Mi történt
2026 október 19-én (hétfő) kívülről jogosulatlanul hozzáfértek a So-net internetszolgáltatás tagadatbázisához.
A szolgáltató október 23-án (péntek) észlelte a hozzáférést. Ezután azonnal leállította az érintett szervereket, és blokkolta a támadó forrásból érkező forgalmat.
Október 24-én (szombat) a vizsgálat megállapította, hogy személyes adatok szivárogtak ki, és azt is, hogy mely adatkörök és hány rekord érintett. A cég október 27-én hozta nyilvánosságra az incidenst, és vállalta, hogy minden érintett ügyfelet egyenként megkeres.
A közlemény látható része nem nevezi meg a támadás módját, a támadót, és azt sem, hogy történt-e zsarolás.
Milyen kár keletkezett
Tagi adatok: összesen 2 141 986 rekord került ki:
- 1 869 771 jelenlegi tag,
- 272 215 volt tag (akik 2026 márciusában vagy azóta léptek ki).
Kiszivárgott adatkörök: név, telefonszám, e-mail-cím, felhasználói azonosító, születési dátum, nem, internetkapcsolati azonosító. A közlemény szerint a tagi jelszavak nem kerültek ki.
Levelezési fiókok jelszóval együtt: a jelenlegi és a volt tagok egyes levelezőszolgáltatásainál az e-mail-cím és a hozzá tartozó e-mail-jelszó is kiszivárgott:
A közlemény látható része nem tartalmaz pénzügyi kárbecslést, és nem említ ismert visszaélést. Az e-mail-jelszavak kiszivárgása miatt viszont közvetlen kockázat a fiókátvétel, az ezekről a címekről indított adathalászat és a jelszó-újrahasználaton alapuló támadás más szolgáltatások ellen (következtetés).
Milyen biztonsági hiányosságok vezettek az esethez
A közlemény látható része nem nevezi meg a támadás módját vagy a kihasznált sérülékenységet. Az alábbiak a közölt tényekből levont következtetések, nem a szolgáltató megállapításai:
- Jelszótárolás (következtetés): a tagi jelszavak nem, a levelezési jelszavak viszont kikerültek. Ha a levelezési jelszavak a támadó számára használható formában kerültek ki, akkor azokat valószínűleg visszafejthetően (titkosítva vagy nyílt szövegként) tárolták, nem erős, sózott hash-ként. A közlemény látható része nem mondja meg, milyen formában tárolták őket.
- Lassú észlelés (következtetés): a behatolás (10.19.) és az észlelés (10.23.) között négy nap telt el. Erre az időre nem volt hatékony valós idejű riasztás a tagadatbázis tömeges kiolvasására.
- Adatmegőrzés (következtetés): 272 215 volt tag adatai is az élő adatbázisban voltak, és velük együtt kerültek ki. A közlemény nem mondja meg, mekkora a megőrzési idő, és mi az indoka; ez önmagában lehet jogszerű, de növeli a kitett adatok körét.
- Adatbázis-szegmentálás (következtetés): a tagi törzsadatok és a levelezési hitelesítő adatok ugyanabban az incidensben kerültek ki, tehát elérhetőek voltak ugyanazon a támadási útvonalon.
Mi a tanulság, mit kellett volna tenni
- Jelszót soha ne tároljunk visszafejthető formában. Erős, sózott, lassú hash (pl. Argon2id, bcrypt) kell. Ahol egy szolgáltatás technikailag mégis visszafejthető titkot igényel, azt külön kulcskezeléssel (HSM/KMS), elkülönített tárolóban kell tartani.
- Folyamatos megfigyelés a kritikus adatbázisokon: naplózás, adatbázis-aktivitás-figyelés és riasztás a szokatlan, tömeges lekérdezésekre és kiolvasásokra, hogy az észlelés órák, ne napok alatt történjen.
- Adatminimalizálás és megőrzési szabályok: a kilépett ügyfelek adatait a jogszabályi megőrzési idő után törölni kell, addig pedig korlátozott hozzáférésű archívumba kell áttenni őket az élő rendszerből.
- Szegmentálás: a hitelesítő adatokat (jelszavakat) a tagi törzsadatoktól elkülönített, szigorúbban védett tárolóban kell tartani.
- Incidenskezelés az érintett oldalon: a kiszivárgott levelezési fiókoknál azonnal kényszeríteni kell a jelszócserét, ajánlani kell az MFA-t, és figyelmeztetni kell az érintetteket a célzott adathalászatra, mert a kikerült név, születési dátum és telefonszám hihetővé teszi az ilyen üzeneteket.
Egy mondatban: Egy szolgáltató adatbázisa a teljes ügyfélkör adatait tárolja, a volt ügyfelekét is, ezért mindegyiket védeni kell. A jelszavak pedig nem kerülhetnek ki használható formában.
Megjegyzések a forráshoz
- A forrás egy képernyőkép a közlemény nem hivatalos angol fordításáról (International Cyber Digest). A kivágás a 2. pont (Hatás) közepén ér véget, ezért a további részletek (pl. a támadás módja, a megtett intézkedések, a hatósági bejelentés, az ügyfeleknek szóló teendők) nem ismertek.
- Az 54 401-es összeg a négy szolgáltatás címszámainak saját összeadása; a közlemény ezt nem összesíti.
- A „4 nap” a közölt dátumokból számolt idő a behatolás és az észlelés között.
- A jelszótárolásra, a megfigyelésre és a szegmentálásra vonatkozó megállapítások következtetések, a szolgáltató ezeket nem erősítette meg.
