Az utóbbi években szinte megszokottá vált, hogy az adatlopási incidensek során milliós nagyságrendben hozzák nyilvánosságra a különböző felhasználói profilokhoz kapcsolódó adatokat. Kockázatot viszont nem csak az érzékeny adatok kiszivárogtatása jelent, hiszen esetenként már az is kényes információ lehet, ha egy emailcím bizonyíthatóan hozzárendelhető egy adott szolgáltatásban működő felhasználói fiókhoz.

Az Adult Friend Finder szexpartner-keresőtől például májusban került ki majdnem 4 millió felhasználó levélcíme, akik közül sokan valószínűleg nem csak a hitelkártya-tranzakcióik miatt aggódnak, mert a magánéletüket önmagában az is felforgathatja, hogy a regisztrációjuk nyilvánosságra került. Ahogy azonban a biztonsági szakemberek is felhívják rá a figyelmet, ez sok esetben nem a hackereken, hanem a szolgáltató indiszkrécióján múlik.

Ahol tálcán kínálják az adatokat

Sok webes alkalmazás egyszerűen magától is megmutatja, hogy az adott felhasználónév vagy emailcím létezik-e a rendszerén, ami lehet a rossz beállítások vagy a rossz tervezés eredménye is. A lényeg mindenesetre annyi, hogy esetenként elég beírni egy tippelt felhasználónevet vagy címet és egy kamu jelszót, hogy a rendszerüzenetből kiderüljön: a felhasználónév létezik, de a jelszó – nyilvánvalóan – helytelen.

Ezzel a primitív módszerrel a támadók is könnyen elkészíthetik a saját listájukat a regisztrált felhasználók egy részéről, és mint utólag kiderült, az Adult Friend Finder "elfelejtett jelszó" oldala is hasonlóan működött. Sőt még ennél is jobban, ugyanis az oldal már a bejelentkezéskor is a "nem létező cím" választ dobta, ha valaki nem regisztrált emailcímekkel próbálkozott – szemben a létező címekkel, ahol a hibás jelszót kifogásolta.

Árulkodó jelekből máshol nincs hiány

Van, ahol gondolnak az ilyesmire, de a beállítások megváltoztatásáig már nem jutnak el. A hasonló, bár kisebb volumenű adatlopási incidensbe keveredett AshleyMadison.com oldalon a próbálkozásokra már minden esetben az az uniformizált üzenet érkezett, amely szerint a rendszer el fogja küldeni a jelszóemlékeztetőt, ha érvényesnek találja a megadott címet. Ez alapvetően jó megoldás lenne, ha a nem létező címek esetében nem jelent volna meg a szöveg alatt egy második próbálkozást is lehetővé tevő beviteli mező, amely a létező címek esetében nem bukkant fel. Itt nem dizájnproblémáról, mindössze rossz beállításokról van szó, ami az eredmény szempontjából persze teljesen mindegy.

Ahogy az Open Web Application Security Project egyik anyaga igen szemléletesen bemutatja, az árulkodó jeleknek ezzel még nincs vége: beszédesek lehetnek a különböző URL-ek, vagy például a szemre teljesen azonos oldalak betöltési ideje közti mérhető különbség. Ennek oka, hogy a rendszer a betöltési folyamat részeként elküldi az emlékeztető levelet a regisztrált címekre, míg az ismeretlen címekre nem küld semmit.

A legtöbb a felhasználón múlik

A szakértők szerint minden felhasználónak észben kell tartania, hogy a regisztrációt követően bármikor felfedezhető és azonosítható lesz az adott szolgáltatásban létrehozott fiókja. Bár sokan rendelkeznek egy vagy több olyan emailcímmel, amelyet kifejezetten az online regisztrációk kedvéért tartanak, még az elővigyázatos netezők is hajlamosak azt feltételezni, hogy a megbízhatónak tartott szolgáltatók esetében erre nincs szükségük.

A felfedezéshez azonban, mint a fenti példák is mutatják, nincs szükség egy konkrét hackertámadásra. Így saját biztonságukért a felhasználók tehetik a legtöbbet, ha eleve olyan fiókokat igyekeznek kialakítani, amelyek semmiképpen sem követhetők vissza egészen a valós személyükig.