Krađa identiteta: kako se dogodi i kako se zaštititi

Krađa identiteta je zlouporaba tuđih osobnih podataka i vjerodajnica kako bi se napadač predstavljao kao druga osoba. S ukradenim identitetom napadač otvara račune, izvršava transakcije, šalje poruke u tuđe ime i pristupa sustavima kao da je legitiman korisnik. U digitalnom svijetu identitet više nije papir u ladici, nego skup podataka: korisničko ime, lozinka, broj telefona, OIB, podaci s osobne iskaznice i tokeni koje sustavi koriste da vas prepoznaju. Tko dođe do dovoljno tih podataka, može se predstavljati kao vi.

Za reguliranu tvrtku u Hrvatskoj, krađa identiteta nije samo problem pojedinca. Ukradeni identitet zaposlenika čest je prvi korak većeg napada. Napadač s tuđim vjerodajnicama ulazi u poštu, sustave i podatke kao ovlašteni korisnik, pa ga obrana teško razlikuje od stvarnog zaposlenika. Odatle se širi prema financijskoj prijevari, krađi podataka i ucjeni. Za financijske institucije, zdravstvo, kritičnu infrastrukturu i SaaS tvrtke to znači izravan rizik usklađenosti s GDPR-om, NIS2 i DORA-om, jer kompromitacija identiteta brzo postaje povreda osobnih podataka. Ovaj tekst objašnjava kako dolazi do krađe identiteta, koje su posljedice i kako sustavno smanjiti rizik.

Ovo je dio našeg pregleda vrsta kibernetičkih napada. Zaštitu identiteta i pristupa uspostavljamo kroz sigurnosni program i rizik, a otpornost zaposlenika gradimo kroz edukaciju i podizanje svijesti.

Što je krađa identiteta u digitalnom kontekstu

U digitalnom poslovanju identitet je ono čime sustav potvrđuje da ste vi vi. To su vjerodajnice za prijavu, sesije, API ključevi i osobni podaci koji se koriste za provjeru, na primjer OIB, datum rođenja ili podaci za oporavak računa. Krađa identiteta znači da napadač dolazi do dovoljno tih elemenata da prevari sustav ili čovjeka i nastupa pod tuđim imenom.

U poslovnom kontekstu razlikujemo dvije razine. Prva je kompromitacija računa zaposlenika, gdje napadač preuzima pristup poslovnoj pošti, alatima i podacima. Druga je lažno predstavljanje, gdje se napadač izdaje za zaposlenika, dobavljača ili rukovoditelja, ne nužno preuzimajući račun, nego oponašajući osobu putem lažne adrese ili lažnog profila. Obje vode prema istom cilju, a to je prevariti drugog čovjeka ili sustav da postupi po napadačevom nalogu. Klasičan ishod je prijevara poslovne e-pošte, gdje lažni nalog za plaćanje stiže s naizgled vjerodostojnog identiteta.

Kako dolazi do krađe identiteta

Napadač do identiteta dolazi na više načina i redovito ih kombinira.¹ Rijetko je riječ o jednom triku. Češće je lanac: jedan probijeni servis daje lozinku, ta ista lozinka otvara drugi račun, a odatle se napadač širi dalje. Razumijevanje pojedinih vektora je preduvjet za smislenu obranu, jer svaki vektor traži drugu mjeru.

• Phishing i socijalni inženjering, gdje žrtva sama otkrije lozinku ili podatke na lažnoj stranici ili u uvjerljivoj poruci.
• Curenje podataka iz proboja drugih usluga, gdje se baze s lozinkama i osobnim podacima prodaju i razmjenjuju na crnom tržištu.
• Krađa vjerodajnica putem lažnih prijavnih stranica, presretanja prometa ili krađe tokena sesije.
• Punjenje vjerodajnica, gdje napadač automatizirano isprobava ukradene parove korisničkog imena i lozinke na mnogo usluga, računajući da ljudi ponavljaju lozinke.
• Zlonamjerni softver koji bilježi tipkanje, krade spremljene lozinke iz preglednika i kopira tokene sesije s zaraženog uređaja.
• Krađa fizičkih dokumenata ili nezaštićenih uređaja, koja daje izravan pristup podacima i prijavama.

Punjenje vjerodajnica vrijedi posebno izdvojiti jer ga mnogi podcjenjuju. Ako je lozinka jednog zaposlenika procurila kod nekog ranijeg proboja nepovezane usluge, a on tu istu lozinku koristi za poslovni račun, napadač ne mora ništa pogađati. Samo isproba poznati par i uđe. Zato su jedinstvene lozinke i višefaktorska autentifikacija toliko važne, o čemu više u nastavku.

Posljedice za pojedinca i za tvrtku

Za pojedinca, krađa identiteta znači financijsku štetu, lažne ugovore i kredite sklopljene u njegovo ime te dugotrajno i naporno čišćenje posljedica. Vraćanje kontrole nad računima, osporavanje lažnih transakcija i ispravljanje evidencija znaju trajati mjesecima. Uz materijalnu štetu dolazi i stres te gubitak povjerenja u usluge kojima se osoba služi.

Za tvrtku je račun zaposlenika ulaznica u sustav. Kada napadač preuzme poslovnu poštu ili pristup, kreće se kao legitiman korisnik, čita povjerljivu komunikaciju, šalje lažne naloge i prikuplja podatke za sljedeći korak. Posljedice su zastoj poslovanja, financijska prijevara, curenje osobnih podataka klijenata i zaposlenika te šteta za ugled. Za regulirane subjekte na to se nadovezuju i pravne obveze, jer kompromitacija koja zahvati osobne podatke postaje povreda u smislu GDPR-a, s rokovima prijave i mogućim kaznama.

Napadaču ne treba probiti vrata ako ima ključ zaposlenika. Zato je identitet danas glavna meta.

Vektori napada i odgovarajuće obrane

Obrana ima smisla samo ako odgovara na konkretan vektor. Sljedeća tablica povezuje najčešće načine krađe identiteta s mjerom koja taj vektor stvarno smanjuje. Nijedna mjera ne pokriva sve, pa se one slažu u slojeve.

Kako se zaštititi

Zaštita identiteta kombinira tehničke mjere i discipliniran rad s podacima. Cilj nije savršena sigurnost, nego da ukradena lozinka više ne znači automatski i proboj. Sljedeći koraci daju najveći učinak za najmanje truda i primjenjivi su i za pojedinca i za tvrtku.

1. 01
   Uključite MFA svuda

   Višefaktorska autentifikacija čini ukradenu lozinku gotovo bezvrijednom. Gdje je moguće, koristite metode otporne na phishing, na primjer aplikaciju ili sigurnosni ključ umjesto SMS-a.
2. 02
   Koristite upravitelj lozinki

   Upravitelj lozinki stvara i pamti jedinstvenu, dugu lozinku za svaki račun. Time presijecate punjenje vjerodajnica, jer probijena lozinka jedne usluge ne otvara nijednu drugu.
3. 03
   Nadzirite curenje podataka

   Pratite jesu li poslovne adrese i lozinke procurile u poznatim probojima. Pri otkriću odmah promijenite pogođene lozinke i provjerite ima li sumnjivih prijava.
4. 04
   Primijenite najmanje ovlasti

   Svaki korisnik i sustav neka ima samo prava koja su mu nužna. Ako napadač preuzme račun s malo ovlasti, šteta je ograničena, a širenje otežano.
5. 05
   Budite oprezni s podacima i nalozima

   Ne dijelite osobne podatke ni lozinke na zahtjev iz nezatražene poruke ili poziva. Neuobičajen nalog za plaćanje uvijek provjerite drugim kanalom prije izvršenja.
6. 06
   Zaštitite uređaje

   Šifriranje diska, zaključavanje ekrana, redovito ažuriranje i zaštita krajnjih točaka smanjuju rizik kod gubitka, krađe ili zaraze uređaja.

Koraci ako se krađa identiteta dogodi

Ako sumnjate da je identitet kompromitiran, brzina ograničava štetu. Postupajte redom i sve dokumentirajte, jer dokazi su važni i za banku i za nadležna tijela. Kod poslovne kompromitacije uključite IT i sigurnost odmah, prema unaprijed pripremljenom planu odgovora na incidente.

1. 01
   Promijenite lozinke i uključite MFA

   Odmah promijenite lozinku kompromitiranog računa i svih računa na kojima je ista lozinka korištena. Gdje već nije, uključite MFA.
2. 02
   Odjavite aktivne sesije

   Prekinite sve aktivne prijave i tokene da napadač izgubi pristup čak i ako ima staru sesiju ili kolačić.
3. 03
   Obavijestite banku i pogođene usluge

   Javite banci i svim pogođenim servisima, blokirajte sumnjive transakcije i zatražite dodatne provjere.
4. 04
   Sačuvajte dokaze

   Spremite poruke, snimke ekrana i zapise prijava. Oni su potrebni za prijavu, istragu i moguće osporavanje štete.
5. 05
   Prijavite slučaj

   Prijavite policiji ako je riječ o kaznenom djelu. Kod zlouporabe osobnih podataka pritužbu možete podnijeti i AZOP-u.
6. 06
   Procijenite obvezu prijave povrede

   Ako su zahvaćeni osobni podaci u tvrtki, procijenite je li nastupila povreda i pokrenite prijavu AZOP-u u propisanom roku.

Veza s GDPR-om i prijavom AZOP-u

Kada krađa identiteta zahvati osobne podatke, ona za tvrtku postaje povreda osobnih podataka u smislu GDPR-a. Voditelj obrade je dužan povredu prijaviti nadzornom tijelu, u Hrvatskoj AZOP-u, bez nepotrebne odgode i, kada je izvedivo, najkasnije u roku od 72 sata od saznanja, osim ako nije vjerojatno da će povreda dovesti do rizika za prava i slobode pojedinaca.² Ako je rizik visok, o povredi se moraju obavijestiti i sami pogođeni pojedinci.

Zbog toga kompromitacija računa zaposlenika nije samo tehnički incident, nego i pravni događaj s rokovima. Tvrtka mora moći utvrditi što se dogodilo, koji su podaci zahvaćeni i kada je incident otkriven, jer rok od 72 sata teče od saznanja. Uredna evidencija i unaprijed definiran proces ovdje su presudni. Širi kontekst obveza i kazni obrađujemo u tekstu o GDPR-u i zaštiti osobnih podataka.

Uloga edukacije zaposlenika

Velik dio krađa identiteta počinje tako da čovjek nešto klikne, otkrije ili odobri. Tehničke mjere smanjuju rizik, ali ne uklanjaju ga, jer napadač cilja na osobu. Zato je edukacija zaposlenika sastavni dio obrane, a ne dodatak. Cilj nije zastrašivanje, nego prepoznavanje. Zaposlenik koji zna prepoznati lažnu prijavnu stranicu, neuobičajen nalog ili sumnjiv zahtjev za podacima zaustavlja napad prije nego krene.

Dobra edukacija je redovita, konkretna i mjerljiva. Simulirani phishing, kratke vježbe i jasna pravila o provjeri naloga daju mnogo bolji učinak od jednokratnog predavanja jednom godišnje. Detaljnije o tome kako napadači manipuliraju ljudima pišemo u tekstu o phishingu i socijalnom inženjeringu. Program treninga svijesti o sigurnosti gradimo tako da prati stvarne prijetnje vaše organizacije, a ne generičke primjere.

Kako Raptoric pomaže

Tvrtkama pomažemo urediti upravljanje identitetima i pristupom tako da ukradena lozinka ne znači i proboj, kroz sigurnosni program i rizik. Otpornost zaposlenika na phishing i lažno predstavljanje gradimo kroz trening svijesti o sigurnosti, s mjerljivim rezultatima i scenarijima prilagođenima vašoj organizaciji. Kao neovisna tvrtka savjetujemo bez vezanosti uz proizvođače. Dogovorite uvodni razgovor.