První část
V únoru 2021 mi někdo převzal Facebook účet.
Nejdřív jsem si myslel, že jde jen o další pokus o reset hesla. Během několika hodin jsem ale ztratil přístup k účtu, který jsem měl od roku 2004.
Útočník odstranil všechny možnosti obnovení kromě jedné: e-mailové adresy navázané na doménu, kterou už jsem nevlastnil.
Následoval zvláštní řetězec událostí, ve kterém hrála roli expirovaná doména, cílené převzetí účtu, podvod s Facebook reklamou a obrovské štěstí v podobě kamaráda, který pracoval ve Facebooku.
Tohle je příběh o tom, jak se to stalo — a co jsem si z toho odnesl.
Horší načasování si to snad ani vybrat nemohlo
Moje žena a naše novorozená dcera se vrátily z porodnice teprve týden předtím. Víkend jsme trávili u jejích rodičů v jižních Čechách a po náročném týdnu, kdy jsme se učili být rodiči za pochodu, jsem se těšil, že budeme mít trochu pomoci navíc.
V neděli odpoledne na začátku února jsem mezi krmením, přebalováním a snahou zvládat všechno kolem novorozence krátce zkontroloval notifikace na iPhonu.
Jedna mě zaujala: žádost o přátelství na Facebooku.
Když jsem otevřel aplikaci, viděl jsem, že je od úplně cizího člověka. Odmítl jsem ji a moc jsem to neřešil. Náhodné žádosti o přátelství nejsou na sociálních sítích nic výjimečného.
O pár hodin později, kolem desáté večer, jsem při čištění dětských lahví znovu otevřel Facebook.
První věc, kterou jsem uviděl, bylo upozornění, že můj účet má dočasné omezení označování lidí.
To bylo zvláštní.
Jediná dostupná možnost byla podat odvolání, což jsem okamžitě udělal. Do zprávy jsem napsal, že vůbec netuším, proč byl můj účet omezen.
Pak jsem si všiml několika nových e-mailů.
A v tu chvíli mi došlo, že je něco špatně.
Jeden e-mail, poslaný na mou iCloud adresu, mě informoval, že někdo požádal o reset hesla k mému Facebook účtu.
Někdo se snaží resetovat moje heslo
Fuck.
Další e-mail už potvrzoval, že heslo bylo změněno.
Součástí byl záznam aktivity s přihlášením z počítače s Windows v Manchesteru ve Velké Británii.
Okamžitě jsem znovu otevřel Facebook a zjistil, že už jsem odhlášený.
Pokusil jsem se účet obnovit.
Normálně Facebook nabízel několik možností obnovení. Tentokrát tam byla jen jedna:
Poslat odkaz pro obnovení na alanisko@alanisko.net
A tady to začalo být zajímavé.
Zapomenutá doména
Před mnoha lety, než jsem přešel na alanisko.co.uk, jsem vlastnil doménu alanisko.net.
Tehdy jsem používal e-mailovou adresu alanisko@alanisko.net a velmi pravděpodobně jsem ji použil i při registraci Facebook účtu v červnu 2004.
O sedmnáct let dříve.
Během let jsem několikrát změnil e-mailové adresy a Facebook účet jsem vždy aktualizoval o aktuální kontaktní údaje a telefonní číslo.
Netušil jsem ale, že stará adresa alanisko.net tam pořád zůstala jako jedna z možností obnovení.
Možná jsem ji tam nechal z nostalgie.
Možná jsem na ni prostě zapomněl.
Každopádně se ukázalo, že to byla velmi drahá chyba.
Ve chvíli, kdy jsem se pokusil účet obnovit, všechny moderní možnosti obnovení zmizely.
Telefonní číslo bylo pryč.
Aktuální e-mailové adresy byly pryč.
Jediná zbývající možnost byla e-mailová adresa navázaná na doménu, kterou už jsem nevlastnil.
A alternativní návrh Facebooku?
Vytvořte si nový účet.
Žádný support chat.
Žádný e-mail na podporu.
Žádná možnost mluvit se skutečným člověkem.
Jen zdvořilá zpráva, že po sedmnácti letech zveřejňování fotek, budování kontaktů a plnění jejich platformy obsahem bych měl prostě začít znovu.
Takže tohle byl konec...
Alespoň jsem si to myslel.
Protože jsem se nemohl dostat zpět do účtu, začal jsem si klást jednoduchou otázku:
Proč?
Proč by někdo chtěl můj Facebook účet?
Nebyl jsem celebrita.
Měl jsem asi 800 přátel.
Na první pohled na tom nebylo nic zvlášť cenného.
Pak mě napadla jiná možnost.
Možná Facebook nebyl skutečný cíl.
Možná šlo o Instagram.
V té době měl můj Instagram kolem 72 000 sledujících, což z pohledu hackera znělo výrazně zajímavěji.
Okamžitě jsem se přihlásil na Instagram a změnil heslo.
Naštěstí jsem tam už měl zapnuté dvoufázové ověření.
Potom jsem se vrátil k Facebooku a pokusil se účet úplně uzamknout, s nadějí, že se k němu nedostanu ani já, ani útočník.
Další věc, která mě znepokojila, bylo to, že jsem roky používal Facebook Login na mnoha webech a službách.
Pravděpodobně na stovkách.
Představa, že by se někdo mohl přes Facebook dostat i k dalším účtům, mě děsila víc než samotná ztráta Facebooku.
Jak to udělali?
V tu chvíli jsem věděl, že někdo změnil moje heslo a odstranil všechny možnosti obnovení kromě té jediné, navázané na doménu, kterou už jsem neměl pod kontrolou.
Nechápal jsem ale, jak se jim to podařilo.
Byl jsem si naprosto jistý, že jsem neklikl na žádný podezřelý odkaz, neotevřel divnou přílohu a nereagoval na phishingovou zprávu.
Celé to působilo zvláštně.
Ještě divnější bylo, že útočník nenahradil recovery e-mail alanisko.net svou vlastní adresou, což se u převzetí účtů obvykle děje.
Místo toho ho tam nechal.
Ten detail mi pořád vrtal hlavou.
Rozhodl jsem se tedy pátrat.
Šel jsem na Whois.com a podíval se na registrační údaje domény alanisko.net.
Ve chvíli, kdy jsem uviděl datum registrace, jsem věděl, že jsem našel odpověď.
Doména byla zaregistrována přesně ten den.
Přes GoDaddy.
Tohle nebyl náhodný útok.
Někdo šel cíleně po mém účtu.
GoDaddy jsem používal roky a dodnes přes ně spravuji několik domén, takže jsem kontaktoval jejich podporu a vysvětlil situaci.
Pracovnice podpory byla ochotná a zdálo se, že chápe, že doména byla pravděpodobně koupena speciálně kvůli získání přístupu k e-mailu pro obnovu mého Facebooku.
Bohužel s tím nemohla okamžitě nic udělat.
Dostal jsem instrukci poslat e-mail s popisem celé situace a počkat až 72 hodin na odpověď.
Tak jsem to udělal.
A čekal.
Poslední možnost
V tu chvíli jsem se cítil úplně zaseknutý.
Zbývala ale ještě jedna možnost.
Můj dobrý kamarád Craig pracoval ve Facebooku v Dublinu.
Napsal jsem mu na Instagram, vysvětlil všechno, co se stalo, a zeptal se, jestli by mě mohl alespoň nasměrovat správným směrem.
Pak jsem šel spát.
Následující odpoledne Craig odpověděl.
Napsal, že zkusí vytvořit interní ticket a uvidíme, co se stane.
O pár hodin později mi napsal znovu.
Tentokrát chtěl úplně novou e-mailovou adresu, která nikdy nebyla použita na Facebooku.
O několik minut později mi dorazil odkaz na reset hesla.
Poprvé za dva dny jsem cítil obrovskou úlevu.
Byl jsem zpátky.
Obnova účtu
Proces obnovy Facebooku po mně chtěl ověřit nedávnou aktivitu, včetně příspěvků, fotek a nově přidaných přátel.
Naštěstí se mi krátce po útoku podařilo účet uzamknout.
Útočník nestihl napáchat mnoho škody.
Jediná podezřelá aktivita, kterou jsem našel, byli dva cizí lidé, kteří se nějak objevili v mém seznamu přátel.
Okamžitě jsem je odstranil a poslal jejich údaje Craigovi.
Pokud vím, Facebook tyto účty později odstranil.
Craigovi jsem děkoval pořád dokola.
Bez jeho pomoci bych byl nejspíš dodnes zamčený venku.
Když jsem se ho ptal, jestli jsou podobné útoky běžné, řekl mi, že Facebook řeší velké množství kompromitovaných účtů — velkých i malých.
Zeptal jsem se také, jaká je nejlepší ochrana.
Jeho odpověď byla jednoduchá:
Zapnout dvoufázové ověření.
Ale ne přes SMS.
Útoky typu SIM swapping jsou čím dál častější a telefonní čísla mohou být kompromitována.
Lepší je používat autentizační aplikaci, která generuje časově omezené bezpečnostní kódy.
Poučení
V tu chvíli jsem si myslel, že příběh skončil.
Měl jsem účet zpátky.
Útočník byl venku.
Všechno vypadalo pod kontrolou.
Alespoň jsem si to myslel.
Několik důležitých věcí mi ale už tehdy bylo jasných.
Nikdy se nespoléhejte na e-mailovou adresu navázanou na doménu, kterou nemusíte vlastnit navždy.
Zapněte dvoufázové ověření všude, kde to jde, ideálně přes autentizační aplikaci místo SMS.
Berte soukromí vážně.
V té době jsem začal používat aplikaci Jumbo, kterou mi doporučil kamarád. Kromě správy soukromí fungovala také jako autentizační aplikace.
Věděl jsem, že aplikace sledují obrovské množství chování uživatelů.
Překvapilo mě ale, kolik trackerů běželo na pozadí v aplikacích, které jsem každý den používal.
A i když jsem měl radost, že jsem účet získal zpět, vůbec jsem netušil, že příběh ještě neskončil.
O dva týdny později se věci výrazně zhoršily.
Druhá část
O dva týdny později, znovu v neděli ráno, jsem se probudil krátce po 8:30.
Jakmile jsem sáhl po telefonu, věděl jsem, že je něco špatně.
Měl jsem několik notifikací z bankovní aplikace o odchozích platbách.
Shit.
To nebylo dobré.
Celkem šlo o osm transakcí, každá zhruba za 50 dolarů. Některé byly zamítnuté, ale několik jich úspěšně prošlo.
Okamžitě jsem otevřel bankovní aplikaci a začal to zjišťovat.
Bohužel byly notifikace skutečné.
Transakce byly vedené jako platby autorizované přes PayPal za Facebook reklamu.
Okamžitě jsem zavolal do banky, zablokoval kartu napojenou na PayPal účet a objednal novou.
Malá poznámka bokem: kredit tam, kde je zasloužený. Moje banka i Apple situaci zvládly skvěle. Novou kartu jsem mohl začít používat přes Apple Pay ještě předtím, než dorazila fyzicky.
Po stopě peněz
Pro online platby nikdy nepoužívám svou hlavní bankovní kartu.
Kdykoliv to jde, používám buď PayPal, nebo virtuální kartu s omezenými prostředky.
V tomto případě byl PayPal platební metodou napojenou na můj Facebook reklamní účet.
Protože poplatky vypadaly jako běžné výdaje za Facebook reklamu, PayPal je zpracoval bez jakéhokoliv varování.
Zvláštní bylo, že jsem žádnou Facebook ani Instagram reklamní kampaň nespouštěl už několik měsíců.
Naposledy někdy předchozí léto.
Otevřel jsem tedy Facebook Ads Manager.
A tam to bylo.
Přes můj reklamní účet běžela aktivní kampaň.
Pro vietnamskou Facebook stránku.
Stránku, se kterou jsem neměl vůbec nic společného.
Kampaň cílila na ženy ve věku 22–50 let ve Vietnamu a České republice a měla rozpočet přibližně 1 000 dolarů.
A co bylo horší, běžela velmi dobře.
Lidé klikali.
Hodně.
Moje peníze se doslova utrácely v reálném čase, zatímco jsem sledoval aktualizující se statistiky.
Ještě nebylo hotovo
V tu chvíli bylo jasné, že obnovení Facebook účtu problém úplně nevyřešilo.
Útočníci měli nějakým způsobem stále přístup k části mého reklamního účtu.
Všechno jsem nafotil a znovu kontaktoval Craiga.
Opět vytvořil interní support ticket.
Tentokrát celý proces trval několik dní, ale nakonec Facebook obnovil plný přístup k reklamnímu účtu a vrátil neoprávněně stržené peníze.
Mohlo to dopadnout mnohem hůř.
Kdybych neznal někoho uvnitř Facebooku, upřímně nevím, jak bych to vyřešil.
Bez přístupu k podpoře jsem mohl snadno přijít o účet i o značnou část peněz.
Díky znovu, kámo.
Dlužím ti.
Co vlastně propagovali?
V jednu chvíli mě přemohla zvědavost.
Požádal jsem vietnamského zaměstnance v místní večerce, aby se na stránku podíval a přeložil mi obsah.
Podle něj šlo o reklamu na dámské oblečení.
Nic zvlášť sofistikovaného.
Žádný kryptoměnový podvod.
Žádná falešná investiční schéma.
Jen oblečení.
A tím to celé působilo ještě podivněji.
Náhoda, nebo něco víc?
Možná jsem paranoidní.
Možná to byla prostě smůla.
Možná si někdo všiml, že stará doména expirovala, a náhodou našel Facebook účet, který s ní byl stále propojený.
To je možné.
Čím víc jsem o tom ale přemýšlel, tím méně jsem tomu věřil.
Méně než dva roky předtím jsem několik týdnů cestoval po Vietnamu.
Po příletu jsem si koupil místní SIM kartu a většinu cesty používal ji.
Jako většina cestovatelů jsem se ale občas připojoval i na hotelové Wi-Fi, Airbnb sítě, internet ve vlaku a veřejné přístupové body.
Používal jsem také lokační aplikace jako Swarm a Foursquare, pravidelně jsem se checkoval na místech a nechával doporučení pro ostatní cestovatele.
Zpětně jsem po sobě zanechal docela detailní digitální stopu cesty napříč zemí.
Mohl si někdo tyhle body propojit?
Upřímně nevím.
Ale fakt, že podvodná reklamní kampaň běžela pro vietnamskou stránku, mě k tomu přemýšlení rozhodně přivedl.
Možná to byla náhoda.
Možná ne.
To se nejspíš nikdy nedozvím.
Co se změnilo potom
Celá zkušenost mě donutila přehodnotit online bezpečnost.
Ne proto, že bych se považoval za důležitého.
Právě naopak.
Většina lidí si myslí, že hackeři cílí jen na celebrity, influencery nebo bohaté lidi.
Realita je jednodušší.
Pokud se na vašem účtu dají vydělat peníze, někdo to dřív nebo později zkusí.
Od té doby mám dvoufázové ověření zapnuté na každém důležitém účtu.
Kdekoliv to jde, používám autentizační aplikace místo SMS ověření.
Odstranil jsem Facebook Login ze stovek webů a služeb a kde to bylo možné, přešel jsem na Sign in with Apple.
Pro platby přes PayPal už nepoužívám hlavní kreditní kartu. Místo toho používám virtuální karty, které si dobíjím jen na konkrétní platbu.
Nejdůležitější ale je, že si mnohem víc uvědomuji digitální stopu, kterou za sebou všichni necháváme.
Každá stará e-mailová adresa.
Každý zapomenutý účet.
Každá expirovaná doména.
Každá služba, do které jste se kdysi zaregistrovali a roky na ni nemysleli.
To všechno mohou být vstupní body.
Závěrem
Když se ohlédnu zpět, nejpřekvapivější nebylo to, že mi někdo hacknul Facebook účet.
Bylo to zjištění, jak zranitelná se může stát digitální identita kvůli zapomenutému rozhodnutí starému téměř dvě desetiletí.
Stará doména.
Opuštěná e-mailová adresa.
Možnost obnovení, na kterou jsem úplně zapomněl.
To stačilo.
Samotný útok nebyl nijak zvlášť sofistikovaný.
Úspěšný byl proto, že jsem nevědomky nechal odemčené dveře.
A po sedmnácti letech je někdo konečně našel.
Žijeme v šíleném světě.
Nemusíte být slavní, abyste se stali cílem.
Nepotřebujete tisíce sledujících.
Nemusíte být bohatí.
Stačí nechat špatné dveře dost dlouho otevřené, aby si jich někdo všiml.
A věřte mi — existují lidé, kteří ty dveře zkoušejí.