vymazať a nainštalovať čistý operačný systém.

Dôležité opatrenia:

• Vyrobte inštalačný USB kľúč na nezneužitom zariadení
• Stiahnete inštalačné súbory iba z oficiálnych stránok výrobcu systému
• Nereštorujte staré zálohy, ak neviete, kedy kompromitácia vznikla
• Zálohujte dokumenty, fotky a dôležité súbory, ale nepresúvajte neznáme .exe, skripty či inštalačky
• Reinstalujte aplikácie len z dôveryhodných zdrojov, nie automatickým obnovovaním všetkého naraz
• Úplne aktualizujte systém a prehliadač pred prihlásením do dôležitých účtov
• Zmeňte heslá opäť, ak ste ich na zariadení zadávali ešte počas možnej kompromitácie

Pri vážnych prípadoch—najmä ransomvér, kompromitácia firemných účtov, prevzatie administrátorskeho účtu či podozrenie na krádež dát—zvážte profesionálnu pomoc skôr, než systém premazete. Vo firemných prípadoch môžu byť dôkazy potrebné pre vyšetrovanie, poistné plnenie, právne povinnosti či oznamovanie zákazníkom.

10. Informujte ľudí, ktorí môžu byť ovplyvnení

Ak útočníci použili váš účet na rozposielanie správ, faktúr, odkazov alebo súborov, upozornite tých, ktorí ich mohli dostať. Buďte stručný a vecný.

Napríklad:

Môj účet bol kompromitovaný. Prosím, neotvárajte odkazy, prílohy, platobné požiadavky ani zdieľané súbory odo mňa zaslané medzi [čas] a [čas]. Prístup som obnovil a pracujem na dôkladnej kontrole.

Pre firmy môže byť oznámenie tiež zákonnou alebo zmluvnou povinnosťou. Ak mohli byť vystavené zákaznícke údaje, údaje zamestnancov, platby, zdravotné údaje či dôverný klientský materiál, ešte pred vyrozumením zahrňte do riešenia právne, compliance a bezpečnostné oddelenia.

11. Nahláste incident tam, kde je to vhodné

Nie každý hacknutý sociálny účet potrebuje hlásenie na políciu, ale niektoré prípady áno. Týka sa to najmä finančného podvodu, krádeže identity, ransomvéru, firemnej kompromitácie e-mailu, ukradnutých zákazníckych dát alebo priameho ohrozenia osobnej bezpečnosti.

Užitočné komunikačné kanály:

• Prevádzkovateľ služby
• Vaša banka alebo platobný poskytovateľ
• Firemné IT alebo bezpečnostný tím
• Miestna polícia alebo národné portály pre kyberkriminalitu
• Poisťovne, ak máte kybernetické poistenie
• Zákazníci, partneri alebo regulátori, ak je potvrdené alebo pravdepodobné únik dát

Hlásenie zároveň vytvára záznam. Ten môže byť dôležitý, ak podvodná aktivita pokračuje alebo ak budete neskôr musieť preukazovať, že ste konali rýchlo.

Ak podnikáte, považujte to za bezpečnostný incident

Pre organizácie nie je hacknutý účet len individuálny problém, ale často prvý viditeľný znak širšieho incidentu. Kompromitovaný e-mail môže odhaliť zákaznícke konverzácie. Ukradnuté administrátorské heslo môže viesť ku krádeži dát. Uniknutý deploy kľúč môže zasiahnuť aj produkčné systémy.

Firemná reakcia by mala zahŕňať:

• Izolovanie postihnutých zariadení a účtov
• Zachovanie logov pred pretočením alebo zmazaním
• Zistenie, k čomu mal útočník prístup, čo menil, kopíroval alebo vytvoril
• Zmena hesiel, API kľúčov, certifikátov, tokenov a obnovovacích kódov, ktoré mohli byť ohrozené
• Kontrola pravidiel preposielania mailov, OAuth aplikácií, admin rolí a nových účtov
• Odstránenie prístupu pre bývalých zamestnancov, dodávateľov a externistov
• Jasná komunikácia s ovplyvnenými partnermi či zákazníkmi
• Dokumentácia toho, čo sa stalo a aké zmeny nasledovali

Ak incident zahŕňa regulované dáta, zákaznícke dáta, ransomvér, produkčné prostredie či privilégiovaný prístup, privolajte odborníkov čo najskôr. Prílišné čakanie sťažuje obmedzenie škôd a zachytenie dôkazov.

Bežné chyby, ktorým sa vyhnúť

Niektoré dobre mienené kroky môžu obnovu sťažiť alebo vytvoriť nové riziko.

Vyhnite sa týmto chybám:

• Okamžite neinformovať zamestnávateľa / IT
• Resetovať heslá z potenciálne infikovaného zariadenia
• Použiť jedno nové heslo na viacerých účtoch
• Ignorovať pravidlá preposielania e-mailov či možnosti obnovy
• Zabudnúť odvolať aktívne relácie a pripojené aplikácie
• Vymazať podozrivé e-maily pred zálohovaním dôkazov
• Spoliehať sa, že MFA znamená automatickú bezpečnosť účtu
• Čakať niekoľko dní s kontaktovaním banky alebo služby po finančnom podvode

Po obnove: znížte šancu, že sa to zopakuje

Keď je akútny problém zažehnaný, venujte čas posilneniu nastavení. Väčšina kompromitácií účtov nie je výsledkom „pokročilého hackingu“. Vznikajú kvôli opätovnému používaniu hesiel, phishingu, slabým obnovovacím možnostiam, malvéru, nezabezpečeným zariadeniam alebo starým prístupom, ktorý nikto neodstránil.

Praktický bezpečnostný checklist:

• Pre každý účet používajte jedinečné heslo
• Heslá ukladajte do bezpečného správcu hesiel, nie do dokumentov, poznámok alebo správ
• Zapnite MFA na e-maile, bankovníctve, cloude, pracovných účtoch a sociálnych sieťach
• Nahraďte sms-based MFA silnejšími metódami, kde je to možné
• Udržujte zariadenia, prehliadače a aplikácie aktualizované
• Odstráňte nevyužívané aplikácie, rozšírenia a pripojené služby
• Každých pár mesiacov si skontrolujte možnosti obnovy účtov
• Zálohujte si dôležité súbory spôsobom, aký nemôže ransomvér jednoducho prepísať
• Základy phishingu a falošných podporných požiadaviek naučte aj rodinu alebo zamestnancov

Bezpečnosť nemusí byť dokonalá, aby bola omnoho lepšia. Niekoľko dôsledných návykov odstráni najľahšie vektory útoku a obmedzí škody, ak sa niečo pokazí aj nabudúce.

Na záver

Byť hacknutý neznamená vždy, že ste boli neopatrní. Útočníci cielia na ľudí a firmy neustále a aj skúsený používateľ môže byť oklamaný dôveryhodne vyzerajúcou phishingovou stránkou, starým zneužitým heslom alebo tichým kompromitovaním zariadenia.

Najdôležitejšie je, ako zareagujete: najprv zabezpečte e-mail, meníte heslá len z dôveryhodného zariadenia, zrušte relácie, zapnite silnejšie MFA, skontrolujte finančné riziká, zachovajte dôkazy a upozornite všetkých, koho sa to mohlo dotknúť. Potom vylepšujte systémy a návyky tak, aby ďalší útok pravdepodobne nebol úspešný.