Rémálom-forgatókönyvet említ a ZDNet a Walt Disney Company szoftvermérnöke esetében, és nem is alaptalanul. A mérnököt roppant kellemetlen meglepetés érte tavaly 1Password jelszókezelőjével kapcsolatban, azonban nem biztos, hogy a program volt a hibás.

Az eset azzal kezdődött, hogy Matthew Van Andel mérnök egy ingyenes mesterséges intelligencia eszközt töltött le a népszerű GitHub kódmegosztó oldalról otthoni számítógépére, amellyel gyakran dolgozott home office-ban. A szoftver segített mesterséges intelligencia-képek létrehozásában szövegek alapján. Azonban volt itt valami más is: az alkalmazásba egy olyan infolopási eszközt csomagoltak, amelyik kívülről is teljes hozzáférést tett lehetővé a számítógéphez.

A felhasználó csak később gondolt arra, hogy hackertámadás áldozata lett, amikor Discord üzenetet kapott egy idegentől.  Ez egy privát beszélgetésre utalt, amelyet más Disney-munkatársakkal folytatott. Később egy másik borzongató üzenet megerősítette, hogy feltörték. Víruskereső szoftvere nem talált semmit a számítógépén, de telepített egy második víruskeresőt, amely szinte azonnal megtalálta a kártevőt.

Idáig a történet megegyezik sok hasonló, gépfertőzéses sztorival, azonban ezúttal további kellemetlenségek is történtek. A rosszindulatú program mögött ugyanis egy magát egy MI-ellenes aktivista csoport tagjának nevező hacker állt, aki kifejezetten a Disneyt vette célba. És ezt könnyedén meg is tehette, miután a telepített programmal hozzáférhetett Van Andel 1Password jelszókezelőjéhez. Ebben a jelszavakon kívül többek között „munkamenet-sütik” is voltak, amelyek lehetővé tették a hacker számára az online források elérését, többek között a munkatársak közötti kommunikációra szolgáló Disney Slack csatornát.

A szoftvermérnök azonnal jelentette a történteket a Disney kiberbiztonsági csapatának, feljelentést tett a rendőrségen, emellett valamennyi jelszavát megváltoztatta, azonban ezzel a rémálom még nem ért véget. A hackerek ugyanis több mint egy terabájtnyi anyagot szereztek meg a Disney belső Slack csatornáiról, és a teljes gyorsítótárat – 44 millió üzenetet – közzétették az interneten, magánügyfél-adatokat, alkalmazotti útlevélszámokat, valamint streamelési bevételi számokat.

A hackelés Van Andel életét is felforgatta. A hacker ellopta a hitelkártyaszámait, kiszivárogtatta fiókjába való bejelentkezési adatait, köztük a pénzügyi számlák elérhetőségeit. A támadó az interneten közzétette Van Andel személyes adatait, a társadalombiztosítási számától a bejelentkezési adatokig, amelyek segítségével hozzá lehetett férni az otthonában lévő Ring kamerákhoz is. Az ügy apró mellékszála, hogy Van Andel elveszítette az állását, de nem ezért az esetért, hanem mert állítólag pornográf anyagokhoz férhetett hozzá a vállalattól kapott laptopon. A kétgyermekes mérnök egyébként ezt tagadja.

A Disney úgy gondolta, hogy az esetnek nem lesz jelentős hatása a működésére vagy a pénzügyi teljesítményére. A feltörést követően mindenesetre közölte az alkalmazottakkal, hogy azt tervezik, eltávolodnak a Slacktól, és racionalizálják együttműködési eszközeiket.

Az esetet részletező cikkből egyébként az is kiderült, hogy Van Andel a jelszókezelőt használta a kétfaktoros hitelesítési kulcsok tárolására számos webhelyhez, viszont pont az 1Passwordnél nem kapcsolta be ezt a fajta azonosítást.

Felvetődik a kérdés, hogy most akkor mennyire hibás a jelszókezelő? Nos, semennyire. A hackerek ugyanis nem érték el az 1Password szervereit, és nincs bizonyíték arra, hogy fel tudták volna törni az adatbázist védő titkosítást. Hasonló lehetett volna a helyzet bármelyik jelszókezelő programmal egy meggondolatlan letöltés után. Ezt Casey Ellis kiberbiztonsági szakértő is megerősíti, szerinte ez az egész bárkivel megtörténhet. Azt javasolja, hogy a felhasználók figyeljék, mit töltenek le és telepítenek a számítógépükre, illetve hogy mindenki engedélyezze a többtényezős hitelesítést minden alkalmazásban. 

Ha máskor is tudni szeretne hasonló dolgokról, lájkolja a HVG Tech rovatának Facebook-oldalát.