Jak wygląda atak hakerski na stronę WWW?

Jeden na pięć cyberataków zaczyna się od wykradzionych haseł – to jeden z głównych wniosków tegorocznego raportu Data Breach Investigations Report, przygotowanego przez Verizon. W praktyce przestępcy wcale nie muszą znać danych logowania, aby się włamać na czyjeś konto. Jeśli system logowania jest słabo zabezpieczony, mogą wykorzystać oprogramowanie, które generuje nieskończone wersje haseł i loginów, aby w końcu trafić na właściwą kombinację. W ten sposób niejako przeforsowują tę podstawową barykadę. Na tym, w skrócie, polegają ataki brute force.

Ataki typu injection od lat pozostają jednym z najpoważniejszych zagrożeń dla stron i aplikacji webowych; zresztą cały czas utrzymują się w samej czołówce OWASP Top 10. SQL injection polega na „wstrzyknięciu” kodu SQL w stronę internetową tak, aby został uruchomiony po stronie serwera. Wygląda to tak: haker wpisuje złośliwy kod np. w polu formularza logowania do konta; w efekcie strona, która docelowo ma sczytać dane logowania z formularza, zamiast tego uruchamia kod. W ten sposób haker może uzyskać dostęp nawet do całej bazy danych.

Kolejnym rodzajem ataku hakerskiego jest DoS/DDoS. Skrót DDoS oznacza Distributed Denial of Service i, w skrócie, ma na celu doprowadzić do przeciążenia serwera. Aby przeprowadzić tego rodzaju atak hakerzy wykorzystują boty, które wysyłają ogromną liczbę ciągle powtarzających się zapytań do serwera. Gdy liczba równoczesnych połączeń przekracza możliwości serwera lub łącza sieciowego, cała strona pada.

Warto też wiedzieć, że w postaci botów przestępcy często wykorzystują komputery zwykłych użytkowników, do których dostęp uzyskali dzięki złośliwemu oprogramowaniu. Właściciele zainfekowanych urządzeń… zwykle w ogóle o tym nie wiedzą.

Atak XSS to jeden z najtrudniejszych ataków hakerskich, z jakim możesz się zmierzyć; został on z powodzeniem wymierzony nawet w tak duże serwisy jak Microsoft czy Google.

Większość ataków XSS wykorzystuje złośliwe skrypty JavaScript, które są zamieszczone w linkach. Gdy użytkownik klika taki link, uruchamia kod, który jest w stanie przejąć sesję na stronie, uzyskać dostęp do konta, czy nawet zmienić reklamy wyświetlane na witrynie. Hakerzy zazwyczaj zamieszczają takie złośliwe odnośniki na forach internetowych, serwisach społecznościowych czy w innych miejscach, które generują dużo ruchu, a jednocześnie pozwalają łatwo zamieszczać swoje treści.

Ciasteczka są przechowywane w przeglądarce internetowej i zawierają informacje na temat użytkownika: jego dane logowania czy historię przeglądania na danej stronie. Jeśli ktoś z zewnątrz zyska do nich dostęp, będzie w stanie zalogować się w aplikacji jako dany użytkownik bez znajomości hasła, czyli, innymi słowy, przejmie jego sesję. Stąd ten typ ataku określa się też jako session hijacking.

W przypadku ataku phishingowego wykorzystuje się niewiedzę lub, często, naiwność ludzi. Celem jest kradzież danych logowania, numerów kart kredytowych czy innych wrażliwych informacji – aby to zrobić, haker podszywa się pod jedną ze stron w komunikacji internetowej. Jako przykład weźmy tutaj bank.

Próba wyłudzenia informacji często sprowadza się do wysyłania maili czy SMS-ów do użytkowników danego banku z prośbą o podanie, czy „potwierdzenie” pewnych danych. Wiadomości przekierowują na stronę podszywającą się pod prawdziwą witrynę instytucji – wygląda w zasadzie identycznie, a jej adres będzie zwykle bardzo podobny. Niczego niepodejrzewające ofiary „zweryfikują” na prośbę przestępcy pewne dane, czy też wykonają normalną próbę logowania… tyle że ich informacje nie trafią do banku, ale w ręce oszusta. W ten sposób haker może uzyskać pełny dostęp do konta bankowego.

Choć o phishingu mówi się od jakiegoś czasu, to jednak dalej wiele osób pada ofiarą takich ataków; m.in. dlatego, że oszuści korzystają z coraz bardziej wyrafinowanych metod. Zdarzają się na przykład ataki, w których ofiara otrzymuje bardzo spersonalizowaną wiadomość z informacjami, które przestępcy zdobyli… z jej profilu w social mediach – na tym polega spear-phishing. A dziś, z pomocą AI oszuści są w stanie błyskawicznie rozesłać setki maili, które są niemal nie do rozróżnienia od tych, które mógłby wysłać np. bank.

Warto też zdawać sobie sprawę z tego, jak częste są próby takich oszustw. Według tegorocznego raportu Hoxhunt, na każde 100 pracowników w dużych firmach przypada średnio… 233 phishingowych maili.

Ransomware to złośliwe oprogramowanie, które szyfruje pliki na pojedynczym komputerze lub w całej sieci firmowej, blokując do nich dostęp i paraliżując cały system.

Jeśli hakerom uda się zainfekować w ten sposób firmową infrastrukturę – czy to przez luki w zabezpieczeniach systemu, czy nawet wysyłając zainfekowany załącznik w phishingowej wiadomości – następnym krokiem jest żądanie okupu w zamian za klucz do odszyfrowania danych. W najgorszym wypadku przestępcy mogą najpierw wykraść dane, a dopiero potem je zablokować; wtedy mamy do czynienia z tzw. double extortion, ponieważ hakerzy mogą zażądać okupu podwójnie: za odblokowanie plików i za nieujawnianie ich zawartości. Dlatego właśnie ten typ ataku jest tak groźny; wg raportu State of Ransomware publikowanego co roku przez firmę Sophos, średni koszt odzyskania danych po ataku ransomware wynosi aż półtora miliona (!) dolarów.

Wyobraź sobie, że prowadzisz restaurację. Masz zaufanego dostawcę przypraw, od którego co dwa tygodnie, od kilku lat, dostajesz świetnej jakości produkty. Co by się stało, gdy pewnego dnia ktoś dodał do przypraw groźnych środków chemicznych? Na talerze Twoich gości trafiłyby zatrute dania i mimo, że cała sytuacja teoretycznie nie wynikałaby z Twojej winy – to Ty musiałbyś liczyć się z konsekwencjami.

Na takiej zasadzie działają ataki na łańcuchy dostaw. Hakerzy nie atakują bezpośrednio Twojej strony, tylko oprogramowanie third-party, z którego korzysta witryna. Może to być np. wtyczka do WordPressa albo open-source’owa biblioteka JavaScript. Jeśli ktoś „wstrzyknie” do nich złośliwy kod i nie zostanie to wykryte – gdy następnym razem zaktualizujesz wtyczkę, trafi on również na Twoją stronę.

Na koniec zbierzmy najważniejsze dobre praktyki, które, naszym zdaniem, powinno się stosować na każdej stronie WWW.

1. Wdróż jak najsilniejsze metody uwierzytelniania. Wymagaj mocnych haseł (unikalne, długie, z różnymi znakami), a jeśli przechowujesz dane wrażliwe – pomyśl o uwierzytelnianiu dwuskładnikowym, zwłaszcza dla administratorów!
2. Regularnie aktualizuj wszystkie programy, które tworzą środowisko Twojej strony – od CMSu, przez wtyczki i motywy po oprogramowanie serwera.
3. Korzystaj z zapory sieciowej – WAF – która będzie filtrować ruch przychodzący do Twojej strony i w ten sposób blokować próby niektórych rodzajów ataków (SQL injection, XSS, brute force).
4. Regularnie twórz i testuj kopie zapasowe – najlepiej stosować zasadę 3-2-1 (trzy kopie, dwa różne nośniki, jeden poza główną siecią firmową).
5. Zawsze wymuszaj korzystanie z protokołu HTTPS, na całej stronie.

Przestępcy mają wiele sposobów, aby złamać zabezpieczenia Twojej strony; co więcej, wciąż znajdują nowe metody i kolejne exploity, nawet w najbardziej znanych aplikacjach. Dlatego o bezpieczeństwo strony trzeba się troszczyć nie tylko na etapie wdrożenia, ale przez cały czas – na przykład pamiętając o regularnych audytach bezpieczeństwa.

Jeśli potrzebujesz wsparcia przy przeprowadzaniu takiego audytu – umów się na konsultację ze specjalistami Smartbees, a chętnie Ci pomożemy.