„mSecure“ incidentas: ką žinome apie debesijos duomenų kopiją ir ką daryti

Ką bendrovė patvirtino?

Lapkričio 3 d. „mSeven Software“ išsiuntė dabartiniams ir buvusiems „mSecure“ naudotojams pranešimą apie įtartiną veiklą, tyrimą, taikytas mažinimo priemones ir pasitelktus išorės saugumo ekspertus. Pradiniame pranešime prašyta apsaugoti visą „mSecure“ saugomą konfidencialią informaciją, įskaitant slaptažodžius, 2FA ir passkeys.

Vėlesniame atsakyme, kurio tekstas paskelbtas oficialiame „mSecure“ palaikymo forume, „mSeven“ nurodė, kad pašalinis veikėjas įsigijo šifruotą duomenų bazės kopiją su dabartinių ir buvusių naudotojų informacija. Bendrovė teigia neturinti įrodymų, kad užpuolikas pasiekė šifruotos kopijos konfidencialų turinį. Tame pačiame atsakyme nurodyta, kad šis incidentas susijęs tik su „mSecure Cloud“ sinchronizavusiais naudotojais; bendrovė taip pat rašė, kad programėlės ištrynimas situacijos nepakeis ir neturi duomenų, jog „mSecure“ šiuo metu nesaugu naudoti.

Šiame tekste svarbu atskirti tris dalykus: patvirtintą šifruotos kopijos gavimą, bendrovės teiginį apie šifravimą ir nežinomą faktinę kopijos iššifravimo ar raktų kompromitavimo būklę. Vieši pranešimai kol kas neatskleidžia išsamaus incidento kelio, paveiktų sistemų ar išorinio tyrimo techninių išvadų.

Ar paveikti visi „mSecure“ naudotojai?

Pagal „mSeven“ palaikymo atsakyme pateiktą informaciją, incidentas taikomas „mSecure Cloud“ naudotojams. Jei sinchronizavimui naudojote tik iCloud, vietinį Wi‑Fi Sync ar kitą palaikomą būdą, šis konkretus incidentas pagal bendrovės pateiktą apimtį jūsų sinchronizuotos duomenų bazės neapima. Jei nesate tikri, patikrinkite programėlės sinchronizavimo nustatymus ir paskyros istoriją; nedarykite išvados vien iš to, kad programėlė įdiegta telefone.

Net jei naudojote „mSecure Cloud“, turimos informacijos pagrindu negalima teigti, kad slaptažodžiai, 2FA kodai ar passkeys buvo perskaityti. Kita vertus, kadangi šifruota kopija gauta be leidimo, saugumo sprendimus verta priimti pagal paskyrų svarbą ir bendrovės pateikiamas rekomendacijas, o ne laukti, kol atsiras įrodymas apie kiekvieną konkretų įrašą.

Ką daryti: prioritetais, ne chaotiškai

1. Patikrinkite, ar naudojote „mSecure Cloud“ sinchronizavimą. Užfiksuokite naudojamą sync metodą ir, jei turite kelis įrenginius, įvertinkite kiekvieno jų nustatymus.
2. Pirmiausia apsaugokite el. paštą ir paskyros atkūrimo kanalus. Pagrindinis el. paštas dažnai leidžia atkurti kitas paskyras. Pakeiskite jo slaptažodį tiesiogiai tiekėjo svetainėje ar programėlėje, įjunkite patikimą MFA ir patikrinkite atkūrimo adresus bei aktyvias sesijas.
3. Keiskite didžiausios vertės prisijungimus. Pradėkite nuo banko ir mokėjimų, darbo paskyrų, administravimo konsolių, domenų registratoriaus, debesijos ir atsarginių kopijų. Kiekvienai paslaugai sukurkite naują, unikalų slaptažodį ir patikrinkite, kad senoji sesija ar raktas nebeliktų aktyvus, jei paslauga tai leidžia.
4. Atnaujinkite 2FA ten, kur slaptasis raktas saugotas „mSecure“. Vienkartinio kodo (TOTP) atveju kiekvienoje svetainėje išjunkite ir iš naujo įjunkite autentifikatorių, tada patikrinkite naują kodą. Laikinai neišjunkite antrojo veiksnio, kol neturite paruošto naujo metodo ir atkūrimo kodo.
5. Perkurkite saugotus passkeys, jei jie buvo „mSecure“ debesijos saugykloje. Paskyros saugumo nustatymuose pašalinkite seną raktą ir užregistruokite naują iš patikimo įrenginio. Pirmiausia išsaugokite alternatyvų prisijungimo ir atkūrimo būdą.
6. Peržiūrėkite likusius įrašus ir stebėkite paskyras. Keiskite ir mažiau kritinius slaptažodžius pagal riziką. Atkreipkite dėmesį į netikėtus prisijungimus, slaptažodžio atkūrimo užklausas, naujus įrenginius bei MFA pakeitimus.
7. Vadovaukitės naujausia „mSeven“ informacija. Pati bendrovė nurodė, kad programėlės pašalinimas situacijos nepakeis. Prieš importuodami ar eksportuodami visą saugyklą, patikrinkite oficialias instrukcijas ir naudokite tik patikimą įrenginį; saugokite eksportuotus failus kaip jautrius duomenis.

Ko nedaryti?

• Nespauskite įtartinuose laiškuose esančių „incidento“ ar „patvirtinimo“ nuorodų; atidarykite programėlę arba patys įveskite paslaugos adresą.
• Nekeiskite visų paskyrų vienu metu nepatikimame ar bendrame kompiuteryje.
• Nelaikykite nešifruoto CSV eksporto darbalaukyje, el. pašte ar bendrame debesijos aplanke. Jei eksportas būtinas, naudokite patikimą įrenginį, saugų užšifruotą laikmeną ir pašalinkite laikiną kopiją po importo.
• Nelaikykite vien slaptažodžio keitimo įrodymu, kad senoji šifruota kopija nebeturi vertės. Tam reikia suprasti, ar pakeistas ir šifravimo raktas.

Ką verta sužinoti iš tiekėjo?

„mSeven“ klientams ir įmonių IT administratoriams svarbu pateikti aiškią laiko juostą, paveiktų sinchronizavimo metodų apimtį, ar pasiekti šifravimo raktai ar paskyros autentifikavimo duomenys, kaip keičiasi raktai keičiant pagrindinį slaptažodį, ir kokią nepriklausomo tyrimo išvadą galima paskelbti. Kol tokios informacijos nėra, galime remtis bendrovės nurodyta apimtimi, bet neturėtume patys daryti išvadų apie tai, ar konkrečių saugyklų turinys buvo perskaitytas.