Tisícovka ukradených hesel se válela na internetu. Stáhnout si je mohl kdokoliv

Ani sebesilnější heslo není zárukou toho, že váš účet nebude napaden. Pokud totiž dojde k úniku dat přímo z databáze nebo od vás útočníci přístupové údaje pod nějakou záminkou vylákají, jednoduše je vyzkoušejí i na dalších službách.

Právě proto je nezbytné mít ideálně pro každou internetovou službu unikátní heslo, a navíc jej i v pravidelných intervalech měnit – alespoň jednou za tři měsíce.

Zmiňovanou databázi odcizené tisícovky přihlašovacích údajů objevili výzkumníci kyberbezpečnostních společností Check Point a Otorio. Útočníci pečlivě skládali přihlašovací údaje záznam po záznamu tak, jak je získali při phishingových útocích.

„Phishingová kampaň začala v srpnu loňského roku a využívala e-maily, které se vydávaly za oznámení od Xeroxu (nebo Xerosu). E-maily se snažily nalákat uživatele k otevření škodlivé HTML přílohy pod záminkou zobrazení naskenovaných souborů. Zajímavé je, že škodlivému HTML souboru se podařilo maskovat a vyhnout odhalení antivirovými programy i bezpečnostními mechanismy Microsoft Office 365 Advanced Threat Protection,“ prohlásil Peter Kovalčík, bezpečnostní expert Check Pointu.

Odcizené údaje následně útočníci shromažďovali na speciálních webových stránkách, které nejsou běžně přístupné.

„Google ovšem při indexování internetu zaindexoval i tyto webové stránky, takže se k odcizeným datům mohl dostat kdokoli. Stačilo jednoduše vygooglit některou z ukradených e-mailových adres a bylo možné se dostat i k ukradeným heslům, což značně zvyšovalo riziko dalších útoků,“ přiblížil bezpečnostní expert.

„Uživatelé se často domnívají, že když někdo ukradne hesla, v nejhorším případě s nimi budou hackeři obchodovat na dark netu. Ale v tomto případě byly odcizené informace volně přístupné veřejnosti a mohl je tak zneužít kdokoli. Jednalo se o jasné selhání útočníků, kvůli kterému byl tento útok ještě nebezpečnější než obvykle,“ uzavřel Kovalčík.