Nej! det er ikke lige meget!
En af vores “hackademiker” sendte mig sådan en mail og han undrede sig over hvad i alverden var interessen for en eventuelt hacker i at logge ind et sted, hvor han ikke selv havde konto, i det tilfælde, Chipotle. Hvad i alverden går det her ud på? Hvad får de ud af det?
Hvis du nogensinde får den slags mail, om at du ikke kan logge ind et sted i udlandet eller i Danmark hvor du aldrig har haft nogen konto, betyder det først og fremmeste at dine oplysninger er blevet lækket. Det vil sige at din e-mail-adresse og din password er blevet offentliggjort og købt eller indhentet.
Der sker jævnligt lækage (leaks) af sådanne oplysninger. Adobe har flere gange været pirateret og millioner af e-mail-adresser og password er blevet snuppet. Nogle af disse “breaches” (brud) tæller millioner af konti.
For eksempel, da MySpace blev brudt, så var der over 359 millioner konti som blev offentliggjort, Verifications.io fik stjålet over 763 millioner konti.
Bare for nyligt blev over 1,8 millioner Oxfam konti stjålet og 66,000 Gab konti. For ikke at tale om de over 20 millioner SuperVPN og GeckoVPN konto som nu har set dagens lys.
Der er intet der hedder 100% sikkert og snart eller siden bliver alle steder lækket.
Når piraterne (de er som regel flere om den slags, det er kun på film, at en 16-årig dreng kan gennembryde forsvarsministeriets sikkerhedsnet), når piraterne har fået oplysningerne, altså e-mail-adresser og tilhørende passwords, bliver disse enten brugt til videre hacking og/eller offentliggjort, som regel mod betaling.
Passwords
Ja, ja, ja, ja … Vi ved det allesammen: Vælg et password som er svær at huske, som blander tal, store bogstaver, små bogstaver og tegn som #£$, osv. og brug ikke samme password til alt.
Vorherrebevares, siger jeg bare! Hvor mange af os gør det? Nu skal man have en konto bare man skal købe et par sokker i en online butik.
Ja, det er rigtigt, der er programmer som husker dem for en, men de er ikke alle lige gode og de kan sådan set også blive lækket, eller hvad nu hvis en mobiltelefon bliver stjålet, så er alle vores passwords tilgængelige.
Det ved piraterne godt. De ved godt at hvis du bruger din e-mail-adresse og “JegHaderLever#Altid” som password for din Adobe/Gab/Office365/whatever så er sandsynligheden stor for at du bruger den samme kombination andre steder også.
Derfor, når de har disse kombinationer, som er som regel i en kommasepareret fil, indsætter de disse data i et passwordprogram, udvælger sig nogle sider hvor folk køber og betaler online og prøver dem af i det håb at nogle af dem virker og giver dem adgang til kontoen (hvilket sker ret jævnligt). Ud fra det kan de ændre password for at lukke brugeren ud og/eller forsøge at snuppe vigtige data såsomt ens PayPal konto, kortnumre eller andre betalingsmidler. I værste tilfælde kan de få fat i ens telefonnumer og ringe en op, påstår de er fra ens kortudgiverfirma eller bank eller noget lignende og udpumpe de oplysninger, de mangler.
Altså betyder det, når du får sådan en besked, at dine oplysninger er lækket, og du skal gøre noget ved det hurtigst muligt.
Før jeg går i dybden med hvad der kan gøres ved det, er der noget vigtigt: Dine oplysninger kan være lækket uden at du ved det (endnu). Det kan man, heldigvis, tjekke online.
Hvis du går en tur på hjemmesiden Have I Been Pwned? (Pwned er en gamer udtryk for at “owne” — eje — en anden spiller, det vil sige vinde over ham så du ejer hans r*v), kan du skrive den e-mail-adresse, du vil tjekke.
Hvis din e-mail-adresse er blevet offentliggjort, kan du se hvornår og hvorfra det er sket. I så fald, hvis du bruger en forskellige password for forskellige steder, så ved du i hvert fald hvilke af disse password du skal have ændret.
Siden er her: https://haveibeenpwned.com/
Password-sikkerhed
Det er rigtigt, det bedste er at ændre password for hvert sted og bruge en passwordreminder program for at huske dem for dig.
Personligt bruger jeg Bitwarden, den er gratis både for pc og for telefon, den virker med alle store browser, på Mac, Windows, Linux m.fl, den er Open Source og meget godt vedligeholdt, opdateringer er også gratis. Alt i alt en ret genial lille program.
Der er betalende version for “teams” og “enterprise”, men det benytter jeg mig jo ikke af.
Du finder den her: https://bitwarden.com/
Endeligt er der en ganske god fidus som kan hjælpe dig med at beholde samme password på forskellige sites uden at udsætte dig for meget.
GMail-tricket
Hvis du bruger Gmail, kan du tilføje + og noget andet foran @. Det kan give dig en masse nyttige oplysninger og bedre sikkerhed.
Se: Lad os nu sige at jeg har GMail-adressen: chill.hackademi@gmail.com (det har jeg men jeg bruger den aldrig!).
Lad os nu sige at jeg skriver mig ind på Reddit med den e-mail, så vil jeg angive som e-mail-adresse for eksempel: chill.hackademi+reddit@gmail.com
Mailsene vil nå mig uden problemer: GMail er ligeglad med + og med hvad der kommer efter (bare det er “lovlige” bogstaver eller tal).
Så hvis på et tidspunkt, jeg får at vide at chill.hackademi+reddit@gmail.com ikke kunne logge på McDonalds online restaurant, så ved jeg lige præcis hvilken e-mail og password har lækket. Jeg kan rent faktisk nøjes med at ændre min e-mail-adresse (til chill.hackademi+andenreddit@gmail.com for eksempel) og så er det i orden.
At tale et fremmedsprog er en god ting (dansk, for mit vedkommende, eller hebraisk), fordi de fleste hacker piraterer på engelsk eller fransk og danske ord er ikke rigtigt noget de tænker på (medmindre de er danskere, naturligvis, QED), så det er en trick jeg jævnligt benytter mig af.
Nu er det jo sådan at nogle steder, så vil de ikke acceptere “+” i e-mail-adressens felt, i så fald, skal du benytte dig af “punktum-tricket”
I enhver GMail e-mail-adresse er punktumet ikke blot unødvendigt (foran @), men det kan flyttes. Og du kan endda have flere af dem.
Det vil sige at hvis man skriver til chillha.ckademi@gmail.com eller til c.hillhackademi@gmail.com eller til c.h.i.llhackademi@gmail.com så vil alle mails nå mig.
Hvis du ikke kan bruge “+” i e-mail-adressen kan du så benytte dig af det trick og skrive i en regneark din e-mail-adresse som er registreret og hvor den er registreret, for eksempel: “chi.llhackademi@gmail.com = Reddit”
Samme princip, hvis jeg får at vide at chi.llhackademi@gmail.com kunne ikke logget på Burger King, kan et kik på min regneark fortælle mig hvor lækagen kommer fra.
I alle omstændigheder skal du altid handle hurtigt efter sådan en “fejl” meddelelse fordi snart eller siden vil hackeren risikere at nå et sted hvor han kan skade dig.
Voilà. Nu ved du det hele (eller næsten), du kan gå i gang med at tjekke og eventuelt med at ændre passwords eller e-mail-adresser.
Vi ses derude! (Chill)
