Утечка редко заканчивается там, где произошла. Базы продают, объединяют и продают снова. Пароль, утёкший с небольшого форума несколько лет назад, сегодня проверяют на корпоративной почте: скриптом, тысячи раз в час.
Как используют утёкший пароль
Credential stuffing. Атакующий берёт пары из e-mail и пароля из утечки и пробует их на других сервисах. Взлома здесь нет: форма входа делает ровно то, для чего её создали.
Подбор по шаблону. Если утёк пароль Summer2024, следующими попытками будут Summer2025 и Summer2025!. Люди меняют пароль так же, как меняют календарь.
Адресный фишинг. В утечке есть ещё имена, телефоны и адреса. Письмо, в котором указан настоящий номер вашего заказа, открывают гораздо чаще.
Захват учётной записи. Попав в почтовый ящик, атакующий ставит правило пересылки и ждёт. Счета с изменёнными банковскими реквизитами уходят с настоящего адреса настоящим партнёрам.
Почему недостаточно сменить пароль в одном месте
Сервис, где произошла утечка, — самая малая часть проблемы. Риск находится во всех остальных местах, где тот же пароль или его близкий родственник всё ещё используется. Пока они не изменены, утечка остаётся открытой.
Что делать человеку
- Смените пароль везде, где он использовался повторно, начиная с почты. Через почту сбрасываются все остальные.
- Используйте менеджер паролей и отдельный пароль для каждого сервиса.
- Включите двухфакторную аутентификацию. Приложение или аппаратный ключ надёжнее SMS.
- Просмотрите активные сеансы и правила пересылки почты. Удалите то, что вам незнакомо.
Что делать компании
| Шаг | Результат |
|---|---|
| Проверить корпоративный домен в базах утечек | Вы узнаёте, какие учётные записи раскрыты |
| Принудительно сбросить пароли этих учётных записей | Утёкший пароль перестаёт работать |
| Двухфакторная аутентификация на каждом внешнем входе | Одного пароля больше недостаточно |
| Отклонять известные утёкшие пароли при установке | Тот же пароль не может вернуться |
| Оповещать о входах из необычных мест | Захват виден за часы, а не за месяцы |
Правильно построенная проверка никогда не получает ваш пароль. Значение хешируется в браузере, и сравнивается только хеш. Если сервис просит ввести пароль и отправляет его открытым текстом, закройте страницу.
Проверьте один раз, затем наблюдайте
Разовая проверка показывает прошлое. Новые утечки появляются каждую неделю, поэтому полезное состояние — это наблюдение: домен проверяется постоянно, и о новой утечке вы узнаёте раньше, чем ею воспользуется атакующий.
Data Breach Check бесплатен и для человека, и для домена. Для компаний постоянное наблюдение входит в подписку Threat Intelligence.
