Web hlídal plugin. Byl čtyři a půl měsíce vypnutý.
Padesát devět zadních vrátek, ukradené heslo místo díry v systému a otázka, na které klientovi záleželo nejvíc: odešla někam data?
Web galerie se choval divně a hosting napsal, že z domény odchází spam. Klasický začátek. Konec byl méně klasický: v systému leželo padesát devět zadních vrátek ve dvou rodinách. Část z nich si falšovala datum poslední změny, takže při běžném pohledu do správce souborů vypadala jako původní soubory z instalace.
Nejdřív se zjišťuje, kudy se dostali dovnitř
Tohle je krok, který se často přeskočí. Web se uklidí, nasadí se záloha, všichni si oddechnou — a za tři týdny je to zpátky, protože se zavřely dveře, ale ne ty, kterými se chodilo.
V tomhle případě všichni čekali díru v nějakém doplňku. Logy říkaly něco jiného: stovky pokusů o přihlášení do administrace, u kterých server pokaždé odpověděl „špatné heslo”. A pak jedno jediné přihlášení, které prošlo napoprvé.
To není hádání hesla hrubou silou. To je heslo, které už útočník měl — uniklé, odposlechnuté nebo použité i někde jinde, odkud uniklo.
Rozdíl je zásadní, protože mění, co se má opravit. U díry v doplňku se aktualizuje. U ukradeného hesla je aktualizace k ničemu: musí se měnit hesla, rušit staré účty a zapnout druhý faktor, jinak se útočník příště zase jen přihlásí.
Otázka, na které záleží nejvíc
Klient se neptal, kolik bylo backdoorů. Ptal se na jedinou věc:
Unikla nám data?
Na tohle existuje odpověď, i když ji nikdo nečeká. Zadní vrátka se dají přečíst a zjistit, co vlastně umějí a kam by data posílala. Přístupové logy ukazují, jestli je někdo vůbec vyvolal a co si odnesl. V tomhle případě z toho vyšlo, že skripty sloužily k rozesílání pošty a k udržení přístupu, ne k odesílání obsahu databáze — a v logu nebyl jediný požadavek, který by odpovídal stahování dat.
Tohle není detail pro technika. Když osobní údaje uniknou, máte podle GDPR ohlašovací povinnost a běží vám lhůta. Doložené „neuniklo” a nedoložené „asi neuniklo” jsou z pohledu úřadu dva úplně jiné světy.
Proč to vůbec doběhlo tak daleko
Bezpečnostní doplněk, na který se celou dobu spoléhalo, byl čtyři a půl měsíce vypnutý. Nikdo ho nevypnul se zlým úmyslem — nejspíš se deaktivoval při nějaké aktualizaci a nikdo si toho nevšiml, protože web dál fungoval.
A v tom je celá pointa. Ochrana, o které se nikdo nedozví, že přestala fungovat, není ochrana. Je to jenom pocit.
Co si z toho odnést
- Kontrolujte, že ochrana běží, ne že je nainstalovaná. Cokoli, co má hlídat, musí umět dát vědět, že žije. Stačí jeden e-mail týdně se shrnutím.
- Druhý faktor na administraci. Ukradené heslo je nejběžnější vstup a je to jediné opatření, které ho samo o sobě zastaví.
- Omezte administraci na své adresy, pokud to jde. Většina malých firem se do správy webu přihlašuje z jedné až dvou sítí.
- Zálohy s historií a mimo server. Útočník, který je uvnitř měsíce, vám přepíše i zálohu, ke které se dostane.
- Po incidentu nejdřív vyšetřit, pak uklidit. Vyčištěný server už neřekne, co se stalo.
Jestli teď zrovna řešíte podobnou věc, nevypínejte server, pokud vám to někdo výslovně neporadil — vypnutý stroj se zkoumá hůř a část stop je jenom v běžící paměti.
Nevíte, jestli váš web někdo nehlídá zvenčí místo vás? Projdu vám ho zdarma — nebo rovnou poptejte audit.