Det här enkla lösenordstricket kostade DoorDash miljoner i data

Ett enda lösenord ledde till att DoorDash förlorade åtkomst till enorma mängder information. Det lilla misstaget öppnade dörren på vid gavel. Någon annan gick rakt in. Det som verkade obetydligt blev en massiv förlust. Data försvann utan förvarning. Företaget kände påverkan snabbt. Miljoner bundna i digitala poster — borta. En svag länk bröt allt öppet.

Något annat sker inuti stora teknikföretag, något som är svårare att se. System tenderar att acceptera gamla lösenord utan frågor. Hackare tvingar sällan sina vägar in i konton. Åtkomst kommer genom normala inloggningssteg.

Här är vad som faktiskt hände bakom DoorDashs tidigare dataintrång.

Den osmink sanningen om moderna intrång

De flesta föreställer sig hackare som människor som spenderar timmar på att gissa lösenord. I verkligheten börjar många större intrång med något smärtsamt vanligt. Ett giltigt användarnamn och lösenord.

Ett intrång på DoorDash kom från stulna inloggningar, hämtade från tidigare läckor på andra plattformar. Hackare använt gamla lösenord som människor hade återanvänt på flera webbplatser. Åtkomsten inuti systemet var för löst, vilket gjorde det lättare när de väl kom in. Extra inloggningssteg tog för långt tid att implementera, vilket lämnade luckor öppna längre än nödvändigt.

Det här förändrar saker. Inte på grund av ett enda svagt lösenord. Utan om hur vi arkitekturerar förtroende i våra system.

Hur lösenordsåteranvändning tyst skapar attackkedjor

Det du ser är det du får med lösenordsåteranvändning. Samma kod, olika webbplatser — händer oftare än folk erkänner. En inloggning passar flera platser, oavsett om det är arbetsappar eller shoppingkonton. Liknande mönster dyker upp överallt, även när de inte borde.

Skäligt nog, när du tänker på hur människor ser på saker. Att hantera massor av olika verktyg är en del av dagen — instrumentpaneler, adminsystem, datavyer, helpdesk, vem håller ens reda längre.

Bekvämlighet vinner.

Ändå. Utrymmet inuti sinnet tar slut snabbt. Lösenordshanteringsverktyg ignoreras ofta. För någon som vill utnyttja det känns det som ren tur som fallit rakt in i deras händer.

Ett förenklat scenario — Ett enda lösenord binder en arbetares åtkomst till både en extern tjänst och en företagskontrollpanel. När det externa systemet hackas — kanske utan att någon på jobbet får reda på det — glider data in i dolda hörn online. Långt senare grabbar någon som letar efter inloggningar det som stals. Dessa detaljer testas på olika webbplatser.

Här är hur det hela startar.

Ett enda upprepat lösenord kan glida förbi låsar du inte visste fanns.

Autentiseringsfyllning (utan jargongen)

Autentiseringsfyllning kan verka komplex vid första anblicken. Men under ytan är det ganska enkelt.

Därute grabbar hackare en lång lista över gamla läckor — e-post- och lösenordspar som spillts i tidigare hack. Ofta spårar dessa läckor tillbaka till glömda chattwebbplatser, nischade meddelandetavlor eller föråldrad molnprogramvara. De automatiserar sedan inloggningsförsök på populära tjänster.

Det handlar inte om att gissa vad lösenordet kan vara. Istället går de igenom lösenord som redan är kända för att fungera någon annanstans.

Några av dessa lösenord kan faktiskt fungera. Framgång ser ut såhär.

När företag arbetar internt växer faran. Inte alla verktyg saktar ned tung användning som offentliga appar gör. Varningar kan ta längre tid att visas. Någon kan kontrollera loggarna timmar efter en händelse. Åtkomst sträcker sig ibland över områden den inte borde.

Ett svagt lösenord kan öppna dörren istället för att stänga den.

När en inloggning låser upp mer än den borde

Det som kostar mest är inte att bryta sig in. Det är hur långt de går när de väl är inuti. Rörelse genom system är vanligtvis det riktiga problemet. Åtkomst sprids som ett långsamt läckage, inte ett smash. Skadan växer där övervakningen försvinner. Att stoppa rörelse spelar mer roll än att låsa dörrar.

En gång inuti börjar hackare jaga länkar. Inte bara lösenord — Delade autentiseringstjänster. Länkade instrumentpaneler. Överrättighetsroller. Interna verktyg som litar på varandra som standard.

Det som hände på DoorDash var inte bara ett litet intrång. Istället öppnade det stora delar av deras nätverk. Efter att ha fått tag på inloggningsuppgifter rörde sig hackare genom områden som lagrar information om kunder och företag. Åtkomsten stannade inte där den borde ha gjort.

Det händer oftare än du kanske tror. Många grupper fokuserar på att gå snabbt, hålla saker flytande smidigt. Åtkomstgränser blir suddig över tid. Rättigheter ackumuleras. Tillfällig åtkomst blir permanent.

Ett enda fungerande lösenord kan öppna dörrar till flera separata nätverk, var och en byggd utan att förvänta sig delade risker. Det som händer nästa gång utvecklas snabbt när åtkomsten sprids bortom dess avsedda gränser.

MFA-förseningar kostar mer över tid

Flerfaktorsautentisering rekommenderas ofta. Det är också vanligt att skjuta upp det. Det finns olika anledningar till varför företag skjuter upp MFA-implementeringen: användarfriction, föråldrade system, operativt overhead, rädsla för teamöverbelastning, osv. Men kostnaden för försenad implementering byggs tyst upp över tid.

Utan MFA är lösenord fortfarande de enda punkterna där misslyckande kan inträffa. Om en angripare äventyrar lösenordet finns det ingenting annat för att skydda känsliga system från angriparens åtkomst.

I flera intrång på stora företag saknades MFA, var valfritt eller dåligt tillämpad på vissa interna verktyg. DoorDashs upplevelse passar denna övergripande trend. Läckan behövde inte spetsig attackmetoder; den använde helt enkelt stulna autentiseringsuppgifter.

När MFA-användning förskjuts behöver angripare inte vara sofistikerade. De behöver bara vara tåliga.

Människors bekvämlighet vinner alltid. Tills den inte gör det

Säkerhetsintrång är sällan i grunden tekniska. I själva verket orsakas de ofta av människors beteende. Anställda använder samma lösenord för olika konton för att spara tid. Säkerhetsteamet skjuter upp implementeringen av nya säkerhetsåtgärder för att de tror att det inte finns någon brådska, med tanke på att leverans är mer brådskande. Meddelanden ignoreras eftersom falsklarm är för frekventa. Åtkomst ges till alla för att någon kan behöva det senare.

Allt detta fungerar. Tills det inte gör det.

Misslyckandets ögonblick verkar vara plötsligt. Orsakerna till det är det inte.

Mycket skada kommer att ha uppstått när ett intrång upptäcks. Obehörig åtkomst till data har skett. Förtroendet har minskat. Organisationen granskas av tillsynsmyndigheterna. Juridiska avgifter läggs till. Varumärkets rykte skadar långt bortom det ursprungliga tekniska misslyckandet.

Det är därför det inte är fel att kalla det ett "enkelt lösenordstrick". Men det är ofullständigt. Tricket fungerar bara för att systemen tyst stöder det. Tricket kan endast tillämpas för att systemen tyst tillåter det.

Lektionen om systemet, inte syndabocken

Det är mycket nödvändigt att vara korrekt. DoorDashs dataintrång var inte resultatet av en anställd, ett lösenord eller en handling av skarlatenskap. Det var en manifestation av systemiska brister som finns i majoriteten av de utvecklande teknikföretagen.

Fallet med att använda delade autentiseringsuppgifter. Bristen på korrekt åtkomstsegmentering. Den ojämna tillämpningen av MFA. Integreringen av tredjepartstjänster med förhöjt förtroende. Övervakningen kan detektera intrång sent istället för tidigt.

Sådana misstag är inte sällsynta. De är vanliga.

Det är inte en läktion om att skylla på människor, snarare är det en läktion om att fråga vilka system som bör granskas som förutsätter att människor alltid agerar säkert under tryck.

Varför detta fall är betydelsefullt även utanför DoorDash

Detta är inte bara ett DoorDash-fall; det är ett samtida säkerhetsmönster. När företag växer snabbare än sin säkerhetsmognad multipliceras osynliga risker. Intrånget uppstår inte från ett extraordinärt misslyckande; snarare är det en gradvis process där vardagliga genvägar staplas tyst under en lång period.

Titeln fungerar som bete för att det resonerar med hur intrång uppfattas i efterhand. En liten sak utlöste en katastrofal händelse. Men den faktiska lektionen är mycket bredare.

Säkerhet kompromissas när bekvämlighet prioriteras över försiktighet. Och när denna situation blir ett faktum har kostnaden redan uppgått till miljoner.

Slutförord

Om det bara finns en praktisk insikt kommer det att vara denna. Intrång handlar sällan om systemkrossning. De handlar om att få åtkomst till systemen.

De viktigaste säkerhetsbristerna är de som verkar normala tills de exponeras.

Letar du efter att bygga ett högpresterande remote teknikteam?

Kolla in MyNextDeveloper, en plattform där du kan hitta de bästa 3% softwareingenjörer som är djupt passionerade om innovation. Våra on-demand, dedikerade och grundliga lösningar för programvarutalang ger en omfattande lösning för alla dina programvarurapporter.

Besök vår webbplats för att utforska hur vi kan hjälpa dig att sätta ihop ditt perfekta team.