NordVPN-brukernes passord kompromittert og eksponert på nettfora

21. oktober innrømmet NordVPN at hackere hadde tilgang til en server som ble brukt av VPN-leverandøren. Mindre enn to uker senere, på fredag, ble det klart at brukernavnene og passordene til NordVPN-brukere har blitt lekket på offentlige nettfora og delingsplattformer som Pastebin. Ikke overraskende vil folk vite om det er en sammenheng mellom de to hendelsene.

Bruddet som ble rapportert i oktober skjedde faktisk i mars 2018. NordVPN var raskt ute med å påpeke at det skjedde fordi det finske datasenteret som opererte den kompromitterte serveren gjorde en feil. Blogginnlegget påpekte også at hackerne ikke fikk tilgang til noen personopplysninger, og at det ikke er bevis som tyder på at noe trafikk ble overvåket. Med andre ord, påloggingsinformasjon som Ars Technicas Dan Goodin først snakket om 1. november, ble ikke lekket under mars 2018s angrep på NordVPN. Hvor kom de fra, da?

Hackere lanserer et legitimasjonsstoppangrep på NordVPN-brukere

Brukernavnene og passordene ble utsatt etter et legitimt utstoppingsangrep . De ble med andre ord stjålet fra en annen online tjeneste som ikke har noe med NordVPN å gjøre. Etter å ha stjålet innloggingsdataene, prøvde hackerne brukernavnet og passordkombinasjonene på NordVPN, og fordi folk hadde brukt den samme legitimasjonen på flere nettsteder, har noen av passordene låst opp brukernes virtuelle private nettverkskontoer. Mer bekymringsfullt ser det fremdeles ut til at de fleste passordene som gir tilgang til folks VPN-er, er aktive.

Dan Goodin mottok en liste med 753 e-postadresse og passordpar, og etter å ha kontaktet et utvalg av de berørte brukerne, konkluderte han med at alle unntatt en av kombinasjonene var gyldige. Den eneste personen som hadde oppdatert passordet sitt, gjorde det etter å ha fått beskjed om at noen hadde fått tilgang til kontoen sin.

Dessverre er partiet Goodin mottok og analysert langt fra den eneste. Han sa at Troy Hunt hadde lagt ikke færre enn ti lignende lister til varslingstjenesten Have I Been Pwned i løpet av en uke. Selv om noen av kontoene vises flere ganger, estimerte Dan Goodin at minst 2000 NordVPN-brukere kan bli påvirket av den legitime utstoppingshendelsen. Sammenlignet med andre brudd virker dette antallet ikke spesielt stort, men arten av en virtuell privat nettverkskonto gjør at konsekvensene av å kompromittere en kan være ganske ødeleggende. Så, hvem har skylden?

Alle trenger å være mer bevisste på farene ved påfylling av legitimasjon

Som alltid er det mer komplisert å si hvem som er ansvarlig for en cybersecurity-hendelse enn den ser ut til å begynne med.

Du har tydeligvis de elektroniske tjenestene som mistet legitimasjonen i utgangspunktet. De fortjener kritikk ikke bare fordi de ikke klarte å beskytte folks innloggingsdata, men også fordi de ikke lagret passordene riktig, noe som fremgår av at legitimasjonsbeskrivelsen nå sirkulerer i ren tekst.

NordVPN er heller ikke bare et offer. Som Dan Goodin påpekte, antas dette å være en online tjeneste som gir folk ekstra sikkerhet, men selskapet som krever penger for det, hadde ikke på plass tilstrekkelige takstbegrensningsmekanismer som ville ha stoppet nettkriminelle. I et bedre-sen-enn-aldri trekk, sa NordVPN til Ars Technica at det nå vil jobbe med dette problemet og også vil utvikle et tofaktors autentiseringssystem som skal gjøre hackernes liv vanskeligere.

I det minste skal noen av skyldene også gå til brukerne. I mange år har cybersecurity-eksperter brukt eksempler fra den virkelige verden for å lære folk hvor viktig passordkompleksitet er, men legitimasjonen Dan Goodin så på viste ganske definitivt at meldingen ikke har gått over. Ars Technicas reporter sa at alle passordene han så på var svake. Noen av dem var identiske med den første delen av e-postadressen de ble sammenkoblet med, andre var brukerens etternavn med et par sifre festet til dem, og andre var fremdeles ordbokord som kan gjettes ganske enkelt.

Passordstyrken (eller mangelen på dem) er ikke engang det største problemet. Konseptet med legitimasjonsstopping er avhengig av at folk bruker identiske brukernavn- og passordkombinasjoner for flere nettsteder. Til tross for det store antallet lignende hendelser vi har sett de siste årene, fortsetter brukerne å bruke de samme passordene for mange forskjellige online tjenester, og de er deretter avhengige av disse tjenestene for å beskytte innloggingsdataene sine tilstrekkelig. Dette er helt klart ikke den beste strategien i dag.

For en stund nå har det vært løsninger for passordadministrasjon som Cyclonis Password Manager som kan hjelpe folk til å unngå å gjøre de samme feilene om og om igjen, men av forskjellige forskjellige grunner er adopsjonsratene ikke i nærheten av så høye som de burde være.

Sannheten er at selv om du velger å ikke bruke en passordbehandler, bør du være klar over farene som legitimasjonsstoppangrep utgjør, og du må sørge for at forsvaret ditt er tilstrekkelig.