Důležité body
- Společnost Roku zaznamenala incident, který postihl více než 15 000 uživatelských účtů v důsledku útoků credential stuffing.
- Pokud jste od společnosti Roku obdrželi bezpečnostní upozornění, měli byste prověřit i další své účty, u kterých používáte stejné přihlašovací údaje.
- Důkladně prozkoumejte a zabezpečte všechny účty, které jsou propojené s kompromitovanými přihlašovacími údaji, abyste ochránili svá data.
Dostali jste v poslední době od Roku email s žádostí o resetování hesla? Jestliže ano, je na místě zkontrolovat i zabezpečení vašich dalších online profilů.
V březnu roku 2024 společnost Roku, známý výrobce streamovacích zařízení a chytrých televizí, informovala o narušení více než 15 000 uživatelských účtů. K narušení došlo pomocí metody credential stuffing, což znamená, že pokud jste pro více účtů používali stejné heslo, mohly být ohroženy i další vaše profily.
Co se stalo s Roku a jak došlo k narušení?
Oficiální zpráva společnosti Roku o úniku dat (PDF) odhalila neobvyklou aktivitu na více než 15 000 uživatelských účtech Roku.
I když se problém primárně týkal společnosti Roku, nebyla to výhradně její vina. Z dostupných informací vyplývá, že všechny dotčené účty byly napadeny metodou credential stuffing:
Na základě provedeného šetření bylo zjištěno, že neoprávněné osoby získaly uživatelská jména a hesla uživatelů z externích zdrojů (např. prostřednictvím úniků dat z jiných služeb, které nemají přímý vztah k Roku). Je vysoce pravděpodobné, že stejné kombinace uživatelských jmen a hesel byly používány jak u těchto služeb třetích stran, tak i u některých jednotlivých účtů Roku.
Credential stuffing, neboli útok, který opakovaně zkouší stejné uživatelské jméno a heslo na různých platformách, je důsledkem špatné uživatelské praxe a velkým problémem v současnosti, kdy dochází k častým únikům dat.
V tomto konkrétním případě útočníci zneužili získané informace k provádění nákupů s využitím bankovních údajů uložených v systému Roku. Nicméně společnost Roku zdůraznila, že nedošlo k úniku čísel sociálního zabezpečení, úplných údajů o platebních kartách (všechny transakce byly omezeny pouze na platformu Roku) ani jiných identifikačních informací.
Dostali jste e-mail od Roku o resetování hesla? Měli byste zkontrolovat i další své účty
Útoky credential stuffing jsou nebezpečné zejména proto, že uživatelé často používají stejné přihlašovací údaje pro různé služby. Proto, pokud jste obdrželi e-mail od Roku s žádostí o obnovení hesla po tomto incidentu, měli byste prověřit i zabezpečení vašich ostatních účtů.
Jakýkoliv účet, u kterého jste použili stejné uživatelské jméno a heslo, může být ohrožen, i když nepoužíváte slabá, běžně používaná hesla. (Tato hesla byste nikdy neměli používat!)
Jak ověřit, zda vaše uživatelské jméno a heslo nebyly kompromitovány?
Existuje několik způsobů, jak zjistit, zda vaše kombinace e-mailu a hesla nebyly odhaleny v důsledku úniku dat.
Jedním z prvních kroků je návštěva webové stránky HaveIBeenPwned, kterou provozuje Troy Hunt a která je užitečným a bezplatným nástrojem pro kontrolu úniků dat. Jednoduše zadejte svou e-mailovou adresu a klikněte na „pwned?“ a zobrazí se vám všechny případy, kdy se vaše e-mailová adresa objevila v souvislosti s únikem dat.
Toto je dobrý počáteční krok, ale neuvádí specificky uživatelská jména, názvy účtů, hesla atd. (z pochopitelných důvodů!). Pokud chcete zjistit, kde všude jste použili stejnou kombinaci uživatelského jména a hesla, budete muset provést hlubší manuální kontrolu. Níže uvádíme stručný přehled metod, které můžete použít:
- Najděte účty spojené s e-mailem zdarma: E-mailové služby jako Gmail a Outlook sledují propojené účty, informace o nich tak můžete dohledat přímo tam.
- Vyhledejte přihlášení prostřednictvím sociálních sítí: Projděte si všechny aplikace a webové stránky, ke kterým jste se přihlásili pomocí svých účtů na sociálních sítích.
- Hledejte ve své doručené poště zprávy o ověření účtu: Projděte si svůj e-mail a vyhledejte zprávy s ověřovacími kódy.
- Využijte nástroje pro odstranění účtů třetích stran: Tyto nástroje dokážou monitorovat a rušit vaše účty.
- Najděte všechny online účty pomocí služby Namechk: Tato služba vyhledává dostupná uživatelská jména na webových stránkách, a pokud je vaše běžné uživatelské jméno obsazeno, je možné, že tam máte účet.
- Zkontrolujte uložené účty v prohlížeči: Ačkoli to není nejbezpečnější způsob správy hesel, pro mnoho uživatelů je to dostačující.
- Používejte správce hesel: Pokud správce hesel používáte, měli byste mít silná a unikátní hesla, nicméně i tak se ujistěte, že nemáte žádná duplicitní nebo slabá hesla.
Jakmile zkontrolujete všechny své staré účty, změňte u každého z nich heslo na silné a unikátní. Zabezpečíte tak své profily nejen před útoky credential stuffing, ale i před dalšími typy narušení účtů, podvody s hesly a podobně.
Proto se prosím podívejte do své doručené pošty a zkontrolujte, jestli jste obdrželi e-mail od společnosti Roku týkající se resetování hesla. Pokud ano, měli byste bezodkladně přijmout potřebná opatření pro zajištění vašeho online bezpečí!