Neudělejte chybu jako Ovčáček. Ověřovací kód nikdy nikomu neposílejte

  18:24aktualizováno  13. června 11:07
Pokud vám přijde zpráva s potvrzujícím kódem, zacházejte s ní jako s tajemstvím. Nepište ji nikam, kam nepatří. Nikomu ověřovací kód nepřeposílejte. A určitě jej nesdílejte na sociálních sítích. Prezidentova mluvčího stál tento omyl jen podpis pod peticí, se kterou nesouhlasí. Jindy jde o peníze.

Pro bezpečí na internetu je důležité nesdělovat soukromé ověřovací kódy, někdo je může zneužít k podvržení vaší identity | foto: Profimedia.cz

Pro ochranu identity na internetu slouží obvykle kombinace uživatelského jména a hesla. Lidé se tak musí naučit zacházet s hesly, a administrátoři sítí zase zjišťují, jak správně nastavit požadavky na bezpečnost hesla.

Ne všude se ale k ověření používá přihlašovací jméno a heslo. Někde pracují stránky pouze s vaším e-mailem nebo telefonním číslem. Buď pro vaše pohodlí ,aby nebylo potřeba vytvářet si další registraci, nebo jako další krok při ověření (tzv. multifaktorové ověření). Takové zabezpečení slouží v podstatě jako jednorázové heslo, které se dozvíte pouze vy. Platí po omezenou dobu a je velmi důležité, abyste ho nikomu neposílali. Řada podvodů je totiž postavena právě na tom, že vás někdo přesvědčí heslo poslat.

Někdy dokonce ani není potřeba přesvědčovat. Ukážeme si několik příkladů toho, kdy lidé z různých důvodů sdíleli ověřovací kódy na sociálních sítích, aniž si to uvědomovali.

Varování 1.Nechtěný podpis mluvčího pod peticí

Prezidentův mluvčí Jiří Ovčáček na svém reálném osobním profilu (@PREZIDENTmluvci je v osobním vlastnictví Jiřího Ovčáčka) sdílel screenshot e-mailu, který obdržel od hnutí Milion chvilek pro demokracii. Postěžoval si svým odběratelům, že mu přišel e-mail s žádostí o potvrzení podpisu, přitom on nic takového neinicioval.

11.června 2019 v 15:42, příspěvek archivován: 12.června 2019 v 14:34

Tady je někdo hodně nervózní, když už se uchyluje k takovým podvůdkům. Aby bylo jasno, petici proti svobodným a demokratickým volbám jsem fakt nepodepsal. https://t.co/b2tOtjgMdE

Ve chvíli, kdy Jiří Ovčáček sdílel snímek obrazovky, na které dotyčný e-mail byl, ale ještě podpis nebyl potvrzen. Prezidentův mluvčí ale sdílel i adresu, ve které je ověřovací kód v čitelné podobě. Kdokoli tak mohl podvrhnout jeho kliknutí na potvrzovací tlačítko a tím podpis pod peticí potvrdit. Což se celkem záhy stalo.

11.června 2019 v 16:03, příspěvek archivován: 12.června 2019 v 14:35

Podvod dokonán. Tímto vyzývám Milion chvilek nenávisti, aby okamžitě mé jméno z této antidemokratické petice zmizelo! https://t.co/fP5qLRt8Lb

Lze tedy říci, že prezidentův mluvčí se stal obětí jednorázového podvržení identity. Toto podvržení bylo možné ze dvou důvodů: potvrzovací odkaz byl vidět v textové podobě a Jiří Ovčáček jej sdílel s desetitisci svých následovníků.

Jiří Ovčáček zaslal redakci Technet.cz komentář, ve kterém označil věc za podvod: „Stal jsem se obětí podvodného jednání s cílem mne poškodit v očích občanů a na toto jsem veřejně upozornil. Jde o problém bytostně morální, nikoliv týkající se bezpečnosti internetu. To, že kdosi potvrdil podpis na základě screenshotu, ukazuje na temné morální pozadí Milionu chvilek nenávisti.“ Jiří Ovčáček během týdne po demonstraci Milion chvilek na Václavském náměstí věnoval těmto a souvisejícím protestům v desítkách tweetů.

Dodejme, že na stránkách petice Milionchvilek.cz již podpis s číslem 387 090 nefiguruje, podpis mluvčího Jiřího Ovčáčka tak pod peticí byl jen krátce. „ Podpis jsme odstanili, neboť si to pan Ovčáček přál,“ uvedla pro redakci Technet.cz Eva Lee z Milion chvilek. Odstranili prý i další podpis, se stejným jménem a povoláním: „Podobné podpisy mažeme automaticky, signatáři nás na ně často upozorňují. Nic dalšího k tomu dodat nechceme, protože to považujeme za zbytečné. Máme plné ruce smysluplné práce.“

Ponaučení: 

  • Nikdy nesdílejte na sociálních sítích screenshoty, na kterých mohou být údaje, pomocí kterých může někdo podvrhnout vaši identitu vc

Podle Michala Špačka, odborníka internetovou bezpečnost, je velká část viny na tom, kdo navrhl ověřování pomocí viditelného kódu, tedy platformy Mailkit, kterou Milion chvilek pro demokracii používá. „ V e-mailu takový odkaz v čitelné a viditelné podobě nemá dnes již co dělat,“ napsal v e-mailu pro redakci Technet.cz „Takže primárně má máslo na hlavě vývojář té mailovací služby nebo návrhář toho e-mailu, pan Ovčáček je až druhý v řadě.“

S tím nesouhlasí provozovatel služby Mailkit, podle kterého je umístění kódu v textu e-mailu nutné posuzovat i v kontextu uživatelské přívětivosti.

Vyjádření poskytovatele rozesílacího nástroje

Odpovídal Jakub Olexa, ředitel společnosti Mailkit

Už jste v minulosti řešili podobný problém s potvrzením přes sdílený ověřovací kód?
Subscribe formuláře jsou často pod tzv. List-Bomb útoky, kdy se útočník snaží adresu příjemce zahltit jakoukoliv poštou. Cílem je zakrýt určitou aktivitu, např. ověřovací e-mail z banky atp. Nikdy jsme se však nesetkali s tím, že by byl útok veden na zneužití DOI konfirmačního kódu, který je jednorázový a především by takový útok vyžadoval zveřejnění kódu tak, jak to provedl pan Ovčáček. S ohledem na to, že naším systémem procházejí miliony požadavků na přihlášení a toto je první případ, o kterém víme, že by někdo měl potřebu se s e-mailem veřejně chlubit, považujeme to za útok zcela nerelevantní.

Souhlasíte s tím, že by se v e-mailu neměla potvrzovací adresa ukazovat přímo v textu?

Ukazování odkazu v textu je nutné posuzovat v kontextu uživatelské dostupnosti a nikoliv jen bezpečnosti. Riziko zneužití je téměř nulové, zatímco impact na uživatele, který nemůže dokončit svou registraci potvrzením, je zcela zásadní. Je nutné myslet na uživatele za korporátními antispamovými filtry, které vidí první e-mail z daného zdroje a často tak provedou „odzbrojení“ všech odkazů. Příjemce pak nemá možnost na nic kliknout, ale odkaz v čitelné podobě umožňuje dokončit potvrzení. Stejný problém se týká nemalého procenta příjemců se zdravotním postižením zraku, pro které je čtečka nástrojem, který používají každý den. Přečtení adresy jim pomůže udělat rozhodnutí, zda adrese věřit nebo nikoliv. Je tedy na posouzení marketéra, zda bude preferovat více „paranoidní“ přístup bez viditelného odkazu, nebo naopak více „prouživatelský“ se zobrazením odkazu přímo v těle zprávy.

Ostatně i Špaček poznamenává, že jeho názor na to, že vina neleži zejména na tom, kdo screenshot ověřovacího kódu sdílel, je v tomto případě zjevně nepopulární.

12.června 2019 v 13:49, příspěvek archivován: 12.června 2019 v 15:50

@PavelJan4 @FilipTitlbach @JakubBoucek Nemyslím si, že bychom měli všichni umět rozpoznat "tajné" URL (a další nepodobné věci) a naopak si myslím, že když je někde, kde nemá co dělat, tak je na vině primárně ten, co ho tam dal. Ale jak říkám, nepopulární názor, evidentně :-)

Jen málokdo je v pozici mluvčho hlavy státu. Další příklady toho, jak lidé nechtěně sdílí důležité soukromé kódy, se ale týkají prakticky každého.

Varování 2.Nikdy nepřeposílejte SMS z banky

Většina lidí zná dvojité ověření identity z internetového bankovnictví. Nejčastěji jde o zaslání textové zprávy (SMS) s kódem určeným pro ověření identity přihlášeného nebo pro ověření transakce. Toto ověření má zabránit zneužití cizí identity.

Útočníci jsou ale vynalézaví a mají různé způsoby, jak z oběti vymámit ověřovací kód. Následující text je reálná výměna klienta významné české banky s útočníkem. Bbanku neuvádíme, neboť jde o obecný problém, redakce ale ověřila, že jde o reálný případ.

Jak vypadá cílený útok na běžného uživatele

Útočník se snaží zjistit text ověřovací SMS zprávy z banky, předstírá, že je kamarádkou oběti

Konverzace probíhala přes Facebook Messenger, útočník zřejmě uhodl či jinak získal heslo uživatelky (Eva) a vydává se tak za ni. Oběť (Adam) netuší, že mluví s někým jiným.

Eva: Ahoj, můžeš mi prosím poslat na účet 30 Kč? Já sem tam v mínusu a ptřebuju to nějak doplnit?

Adam: Čau :-) Na jaký účet? Do banky? A to jde?

Eva: Podle toho, co máš za banku.

Adam: (jméno banky)

Eva: Aha, já to tam potřebuju mít hned a mám (jméno jiné banky), tak tady (podezřele vypadající adresa s koncovkou cz) se přihlaš jako normálně a pak ti řeknu co dál, to jsou nejrychlejší převody

Adam: Chyba, probíhá odstávka systému.

Eva: Sakra. A nebo moment. Zkusím si to poslat ze svého spoření od sebe, to mám u stejné banky, jako ty. Můžu si ten kód poslat k tobě, mně nikdy nepřijde.

(V tuto chvíli  má Eva přihlašovací údaje Adama do banky, které získala z podvrženého portálu banky, a vyplní je na skutečném portálu banky. Chybí jí ale Adamův telefon. Nicnetušící Adam ji ale nezklame.)

Adam: Určite. Číslo mám pořád stejné.

Eva: Tak teď by ti měl přijít jeden.

Adam: (pošle šestimístný kód, čímž dal Evě přístup do svého účtu)

Eva: Super, a jak se vůbec máš?

(Eva mezitím prochází Adamův účet a převede si 100 tisíc na nějaký jiný účet. Banka Adamovi pošle SMS s ověřovacím kódem transakce.)

Adam: 100 000 :-O Tady si někdo žije!

(Adam přepošle potvrzující kód na tuto transakci a ještě dvě další.)

Eva: Super, to je vše. Díky za pomoc.

Adam: Nemáš zač, mě to nezabilo a tobě to pomohlo...

Útočník tedy pomocí přístupu do cizího Facebook Messengeru, celkem jednoduchého „sociálního inženýrství“ a falešné brány do bankovnictví vytáhl z nic netušící oběti statisíce. Adam (to není jeho skutečné jméno) poslal potvrzující kódy a umožnil tak převedení statisíců korun ze svého účtu.

Ponaučení:

  • Nezadávat přihlašovací údaje do banky nikde jinde než na oficiálních stránkách banky, vždy zadejte adresu do prohlížeče ručně.
  • Nepřeposílat SMS zprávy od banky nikomu dalšímu, ani jejich obsah nezadávat kamkoli mimo oficiální bankovní stránky.
  • Buďte podezřívaví, když vás nějaký váš známý (nebo dokonce příbuzný) žádá po textovém komunikačním kanálu o něco týkající se peněz. Pokuste se vždy zavolat, podvrhnout hlasovou komunikaci je mnohem těžší.

Přeposílání bezpečnostních SMS doufejme většině lidí zní jako opravdu špatný nápad. Jsou ale příklady, kde je to méně okaté.

Varování 3.Pozor na každou soukromou informaci

Mark Zuckerberg, zakladatel Facebooku, v roce 2010 prohlásil, že soukromí je věc minulosti: „ Lidé si opravdu zvykli na to sdílet nejen více věcí, ale také sdílet je s více lidmi. Společenské normy se zkrátka posunuly.“ (Letos mimochodem Zuckerberg otočil a chci se více zaměřit na soukromé zprávy)

Problémů spojených s posunem hranic soukromí je celá řada. A některé mají reálné bezpečnostní dopady. Sociální sítě používají například lupiči k tomu, aby si ověřili, kde bydlíte, kdy jste a nejste doma, co u vás doma najdou apod. Vaše fotky z dovolené i z obýváku jim to usnadňují.

Někdy je ale problém mnohem konkrétnější. Třeba když lidé sdílí na sociálních sítích fotku svého dokladu nebo svojí kreditní karty. Lidé sdílí například fotky kreditní karty s personalizovaným vzhledem.

05.listopadu 2015 v 16:49, příspěvek archivován: 12.června 2019 v 16:46

@radhikamadan01 @shaktiarora @ColorsTV radhika ji check my new debit card with ur pic and show hw much I like u https://t.co/OvsgpeJ7vZ

Problém je, že číslo kreditní karty (i bez bezpečnostního kódu vzadu) může útočníkovi posloužit jako další dílek do mozaiky při krádeži vaší identity. Dokáže se tak třeba dostat k vašim objednávkám na Amazonu, úspěšně podvrhnout vaši identitu při žádání o reset hesla nebo požádat o změnu letenky.

Mimochodem, letenky patří k oblíbeným objektům fotek z cest. Snadno lze zapomenout, že fotografie letenky o vás obsahuje velké množství informací, které může útočník využít ke změně letenky i ke krádeži vaší identity.

Otec se synkem ze Skotska se chlubí svými letenkami na letišti ve floridském Orlandu (20. dubna 2010)

Otec se synkem se chlubí svými letenkami na letišti ve floridském Orlandu (20. dubna 2010, ilustrační foto)

„Z pouhé fotky letenky na Facebooku jsem dokázal vyčíst jeho jméno, číslo účtu u aerolinky a další osobní údaje. To mi stačilo k získání klíče pro přístup k dané letence,“ popisuje například čtenář KrebsOnSecurity. „Díky tomu jsem získal přístup nejen k jeho současnému letu, ale i ke všem jeho budoucím.“ Zároveň měl útočník (v tomto případě známý oběti bez zájmu na jejím poškození) k dispozici telefonní číslo. Útočník mohl změnit informace o letu, let zrušit nebo se vydávat za daného cestujícího vůči třetím stranám.

Michal Špaček si myslí, že uvádění jména a čísla na kartě není potřeba: „Můžeme se lidem smát, že si karty fotí, ale to neškáluje, fotí si je pořád dál.“ Chválí například poskytovatele Revolut, kde na kartě není uvedena žádná soukromá informace.

Obecně je podle Špačka potřeba opravit technologie, protože to lze škálovat. Technická řešení lze totiž opravit jedním zásahem a budou opravená všechny související implementace. Zato uživatele nějakým jednoduchým způsobem „opravit“ nejde. „Můžeme se smát úředníkům, že tweetnou něco, co nemají, ale to nepomůže,“ dodává.

Opravit technologie ale trvá a útočníci bývají vždy připraveni své metody flexibilně upravit. Nezbývá, než se pokusit mezi lidmi – třeba i na příkladech veřejně činných osob, rozšířit povědomí o tom, jak funguje on-line bezpečnost. A že sdílenou fotografie obsahující soukromé číslo či kód lze nesmírně snadno zneužít.

Aktualizace: Do článku jsme doplnili vyjádření spolku Milion chvilek. Doplnili jsme vyjádření provozovatele služby Mailkit.

Autor:

50. výročí přistání na Měsící

Americký kosmický let Apollo 11 splnil svoji misi 20. července 1969. Na povrch Měsíce jako první člověk vstoupil velitel posádky Neil Armstrong. Doprovázel jej Edwin "Buzz" Aldrin, zatímco Michael Collins zůstal na palubě vesmírné lodi.

Téma Apollo 11 v článcích Technet.cz:
O čem si povídali kosmonauti Apolla 11. Poslechněte si tisíce hodin „ticha“
Co kdyby Apollo 11 zůstalo na Měsíci? Pohřbili by je přes rádio zaživa
Vlajky na Měsíci stále stojí. Podívejte se na důkaz ze sondy LRO

Nejčtenější

U Prochorovky to bylo jinak. Němci nám kradou tankovou bitvu, zuří Rusko

U Prochorovky se v červenci 1943 odehrála jedna z největších tankových bitev.

Nejslavnější tanková bitva u Prochorovky je ruská propaganda, napsal Die Welt s odkazem na zjištění německých a...

K síti se připojila největší solární elektrárna. Rekord dlouho nevydrží

Pohled na elektrárnu Nur Abú Zabí ze vzduchu

Ve Spojených arabských emirátech k začátku července spustili největší fotovoltaickou elektrárnu na světě. Má maximální...

Amatérský astronom vyfotografoval supertajný americký raketoplán X-37B

Americký raketoplán X-37B na orbitě

Nizozemský pozorovatel satelitů a vědecký novinář Ralf Vandebergh nejspíš udělal nejlepší fotku svého života. Podařilo...

Jeho formule chtěl každý. Autor slavných vystřihovánek slaví devadesátiny

Richard Vyškovský se svým modelem cisternové stříkačky CAS 32 na podvozku Tatra...

Richard Vyškovský je pro laickou veřejnost nepříliš známé jméno, v modelářské komunitě je však doslova celebritou. S...

Největší dobrodružství 20. století začalo o tři čtvrtě sekundy později

Tři Američané právě odstartovali na misi, kterou bedlivě sleduje celý svět.

Ani ostřílený hlasatel vesmírného střediska na Mysu Canaveral nedokáže zakrýt pohnutí. Je 16. července 1969, 9:32 ráno...

Další z rubriky

Webové stránky prodejce CZC.cz šířily vir. Mohl za to reklamní systém

Ransomware je velmi nepříjemným druhem virů.

Návštěvníci webových stránek prodejce elektroniky CZC.cz mohli za určitých okolností čelit útoku vyděračského viru....

Neudělejte chybu jako Ovčáček. Ověřovací kód nikdy nikomu neposílejte

Pro bezpečí na internetu je důležité nesdělovat soukromé ověřovací kódy, někdo...

Pokud vám přijde zpráva s potvrzujícím kódem, zacházejte s ní jako s tajemstvím. Nepište ji nikam, kam nepatří. Nikomu...

Tipy na weby: počasí z tisíce domácích meteostanic nebo výběr školky

Weathermap.netatmo.com

Projekt Weathermap.netatmo.com ukazuje data z domácích meteostanic na mapě. Najít školku a vybrat ji podle hodnocení...

Najdete na iDNES.cz