Nieaktywne konta online: czas na cyfrowe porządki

Porzucone konta, często słabo zabezpieczone i oparte na przestarzałych hasłach, mogą zostać przejęte i wykorzystane do oszustw, kradzieży tożsamości czy wyłudzeń finansowych. Czas najwyższy odzyskać kontrolę nad własnym bezpieczeństwem w sieci.

Aż 170 różnych haseł!

W trakcie cyfrowego życia każdy z nas korzysta z wielu usług, aplikacji czy kont mailowych, o których używaniu zapominamy, gdyż mogły to być na przykład darmowe wersje próbne czy inne subskrypcje, których nie wyłączyliśmy. Rozrastająca się liczba kont to realny problem. Szacuje się, że przeciętna osoba posiada hasła do niemal 170 różnych kont[1]! Co więcej, każdego dnia jako użytkownicy usług cyfrowych, jesteśmy zarzucani specjalnymi ofertami i nowymi usługami, a często jedynym sposobem, by je wypróbować, jest założenie nowego konta.

– Jesteśmy tylko ludźmi – nasze zainteresowania z czasem się zmieniają, zauważamy, że dana aplikacja czy usługa nie jest nam już potrzebna i zwyczajnie nie pamiętamy danych logowania do niej. Wygodniej nam zostawić konto samo sobie, niż je usunąć. – mówi Kamil Sadkowski, analityk laboratorium antywirusowego ESET.

Tymczasem zarówno prywatne jak i firmowe konta, które pozostają nieaktywne przez dłuższy czas, są bardziej podatne na przejęcie, gdy korzystają ze starych lub wielokrotnie używanych danych logowania, które mogły wyciec podczas wcześniejszych naruszeń danych. Według danych Google „porzucone konta są co najmniej 10 razy mniej skłonne do posiadania włączonej weryfikacji dwuetapowej niż konta aktywne”[2].

Jak działają cyberprzestępcy?

Nieaktywne konta mogą stać się łatwym celem dla cyberprzestępców. Jakie techniki wykorzystują do osiągnięcia swoich celów?

– Na przykład złośliwe oprogramowanie typu infostealer, które służy do wykradania danych logowania. Dane ESET, zawarte w Threat Report za II połowę 2024 roku, pokazują, że pod względem częstotliwości wykorzystania tego typu narzędzi znajdujemy się na 4. miejscu na świecie, za Japonią, Hiszpanią i Turcją. Inną doskonałą okazją do przejęcia nieaktywnych kont są masowe wycieki danych, podczas których hakerzy przejmują całe bazy loginów i haseł z firm trzecich, do których rejestrowali się użytkownicy różnych aplikacji czy usług. Skuteczną metodą może być też tzw. credential stuffing, czyli automatyczne próby logowania do kont z wykorzystaniem danych logowania pasujących do innych kont tego samego użytkownika. – tłumaczy Kamil Sadkowski.

Okazuje się, że powtarzanie haseł jest plagą w przestrzeni biznesu. Aż co trzeci  badany pracownik przyznał się do posiadania jednego, podobnego hasła do większości swoich służbowych kont, co stanowi bardzo niebezpieczny proceder – wynika z raportu „Cyberportret polskiego biznesu. Bezpieczeństwo cyfrowe oczami ekspertów i pracowników” przygotowanego przez ESET i DAGMA Bezpieczeństwo IT.

Konsekwencje nieaktywnych kont

W przypadku przejęcia konta przez cyberprzestępcę może ono zostać wykorzystane do rozsyłania spamu lub wiadomości do zapisanych kontaktów, a także do przeprowadzania ataków phishingowych z użyciem tożsamości właściciela. Dodatkowo nieaktywne konta, mogą zawierać dane osobowe oraz zapisane informacje o kartach płatniczych, które mogą posłużyć do dokonania nieautoryzowanych transakcji. Konta posiadające wartość – na przykład związane z programami lojalnościowymi – mogą również trafić na sprzedaż do sieci darknet.

Czas na cyfrowe porządki

Część dostawców usług cyfrowych, jak Google czy Microsoft automatycznie zamyka nieaktywne konta po określonym czasie.

Jednak w kwestii bezpieczeństwa cyfrowego należy wziąć sprawy w swoje ręce. Co zrobić?

• Regularnie przeglądaj i usuwaj nieaktywne konta. Dobrym sposobem na ich znalezienie jest przeszukanie skrzynki mailowej pod kątem haseł takich jak „Witamy”, „Zweryfikuj konto”, „Bezpłatna wersja próbna”, „Dziękujemy za rejestrację”, „Aktywuj konto” itp.
• Sprawdź menedżer haseł lub listę zapisanych haseł w przeglądarce i usuń te, które są powiązane z nieaktywnymi kontami – lub zmień je, jeśli zostały oznaczone jako niebezpieczne lub pochodzące z naruszenia danych.
• Sprawdź politykę usuwania kont u danego usługodawcy – upewnij się, że wraz z kontem zostaną usunięte wszystkie dane osobowe i finansowe.
• Zastanów się dwa razy, zanim założysz kolejne nowe konto – czy na pewno jest niezbędne?

W przypadku kont, które chcesz zachować:

• Zmieniaj hasła na silne i unikalne – oraz przechowuj je w menedżerze haseł.
• Włącz uwierzytelnianie dwuskładnikowe (2FA) – nawet jeśli ktoś zdobędzie twoje hasło, nie zaloguje się bez dodatkowego potwierdzenia.
• Uważaj na wiadomości phishingowe, które próbują nakłonić cię do podania danych logowania lub zainstalowania złośliwego oprogramowania (np. infostealera).

[1] https://www.globenewswire.com/news-release/2024/05/21/2885556/0/en/People-have-around-170-passwords-on-average-study-shows.html

[2] https://blog.google/technology/safety-security/updating-our-inactive-account-policies/