Neudělejte chybu jako Ovčáček. Ověřovací kód nikdy nikomu neposílejte

  18:24aktualizováno  13. června 11:07
Pokud vám přijde zpráva s potvrzujícím kódem, zacházejte s ní jako s tajemstvím. Nepište ji nikam, kam nepatří. Nikomu ověřovací kód nepřeposílejte. A určitě jej nesdílejte na sociálních sítích. Prezidentova mluvčího stál tento omyl jen podpis pod peticí, se kterou nesouhlasí. Jindy jde o peníze.

Pro bezpečí na internetu je důležité nesdělovat soukromé ověřovací kódy, někdo je může zneužít k podvržení vaší identity | foto: Profimedia.cz

Pro ochranu identity na internetu slouží obvykle kombinace uživatelského jména a hesla. Lidé se tak musí naučit zacházet s hesly, a administrátoři sítí zase zjišťují, jak správně nastavit požadavky na bezpečnost hesla.

Ne všude se ale k ověření používá přihlašovací jméno a heslo. Někde pracují stránky pouze s vaším e-mailem nebo telefonním číslem. Buď pro vaše pohodlí ,aby nebylo potřeba vytvářet si další registraci, nebo jako další krok při ověření (tzv. multifaktorové ověření). Takové zabezpečení slouží v podstatě jako jednorázové heslo, které se dozvíte pouze vy. Platí po omezenou dobu a je velmi důležité, abyste ho nikomu neposílali. Řada podvodů je totiž postavena právě na tom, že vás někdo přesvědčí heslo poslat.

Někdy dokonce ani není potřeba přesvědčovat. Ukážeme si několik příkladů toho, kdy lidé z různých důvodů sdíleli ověřovací kódy na sociálních sítích, aniž si to uvědomovali.

Varování 1.Nechtěný podpis mluvčího pod peticí

Prezidentův mluvčí Jiří Ovčáček na svém reálném osobním profilu (@PREZIDENTmluvci je v osobním vlastnictví Jiřího Ovčáčka) sdílel screenshot e-mailu, který obdržel od hnutí Milion chvilek pro demokracii. Postěžoval si svým odběratelům, že mu přišel e-mail s žádostí o potvrzení podpisu, přitom on nic takového neinicioval.

11.června 2019 v 15:42, příspěvek archivován: 12.června 2019 v 14:34

Tady je někdo hodně nervózní, když už se uchyluje k takovým podvůdkům. Aby bylo jasno, petici proti svobodným a demokratickým volbám jsem fakt nepodepsal. https://t.co/b2tOtjgMdE

Ve chvíli, kdy Jiří Ovčáček sdílel snímek obrazovky, na které dotyčný e-mail byl, ale ještě podpis nebyl potvrzen. Prezidentův mluvčí ale sdílel i adresu, ve které je ověřovací kód v čitelné podobě. Kdokoli tak mohl podvrhnout jeho kliknutí na potvrzovací tlačítko a tím podpis pod peticí potvrdit. Což se celkem záhy stalo.

11.června 2019 v 16:03, příspěvek archivován: 12.června 2019 v 14:35

Podvod dokonán. Tímto vyzývám Milion chvilek nenávisti, aby okamžitě mé jméno z této antidemokratické petice zmizelo! https://t.co/fP5qLRt8Lb

Lze tedy říci, že prezidentův mluvčí se stal obětí jednorázového podvržení identity. Toto podvržení bylo možné ze dvou důvodů: potvrzovací odkaz byl vidět v textové podobě a Jiří Ovčáček jej sdílel s desetitisci svých následovníků.

Jiří Ovčáček zaslal redakci Technet.cz komentář, ve kterém označil věc za podvod: „Stal jsem se obětí podvodného jednání s cílem mne poškodit v očích občanů a na toto jsem veřejně upozornil. Jde o problém bytostně morální, nikoliv týkající se bezpečnosti internetu. To, že kdosi potvrdil podpis na základě screenshotu, ukazuje na temné morální pozadí Milionu chvilek nenávisti.“ Jiří Ovčáček během týdne po demonstraci Milion chvilek na Václavském náměstí věnoval těmto a souvisejícím protestům v desítkách tweetů.

Dodejme, že na stránkách petice Milionchvilek.cz již podpis s číslem 387 090 nefiguruje, podpis mluvčího Jiřího Ovčáčka tak pod peticí byl jen krátce. „ Podpis jsme odstanili, neboť si to pan Ovčáček přál,“ uvedla pro redakci Technet.cz Eva Lee z Milion chvilek. Odstranili prý i další podpis, se stejným jménem a povoláním: „Podobné podpisy mažeme automaticky, signatáři nás na ně často upozorňují. Nic dalšího k tomu dodat nechceme, protože to považujeme za zbytečné. Máme plné ruce smysluplné práce.“

Ponaučení: 

  • Nikdy nesdílejte na sociálních sítích screenshoty, na kterých mohou být údaje, pomocí kterých může někdo podvrhnout vaši identitu vc

Podle Michala Špačka, odborníka internetovou bezpečnost, je velká část viny na tom, kdo navrhl ověřování pomocí viditelného kódu, tedy platformy Mailkit, kterou Milion chvilek pro demokracii používá. „ V e-mailu takový odkaz v čitelné a viditelné podobě nemá dnes již co dělat,“ napsal v e-mailu pro redakci Technet.cz „Takže primárně má máslo na hlavě vývojář té mailovací služby nebo návrhář toho e-mailu, pan Ovčáček je až druhý v řadě.“

S tím nesouhlasí provozovatel služby Mailkit, podle kterého je umístění kódu v textu e-mailu nutné posuzovat i v kontextu uživatelské přívětivosti.

Vyjádření poskytovatele rozesílacího nástroje

Odpovídal Jakub Olexa, ředitel společnosti Mailkit

Už jste v minulosti řešili podobný problém s potvrzením přes sdílený ověřovací kód?
Subscribe formuláře jsou často pod tzv. List-Bomb útoky, kdy se útočník snaží adresu příjemce zahltit jakoukoliv poštou. Cílem je zakrýt určitou aktivitu, např. ověřovací e-mail z banky atp. Nikdy jsme se však nesetkali s tím, že by byl útok veden na zneužití DOI konfirmačního kódu, který je jednorázový a především by takový útok vyžadoval zveřejnění kódu tak, jak to provedl pan Ovčáček. S ohledem na to, že naším systémem procházejí miliony požadavků na přihlášení a toto je první případ, o kterém víme, že by někdo měl potřebu se s e-mailem veřejně chlubit, považujeme to za útok zcela nerelevantní.

Souhlasíte s tím, že by se v e-mailu neměla potvrzovací adresa ukazovat přímo v textu?

Ukazování odkazu v textu je nutné posuzovat v kontextu uživatelské dostupnosti a nikoliv jen bezpečnosti. Riziko zneužití je téměř nulové, zatímco impact na uživatele, který nemůže dokončit svou registraci potvrzením, je zcela zásadní. Je nutné myslet na uživatele za korporátními antispamovými filtry, které vidí první e-mail z daného zdroje a často tak provedou „odzbrojení“ všech odkazů. Příjemce pak nemá možnost na nic kliknout, ale odkaz v čitelné podobě umožňuje dokončit potvrzení. Stejný problém se týká nemalého procenta příjemců se zdravotním postižením zraku, pro které je čtečka nástrojem, který používají každý den. Přečtení adresy jim pomůže udělat rozhodnutí, zda adrese věřit nebo nikoliv. Je tedy na posouzení marketéra, zda bude preferovat více „paranoidní“ přístup bez viditelného odkazu, nebo naopak více „prouživatelský“ se zobrazením odkazu přímo v těle zprávy.

Ostatně i Špaček poznamenává, že jeho názor na to, že vina neleži zejména na tom, kdo screenshot ověřovacího kódu sdílel, je v tomto případě zjevně nepopulární.

12.června 2019 v 13:49, příspěvek archivován: 12.června 2019 v 15:50

@PavelJan4 @FilipTitlbach @JakubBoucek Nemyslím si, že bychom měli všichni umět rozpoznat "tajné" URL (a další nepodobné věci) a naopak si myslím, že když je někde, kde nemá co dělat, tak je na vině primárně ten, co ho tam dal. Ale jak říkám, nepopulární názor, evidentně :-)

Jen málokdo je v pozici mluvčho hlavy státu. Další příklady toho, jak lidé nechtěně sdílí důležité soukromé kódy, se ale týkají prakticky každého.

Varování 2.Nikdy nepřeposílejte SMS z banky

Většina lidí zná dvojité ověření identity z internetového bankovnictví. Nejčastěji jde o zaslání textové zprávy (SMS) s kódem určeným pro ověření identity přihlášeného nebo pro ověření transakce. Toto ověření má zabránit zneužití cizí identity.

Útočníci jsou ale vynalézaví a mají různé způsoby, jak z oběti vymámit ověřovací kód. Následující text je reálná výměna klienta významné české banky s útočníkem. Bbanku neuvádíme, neboť jde o obecný problém, redakce ale ověřila, že jde o reálný případ.

Jak vypadá cílený útok na běžného uživatele

Útočník se snaží zjistit text ověřovací SMS zprávy z banky, předstírá, že je kamarádkou oběti

Konverzace probíhala přes Facebook Messenger, útočník zřejmě uhodl či jinak získal heslo uživatelky (Eva) a vydává se tak za ni. Oběť (Adam) netuší, že mluví s někým jiným.

Eva: Ahoj, můžeš mi prosím poslat na účet 30 Kč? Já sem tam v mínusu a ptřebuju to nějak doplnit?

Adam: Čau :-) Na jaký účet? Do banky? A to jde?

Eva: Podle toho, co máš za banku.

Adam: (jméno banky)

Eva: Aha, já to tam potřebuju mít hned a mám (jméno jiné banky), tak tady (podezřele vypadající adresa s koncovkou cz) se přihlaš jako normálně a pak ti řeknu co dál, to jsou nejrychlejší převody

Adam: Chyba, probíhá odstávka systému.

Eva: Sakra. A nebo moment. Zkusím si to poslat ze svého spoření od sebe, to mám u stejné banky, jako ty. Můžu si ten kód poslat k tobě, mně nikdy nepřijde.

(V tuto chvíli  má Eva přihlašovací údaje Adama do banky, které získala z podvrženého portálu banky, a vyplní je na skutečném portálu banky. Chybí jí ale Adamův telefon. Nicnetušící Adam ji ale nezklame.)

Adam: Určite. Číslo mám pořád stejné.

Eva: Tak teď by ti měl přijít jeden.

Adam: (pošle šestimístný kód, čímž dal Evě přístup do svého účtu)

Eva: Super, a jak se vůbec máš?

(Eva mezitím prochází Adamův účet a převede si 100 tisíc na nějaký jiný účet. Banka Adamovi pošle SMS s ověřovacím kódem transakce.)

Adam: 100 000 :-O Tady si někdo žije!

(Adam přepošle potvrzující kód na tuto transakci a ještě dvě další.)

Eva: Super, to je vše. Díky za pomoc.

Adam: Nemáš zač, mě to nezabilo a tobě to pomohlo...

Útočník tedy pomocí přístupu do cizího Facebook Messengeru, celkem jednoduchého „sociálního inženýrství“ a falešné brány do bankovnictví vytáhl z nic netušící oběti statisíce. Adam (to není jeho skutečné jméno) poslal potvrzující kódy a umožnil tak převedení statisíců korun ze svého účtu.

Ponaučení:

  • Nezadávat přihlašovací údaje do banky nikde jinde než na oficiálních stránkách banky, vždy zadejte adresu do prohlížeče ručně.
  • Nepřeposílat SMS zprávy od banky nikomu dalšímu, ani jejich obsah nezadávat kamkoli mimo oficiální bankovní stránky.
  • Buďte podezřívaví, když vás nějaký váš známý (nebo dokonce příbuzný) žádá po textovém komunikačním kanálu o něco týkající se peněz. Pokuste se vždy zavolat, podvrhnout hlasovou komunikaci je mnohem těžší.

Přeposílání bezpečnostních SMS doufejme většině lidí zní jako opravdu špatný nápad. Jsou ale příklady, kde je to méně okaté.

Varování 3.Pozor na každou soukromou informaci

Mark Zuckerberg, zakladatel Facebooku, v roce 2010 prohlásil, že soukromí je věc minulosti: „ Lidé si opravdu zvykli na to sdílet nejen více věcí, ale také sdílet je s více lidmi. Společenské normy se zkrátka posunuly.“ (Letos mimochodem Zuckerberg otočil a chci se více zaměřit na soukromé zprávy)

Problémů spojených s posunem hranic soukromí je celá řada. A některé mají reálné bezpečnostní dopady. Sociální sítě používají například lupiči k tomu, aby si ověřili, kde bydlíte, kdy jste a nejste doma, co u vás doma najdou apod. Vaše fotky z dovolené i z obýváku jim to usnadňují.

Někdy je ale problém mnohem konkrétnější. Třeba když lidé sdílí na sociálních sítích fotku svého dokladu nebo svojí kreditní karty. Lidé sdílí například fotky kreditní karty s personalizovaným vzhledem.

05.listopadu 2015 v 16:49, příspěvek archivován: 12.června 2019 v 16:46

@radhikamadan01 @shaktiarora @ColorsTV radhika ji check my new debit card with ur pic and show hw much I like u https://t.co/OvsgpeJ7vZ

Problém je, že číslo kreditní karty (i bez bezpečnostního kódu vzadu) může útočníkovi posloužit jako další dílek do mozaiky při krádeži vaší identity. Dokáže se tak třeba dostat k vašim objednávkám na Amazonu, úspěšně podvrhnout vaši identitu při žádání o reset hesla nebo požádat o změnu letenky.

Mimochodem, letenky patří k oblíbeným objektům fotek z cest. Snadno lze zapomenout, že fotografie letenky o vás obsahuje velké množství informací, které může útočník využít ke změně letenky i ke krádeži vaší identity.

Otec se synkem ze Skotska se chlubí svými letenkami na letišti ve floridském Orlandu (20. dubna 2010)

Otec se synkem se chlubí svými letenkami na letišti ve floridském Orlandu (20. dubna 2010, ilustrační foto)

„Z pouhé fotky letenky na Facebooku jsem dokázal vyčíst jeho jméno, číslo účtu u aerolinky a další osobní údaje. To mi stačilo k získání klíče pro přístup k dané letence,“ popisuje například čtenář KrebsOnSecurity. „Díky tomu jsem získal přístup nejen k jeho současnému letu, ale i ke všem jeho budoucím.“ Zároveň měl útočník (v tomto případě známý oběti bez zájmu na jejím poškození) k dispozici telefonní číslo. Útočník mohl změnit informace o letu, let zrušit nebo se vydávat za daného cestujícího vůči třetím stranám.

Michal Špaček si myslí, že uvádění jména a čísla na kartě není potřeba: „Můžeme se lidem smát, že si karty fotí, ale to neškáluje, fotí si je pořád dál.“ Chválí například poskytovatele Revolut, kde na kartě není uvedena žádná soukromá informace.

Obecně je podle Špačka potřeba opravit technologie, protože to lze škálovat. Technická řešení lze totiž opravit jedním zásahem a budou opravená všechny související implementace. Zato uživatele nějakým jednoduchým způsobem „opravit“ nejde. „Můžeme se smát úředníkům, že tweetnou něco, co nemají, ale to nepomůže,“ dodává.

Opravit technologie ale trvá a útočníci bývají vždy připraveni své metody flexibilně upravit. Nezbývá, než se pokusit mezi lidmi – třeba i na příkladech veřejně činných osob, rozšířit povědomí o tom, jak funguje on-line bezpečnost. A že sdílenou fotografie obsahující soukromé číslo či kód lze nesmírně snadno zneužít.

Aktualizace: Do článku jsme doplnili vyjádření spolku Milion chvilek. Doplnili jsme vyjádření provozovatele služby Mailkit.

Autor:

Mohlo by vás zajímat: Černobyl

Černobylská havárie se stala 26. dubna 1986 v černobylské jaderné elektrárně na Ukrajině (tehdy část Sovětského svazu). Vzpomínka na tragédii v těchto dnech oživila televizní minisérie Černobyl.

Téma Černobyl v článcích Technet.cz:
Brzda místo plynu a plyn místo brzdy. To byl Černobyl
Havárie neskončí před rokem 2065. Černobyl polyká tuny vody a miliardy eur
Výbuch roztavil beton a tisícitunový poklop létal vzduchem. Černobyl 1986

Nejčtenější

Neudělejte chybu jako Ovčáček. Ověřovací kód nikdy nikomu neposílejte

Pro bezpečí na internetu je důležité nesdělovat soukromé ověřovací kódy, někdo...

Pokud vám přijde zpráva s potvrzujícím kódem, zacházejte s ní jako s tajemstvím. Nepište ji nikam, kam nepatří. Nikomu...

Jsou neskutečně levné a jedovaté. Čínské tonery do tiskáren obsazují trh

Jak vybrat náplň do tiskárny, aby do ní padla jako ulitá? Ne každá je vhodná a...

Především kvůli nízké ceně lidé riskují zdraví a kupují ultralevné tonery do laserových tiskáren od neznámých výrobců....

„Zapomenutý“ tank z ČKD. Neozbrojený prototyp přišel Němce draho

První prototyp tanku Praga V-8-H

Ve druhé polovině třicátých let vznikl v Československu prototyp středního tanku srovnatelného s německými tanky stejné...

Proč havarovaly Boeingy 737 Max? Firma spěchala a porušila vlastní zásady

Jak vznikly problémy, které vedly k havárii nejnovějších letadel Boeing 737 MAX

Nejnovější letadla Boeing 737 MAX 8 už tři měsíce nelétají. Při dvou jejich nehodách totiž zemřelo 346 lidí. Stopy...

Astronomové po půl století objevili ztracený lunární modul z Apolla 10

Lunární modul Apolla 10 nad Měsícem (foceno z velitelského modulu)

První mise, která přivezla lidi na jiné kosmické těleso, byla ta s označením Apollo 11. Cestu jí však vyšlapaly...

Další z rubriky

Tipy na weby: odhalte svůj rodokmen a zjistěte, kde máte nejvíc jmenovců

Ilustrační foto - lidé

Nejčastějším českým příjmením jsou Novákovi. Na webu KdeJsme.cz také zjistíte, jaké pořadí patří vašemu příjmení a kde...

Čas rozporcovat Facebook, říká jeho spoluzakladatel. Je „neamerický“

Má Zuckerberg příliš velkou moc? Měl by se Facebook rozporcovat? (ilustrační...

Mark Zuckerberg by neměl mít tak neomezenou moc nad tím, jak komunikují miliardy lidí z celého světa. Myslí si to jeho...

Z velké kryptoburzy ukradl trpělivý hacker miliardu korun v bitcoinech

Virtuální měna Bitcoin zažívá ohromný vzestup. Je to bublina?

Burza Binance oznámila, že jim neznámý hacker či hackeři ukradli sedm tisíc bitcoinů. Útočník shromáždil velké množství...

Akční letáky
Akční letáky

Prohlédněte si akční letáky všech obchodů hezky na jednom místě!

Najdete na iDNES.cz