Upravitelji lozinkama (password managers) ključan su dio modernog sigurnosnog alata, uz VPN i antivirusni softver. Ipak, nedavno otkriće pokazuje da čak ni oni nisu potpuno imuni na napade. Prema izvještaju portala CNET, češki sigurnosni istraživač Marek Tóth na konferenciji Defcon 33 otkrio je kako se "clickjacking" napadom mogu ukrasti iznimno osjetljivi podaci: od korisničkih imena i lozinki do informacija o kreditnim karticama i jednokratnih zaporki.

Evo što trebate znati o ovoj ranjivosti, kako funkcionira i što možete poduzeti da biste ostali sigurni.

Kako funkcionira "clickjacking" napad?

"Clickjacking" je vrsta napada koja korisnika navodi da klikne na nešto, vjerujući da izvodi jednu radnju, dok u pozadini zapravo pokreće sasvim drugu, zlonamjernu akciju. Primjerice, mislite da klikate na gumb za preuzimanje legitimnog dodatka za preglednik, a zapravo nevidljivo odobravate slanje svojih podataka napadaču.

U scenariju koji je demonstrirao Tóth, napad iskorištava funkciju automatskog popunjavanja (autofill) u upraviteljima lozinkama. Korisnik se može naći na stranici koja prikazuje bezazlenu CAPTCHA provjeru. Dok rješava zadatak, napadačeva stranica u pozadini, potpuno nevidljivo korisniku (korištenjem prozirnih slojeva), aktivira automatsko popunjavanje iz upravitelja lozinkama. U tom trenutku, program odabire sve spremljene podatke i šalje ih izravno napadaču, a da žrtva toga uopće nije svjesna.

Važno je napomenuti da ovo tehnički nije ranjivost isključivo upravitelja lozinkama, već web-bazirani napad kojem su podložni internetski preglednici. Ipak, on izravno cilja i zloupotrebljava praktičnost koju nudi autofill funkcija.

Koji su programi pogođeni i tko je uveo zakrpe?

Dobra vijest je da su mnogi proizvođači brzo reagirali. U trenutku pisanja originalnog članka, situacija je bila sljedeća:

• Implementirali zakrpe:
• Uveli djelomične mjere: LastPass je implementirao iskočni prozor koji traži potvrdu prije automatskog popunjavanja osobnih i bankovnih podataka.
• Zakrpe u pripremi: Bitwarden, Enpass i iCloud Passwords najavili su nadolazeće ispravke.
• Još bez zakrpe: 1Password i LogMeOnce u tom trenutku nisu imali implementirano rješenje.

Iako ovo otkriće može zvučati alarmantno, nema razloga za paniku i napuštanje upravitelja lozinkama, koji su i dalje temelj digitalne higijene. Umjesto toga, iskoristite ga kao podsjetnik da budete proaktivni. Isključivanje automatskog popunjavanja i redovito ažuriranje softvera najvažniji su koraci kojima ćete osigurati svoje podatke.