ב-2 באוגוסט הופץ בטלגרם קובץ בגודל שבעה ג'יגה-בייט, בחינם. בתוכו היה מה שנוזקת גניבת מידע אספה מ-5,871 מחשבים ב-162 מדינות: סיסמאות, קבצים, ותוכן של דפדפנים. צוות מודיעין האיומים של חברת Okta, בהובלת ג'רמי קירק, ישב על הקובץ וספר מה יש בו. הממצא המדאיג לא היה הסיסמאות.

מה קרה

כשאתם מתחברים לשירות ומזינים סיסמה ואחריה קוד אימות, השירות מחזיר לדפדפן פיסת מידע קטנה שאומרת בערך "הבנאדם הזה כבר הוכיח מי הוא, תנו לו להיכנס". היא זו שחוסכת מכם להתחבר מחדש בכל פעם, והיא נשארת בתוקף ימים ולפעמים שבועות. נוזקה שרצה על המחשב מעתיקה אותה כמו כל קובץ אחר, ומי שמחזיק בה נכנס לחשבון בלי הסיסמה ובלי קוד האימות, כי שני אלה כבר נבדקו. לפיסת המידע הזאת קוראים session token, ולשימוש החוזר בה קוראים replay.

Okta ספרה בקובץ 44,791 token-ים ייחודיים. ביום שבו הקובץ פורסם, 1,843 מהם עדיין לא פגו. 555 מהם שייכים לשירותי בינה מלאכותית, בהם של גוגל, מיקרוסופט, Anthropic, אמזון, Notion, Character.ai ו-Cursor, ולצידם נמצאו 24 מפתחות API תקפים לארבעה שירותים כאלה. ב-17.7 אחוז מה-token-ים היו פרטים מזהים גלויים על בעל החשבון. כמה מהחשבונות האלה נפרצו בפועל, החברה לא בדקה ולא טוענת לדעת.

למה זה חשוב לכם

רוב מי שקורא את זה מנהל היום שיחות עם צ'אטבוט, ובתוך היסטוריית השיחות יושבים דברים שלא הייתם שולחים לזר: מספרי תעודת זהות, שאלות רפואיות, טיוטות של מסמכי עבודה, לפעמים קוד של החברה. אימות דו-שלבי מגן על שלב ההתחברות, והגניבה הזאת מתרחשת אחריו, ולכן הוא לא עוזר כאן. מה שכן חשוב להבין הוא איך הנוזקה הגיעה לשם מלכתחילה, כי זה החלק שבשליטתכם: נוזקות גניבת מידע מגיעות כמעט תמיד דרך תוכנה שבורה שהורדתם, מתקין מזויף שהופיע בפרסומת בראש תוצאות החיפוש, או תוסף דפדפן שביקש הרשאות רחבות מדי.

מה עושים?

היכנסו להגדרות האבטחה של החשבונות שאתם באמת משתמשים בהם, בעיקר גוגל ושירותי ה-AI, וחפשו את האפשרות להתנתק מכל המכשירים או לנתק חיבורים פעילים. זו הפעולה היחידה שמבטלת token שכבר נגנב.

אל תסתפקו בהחלפת סיסמה. בחלק מהשירותים החלפת סיסמה לא מנתקת את החיבורים הקיימים, ולכן היא משאירה את מי שכבר בפנים, בפנים.

אם יצרתם אי פעם מפתח API לשירות AI והדבקתם אותו בקובץ, בסקריפט או בהגדרות של כלי פיתוח, צרו מפתח חדש ומחקו את הישן.

הימנעו מהורדת תוכנות מפוצחות ומהתקנה של מתקינים שהגיעו מפרסומת בתוצאות החיפוש. זה שער הכניסה של נוזקות מהסוג הזה, והוא נסגר בהחלטה אחת.

החלפת הסיסמה היא הצעד המובן מאליו, והיא גם זו שמשאירה את הדלת פתוחה כשלא ניתקתם את החיבורים שכבר נפתחו.