בדיקת דליפת סיסמאות: איך לבדוק ומה עושים אחרי

בדיקת דליפת סיסמאות: מה נבדק בפועל, ומול מה

בדיקת דליפת סיסמאות יכולה לגלות שמידע מופיע במאגר חשיפות מוכר. זו בדיקה יזומה מוגבלת, ולא אבחון של כל דרכי הפריצה: חשבון יכול להיפגע גם בעקבות פישינג, נוזקה, הפעלה שנגנבה או הרשאה זרה. כאן מבחינים בין סוגי הבדיקה, בוחרים כלי מוכר ומפרשים את התוצאה בלי למסור פרטי כניסה לגורם לא מזוהה.

לפני שימוש בכלי, בדקו מה הוא מחפש: כתובת דואר שנכללה באירוע חשיפה, סיסמה שמופיעה ברשימה או סיסמה שמורה שסומנה בכלי שלכם. אלה שאלות שונות. תוצאה חיובית אינה מוכיחה כניסה לחשבון, ותוצאה שלילית אינה מוכיחה שהמידע מעולם לא נחשף.

איך בוחרים כלי ומבינים מה נשלח אליו

אין מנגנון אחד לכל שירותי הבדיקה. לדוגמה, תיעוד Pwned Passwords של Have I Been Pwned מתאר חיפוש באמצעות חמשת התווים הראשונים של גיבוב הסיסמה והשוואה מקומית של התוצאות. זהו מנגנון מסוים, לא בדיקה שאתם יכולים להסיק על כל אתר מהעיצוב שלו. במנהל סיסמאות מוכר אפשר להשתמש בבדיקה המובנית לפי תיעודו, בלי להעתיק סוד לכלי אקראי.

אל תזינו סיסמה פעילה בדף שלא אימתתם, ואל תמסרו אותה יחד עם שם משתמש למי שפנה אליכם בהצעת "בדיקת אבטחה". עצם העובדה שהדף מבטיח הצפנה אינה הוכחה לאופן שבו הוא מטפל בנתונים. בדיקת כתובת דואר דורשת גם היא כלי ומטרה מתאימים. המדריך על פישינג מסביר כיצד הודעת עזרה יכולה לשמש לאיסוף פרטים.

סוגי בדיקה והגבולות של כל אחד

בחרו בדיקה לפי השאלה שאתם מנסים לענות עליה, ולא לפי הבטחה כללית ש"הכול בטוח":

כל סוג בדיקה נשען על מידע שכבר הגיע לכלי. ניטור עשוי להתריע על ממצא שנוסף בהמשך, אך אינו חוזה דליפה עתידית. בדיקת דואר אינה חושפת בהכרח את הסיסמה שנדלפה, ובדיקת סיסמה לבדה אינה קובעת לאיזה חשבון היא שייכת. שאלות ותשובות של HIBP מסבירות את ההפרדה בין המידע על חשיפות לבין מאגר הסיסמאות.

התוצאה חיובית. מה עושים, ובאיזה סדר

זהו מה נמצא והאם הוא עדיין בשימוש. סימני פעולה לא מורשית דורשים טיפול דחוף במסלול האבטחה של השירות. כשנמצאה סיסמה חשופה שעדיין פעילה, החליפו אותה בהקדם בכל מקום שבו היא משמשת. סדר הטיפול תלוי גם בחשבונות השחזור ובהרשאות שנפגעו.

בדיקת חשבון שחזור מרכזי שנפגע

אם תיבת דואר משמשת לשחזור חשבונות אחרים והיא נפגעה או משתמשת בסיסמה החשופה, תנו לה עדיפות. לא כל החשבונות משוחזרים דרך אותה תיבה. בדקו סיסמה, אמצעי אימות, פרטי שחזור, מכשירים, כללי סינון והעברת דואר לא מוכרת, לפי אפשרויות השירות. עשו זאת ממכשיר מהימן ושמרו דרך לחזור לחשבון.

מחליפים בכל מקום שבו אותה סיסמה שימשה

החליפו סיסמה שנחשפה בכל שירות שבו היא עדיין פעילה, גם אם לא נמצא סימן לכניסה. בחרו סיסמה חדשה וייחודית, ולא שינוי צפוי כמו ספרה נוספת. אם נמצאה רק כתובת דואר בהדלפה, קראו אילו סוגי מידע נכללו בה; אל תניחו שהבדיקה גילתה את הסיסמה הנוכחית שלכם.

סקירת הפעלות והרשאות לפי השירות

בדקו כיצד השירות מטפל בהפעלות לאחר שינוי סיסמה. חלק מהחיבורים עשויים להתנתק ואחרים להישאר; לא בכל כלי קיימות אותן אפשרויות. סקרו הפעלות, מפתחות והרשאות אפליקציות ובטלו גישה לא מוכרת במסלול הרשמי. לפני ניתוק ההפעלה היחידה ודאו שדרך השחזור תקינה. ההליך המלא לצד פייסבוק מתואר כאן.

הוספת אימות נתמך ושחזור מוגן

הוסיפו אימות מתאים כשהשירות תומך בו. הוא מצמצם סיכון, אך אינו מבטיח שחשבון לא ייפגע לאחר דליפה. קוד מאפליקציה עדיין יכול להימסר לאתר מתחזה, בעוד מפתח כניסה או מפתח אבטחה מתאים יכולים לספק אימות עמיד לפישינג. כך מפעילים אימות דו-שלבי באינסטגרם. בחרו שיטה נתמכת ושמרו אמצעי שחזור וקודי גיבוי בצורה מוגנת.

למה סיסמה שדלפה מסוכנת גם כשאף אחד לא "פרץ" לכם

ניסיון להשתמש בפרטי התחברות שנחשפו בשירות אחר נקרא לעיתים credential stuffing. שימוש חוזר מאפשר לתוקף לנסות אותם, אך אין בכך הוכחה שהוא יצליח או שלא תופיע התרעה. שירותים יכולים לזהות דפוס חריג, לבקש אימות או לחסום ניסיון, גם אם הסיסמה נכונה.

לכן בדקו בנפרד הודעות אבטחה ופעילות בתוך החשבון. הודעת הצלחה, בקשת אימות או היעדר הודעה אינם אבחון מלא של האירוע. אם קיימת פעולה שלא ביצעתם, אל תחכו שתופיע במאגר דליפות; הפעילו את מסלול הטיפול בחשבון שנפגע.

מה בדיקת דליפת סיסמאות לא תגלה לכם

• חשיפות שלא נמצאות במאגר. ייתכן מידע שלא פורסם או שלא הגיע לשירות הבדיקה. תוצאה שלילית אינה אישור שלא הייתה חשיפה.
• מצב המכשיר. בדיקת מאגר אינה סריקת נוזקות. מידע שנגנב ממכשיר עשוי להופיע במאגר בהמשך או לא להופיע בו כלל.
• הרשאות והפעלות. מאגר דליפות אינו סוקר אוטומטית מי מחובר לחשבון. אופן ביטולן לאחר שינוי סיסמה תלוי בשירות ובהרשאה.
• בעלי גישה. מנהל לשעבר או ספק עשויים להחזיק הרשאה בלי קשר לדליפה. בדקו אותם בנכס עצמו; ראו הגדרות מנהל העסקים.

איך מורידים את הסיכון לפעם הבאה

סיסמה צריכה להיות גם ייחודית וגם חזקה בהתאם לדרישות השירות. מנהל סיסמאות מסייע בכך, ואימות נוסף וסקירת הרשאות מוסיפים שכבות הגנה. קבעו בדיקה בתדירות שמתאימה לרגישות החשבונות ולכלים הזמינים, והגיבו מיד לממצא רלוונטי; בדיקה רבעונית היא אפשרות תכנון, לא כלל שמבטיח אבטחה.

עברו גם על חשבונות שכבר אינם בשימוש. לפני סגירה בדקו אם הם משמשים לשחזור, לבעלות או לשמירת מסמכים הנדרשים לכם. סגירת חשבון אינה מוחקת מידע שכבר דלף ואינה מבטלת בהכרח כל עותק אצל הספק; עקבו אחר תנאי השמירה והסגירה שלו.

לעסק: זה נוהל, לא אירוע

בעסק, הגדירו אילו חשבונות שבשליטתכם מותר לבדוק ומי אחראי לכך. אל תאספו סיסמאות של עובדים או תבדקו חשבונות פרטיים ללא בסיס מתאים. במקביל סקרו הרשאות לעמודים, חשבונות מודעות ושירותי תשתית. זהות בעלת גישה שנפגעה יכולה לסכן נכס קשור, לפי ההרשאות שלה; אין מסלול חדירה יחיד לכל עסק.

תעדו את השירות שנבדק, סוג הבדיקה, מועד, מגבלות התוצאה והפעולה שבוצעה, בלי סיסמאות או קודי אימות בתוך הדוח. הגדירו אחראי לשינוי ודרך לאמת שהסוד החשוף הוחלף או שהגישה הזרה בוטלה. תיעוד "נבדק" לבדו אינו הוכחה שהחשבון מאובטח.

פנייה יזומה של "מומחה שחזור" שמבקש סיסמה או קוד היא סימן אזהרה. חזרו לשירות דרך כתובת או אפליקציה מוכרות ובדקו את מסלול האבטחה שם. כשאתם יוזמים שחזור רשמי, קראו מה כל קוד מאשר והשתמשו בו רק בבקשה שיזמתם; אין למסור אותו לאדם אחר כדי שייכנס במקומכם.

דוגמת בדיקה: כתובת שנחשפה אינה סיסמה שהתגלתה

דוגמה מומצאת: כלי מוכר מציג שכתובת דואר נכללה במאגר אנשי קשר שנחשף, ובפירוט נכתב שהמידע כולל כתובות ושמות. הממצא אינו מוכיח שהסיסמה נכללה. בדוח נרשמים סוג המידע, תאריך הבדיקה והצורך בערנות להודעות התחזות. אם כלי הסיסמאות מזהה בנפרד סיסמה חשופה פעילה, זו משימת החלפה אחרת. כך נמנעים מלהציג בדיקת דואר כאבחון מלא של כל החשבונות.