Eftirfarandi tölvupóstur var sendur á íslensk netföng (sem enda á .is) og voru í gagnalekanum.

Komið þið sæl,

Afhverju er ég að senda þér tölvupóst? Afþví netfangið þitt er eitt af u.þ.b. 12 þúsund netföngum sem voru tengd íslenskum lénum (.is) og voru í gagnalekanum.

í júní árið 2012 var brotist inn hjá Linkedin þar sem fjöldi netfanga og lykilorðahasha var stolið. Á þeim tíma hélt Linkedin að einungis 6.5 miljónum netfanga og lykilorðahasha hefði verið stolið. Það var ekki fyrr en núna í maí 2016 að það kom í ljós að þetta voru í raun notendanöfn og lykilorðahösh 117 miljón notenda.

Afhverju skiptir þetta máli í dag? Vegna þess að þangað til í maí á þessu ári hafði einungis lítill hópur rússneskra tölvuþrjóta aðgang að þessum upplýsingum en í síðasta mánuði var þessum upplýsingunum dreift á Internetinu og hafa nú fjöldi aðila geta sótt þessar upplýsingar.

Samkvæmt wiki síðunni um gagnalekann (https://en.wikipedia.org/wiki/2012_LinkedIn_hack) þá er búið að taka úr sambandi öll lykilorð sem ekki hefur verið breytt síðan 2012 og eru notendur neyddir til að breyta um lykilorð. T.d. ef einhver myndi brjóta upp lykilorðið þitt fyrir linkedin og reyna að skrá sig inn, þá yrði sendur password - reset tölvupóstur á netfangið þitt sem er skráð fyrir linkedin.

Það má því segjast að Linkedin hafi brugðist við þessum gagnaleka og að linkedin aðgangurinn þinn sé öruggur í dag.

Ákveðn áhætta getur þó enn verið til staðar!

Getur verið að þú hafir breytt lykilorðin þínu einhvern tíman eftir 2012 og mögulega enn aftur síðan þá og að lykilorðið þitt sé það sama í dag og það var 2012?
Ef svo er, þá er ekki búið að taka úr sambandi aðganginn þinn og ef einhver brýtur upp lykilorðið þitt, þá kemst viðkomandi inn á aðganginn þinn.

Ertu að nota sama lykilorð og þú notaðir á linkedin, árið 2012, einhversstaðar annarsstaðar? Mark Zuckerberg, stofnandi facebook, gerði það og fóru tölvuþrjótar inn á twitter og pinterest aðgangi hans núna í byrjun júní 2016: https://www.theguardian.com/technology/2016/jun/06/mark-zuckerberg-hacked-on-twitter-and-pinterest

Ertu möuglega að nota þetta lykilorð í vinnunni? eða á öðrum samfélagsmiðlum? eða annars staðar? Margir hafa haldið því fram að fjöldi nýlegra tölvuinnbrota megi rekja til lykilorðaleka frá Linkedin.
http://www.csoonline.com/article/3086942/security/linkedin-data-breach-blamed-for-multiple-secondary-compromises.html

Athugið að rússneskir tölvuþrjótar hafa haft aðgang að þessum upplýsingum síðan 2012 og því er æskilegt að láta vinnuveitanda vita (ef þú hefur verið að nota sama lykilorð á vinnustaðnum þínum síðan 2012).

Hvað er best að gera? 1) Ef þú ert ennþá að nota sama lykilorð einhversstaðar annars staðar (t.d. í vinnu, samfélagsmiðlum eða öðrum kerfum) þá ættirðu að breyta því.
2) Þú ættir að virkja tvíþætta auðkenningu alls staðar þar sem hún er í boði.

ATHUGIÐi: Allar breytingar t.d. á lykilorðum geta haft áhrif á forrit í snjallsímum, vistuðum lykilorðum á tölvum og annað þannig að þú kannt að þurfa að endurauðkenna þig eftir að lykilorðabreytingar hafa verið framkvæmdar.

Vantar þig aðstoð? Þá mæli ég með því að þú hafir samband við tölvuumsjónarmann á vinnustaðnum þinum eða tölvudeild. Ef þú hefur ekki aðgang að slíku þá mæli ég með því að hafa samband við frænda, frænku, aðra ættingja eða vini sem þú telur að hafi þekkingu á tölvumálum. Ef ekkert slíkt er í boði þá geturðu prófað að spyrja á facebook. Hér eru t.d. tveir íslenskir hópur um netöryggi á facebook:
https://www.facebook.com/groups/netoryggi/ https://www.facebook.com/groups/upplysingaoryggi/

Leiðbeiningar um tvíþætta auðkenningu:

Þessi tölvupóstur er tilraunaverkefni og er sendur á slembiúrtak úr gagnalekanum. Mér þætti vænt um að fá viðbrögð við þessum tölvupósti frá þér í gegnum google form: - Google formið er einungis hugsað fyrir þá sem voru í gagnalekanum og fengu póstinn og hefur því verið fjarlægt hér.

Þar er hægt að haka við: “Mér fannst það jákvætt. Takk fyrir upplýsingarnar.”, “Ég hef enga skoðun á tölvupóstinum.”, “Mér fannst það neikvætt. Ég hef ekki áhuga á að fá slíkan tölvupóst.” eða “Ég skil ekki það sem fram kemur í þessum tölvupósti?”. Ef jákvæð viðbrögð berast (eða í það minnsta fá neikvæð), þá verður þessi póstur sendur á öll önnur íslensk netföng sem voru í gagnalekanum.

Athugaðu að þú ert ekki komin á neinn póstlista. Þessi tölvupóstur er einungis sendur einu sinni á þau netföng sem voru í Linkedin gagnalekanum.

Þessi tölvupóstur nær eingöngu til gagnaleka Linkedin og ekki er gert ráð fyrir því að senda frekari tölvupósta í framtíðinni tengt öðrum gagnalekum. Ábending hefur borist þess efnis að hægt sé að heimskæja vefsíðuna: https://haveibeenpwned.com/ og fletta upp netfanginu sínu í bæði Linkedin og öðrum gagnalekum. Auk þess er hægt að skrá sig þar á póstlista og fá tilkynningar ef netfang þitt (eða lénið þitt) verður hluti af öðrum gagnaleka sem þeir vakta.

Reynt verður að halda utan um spurningar sem berast og veita svör á http://www.security.is/linkedin_gagnaleki/ Hægt er að senda spurningar tengt gagnalekanum á security@security.is með “Linkedin gagnaleki” í subject.

Bestu kveðjur, Security.is