Disqus: Πάνω από 17,5 εκατ. χρήστες παραβιάστηκαν τα δεδομένα τους από χάκερς το 2012.
Η Disqus αποκάλυψε ότι χάκερ έκλεψαν τα στοιχεία πάνω από 17,5 εκατομμύρια χρηστών της, σε μια σημαντική παραβίαση των δεδομένων που διεξήχθη τον Ιούλιο του 2012. Η εταιρεία η οποία είναι κυρίαρχος στον τομέα των σχολίων που θα τοποθετούνται κάτω από το άρθρο, η οποία τα παρέχει μέσω ενός web-based plugin για ιστοσελίδες και blogs, είπε ότι τέθηκαν σε κίνδυνο πληροφορίες που περιλαμβάνουν ονόματα χρηστών, ημερομηνίες εγγραφής και η τελευταία ημερομηνίες σύνδεσης σε απλό κείμενο.
Περίπου το ένα τρίτο των χακαρισμένων λογαριασμών περιείχε κωδικούς πρόσβασης, οι οποίοι στη συνέχεια λήφθηκαν από τους επιτήδειους χρησιμοποιώντας τον αλγόριθμο SHA-1.
Η Disqus δήλωσε ότι οι συγκεκριμένες παραβιάσεις με τα εκτεθειμένα δεδομένα των χρηστών χρονολογούνται από το 2007, μέχρι τα πιο πρόσφατα δεδομένα που εκτέθηκαν τον Ιούλιο του 2012.
Ο ειδικός σε θέματα ασφάλειας Troy Hunt, ιδρυτής της ιστοσελίδας κοινοποίησης των παραβιάσεων δεδομένων Pwned, ανακάλυψε την παραβίαση αυτή την εβδομάδα και ενημέρωσε την εταιρεία που χτυπήθηκε από τους χάκερς, την Πέμπτη (5 Οκτωβρίου). Η Disqus δήλωσε ότι άρχισε να ενημερώνει τους χρήστες για την παραβίαση την Παρασκευή και θα προσπαθήσει να αλλάξει τους κωδικούς πρόσβασης όλων των επηρεαζόμενων χρηστών.
“Ενώ ερευνούμε ακόμα το περιστατικό, πιστεύουμε ότι είναι καλύτερο να μοιραζόμαστε αυτό που γνωρίζουμε με τον κόσμο για το καλό της κοινωνίας”, δήλωσε ο επικεφαλής της τεχνολογίας της Disqus , Jason Yan σε μία ανάρτηση σε blog.
“Ζητούμε ειλικρινά συγγνώμη από όλους τους χρήστες μας που επηρεάστηκαν από αυτή την παραβίαση και επιδιώκουμε να είμαστε όσο το δυνατόν πιο διαφανείς για το τι συνέβη. Όταν ανακαλύψαμε ποιες είναι οι πιθανές συνέπειες σπεύσαμε να ενημερώσουμε τα θύματα.
“Αυτή τη στιγμή δεν υπάρχουν ενδείξεις για μη εξουσιοδοτημένες συνδέσεις από χάκερσ που να σχετίζονται με αυτή την περίπτωση. Οι εκτεθειμένοι κωδικοί πρόσβασης απλού κειμένου στην πραγματικότητα είναι αλλοιωμένοι και δεν φαίνονται καθαρά, αλλά είναι δυνατή η αποκρυπτογράφηση αυτών των δεδομένων”.
Ως προληπτικό μέτρο, η Disqus έχει κάνει reset τους κωδικούς πρόσβασης όλων των επηρεαζόμενων χρηστών και τους ενημέρωσε να αλλάξουν τους κωδικούς πρόσβασης και στις άλλες υπηρεσίες ή πλατφόρμες που χρησιμοποιούν για να μην μοιραστούν περαιτέρω τα ίδια διαπιστευτήρια.
Η εταιρεία προειδοποίησε επίσης τους χρήστες ενάντια σε πιθανά μηνύματα ηλεκτρονικού ταχυδρομείου ανεπιθύμητης αλληλογραφίας και ηλεκτρονικού “ψαρέματος”, καθώς οι διευθύνσεις ηλεκτρονικού ταχυδρομείου εκτέθηκαν στην επίθεση.
New breach: Disqus had a data breach in 2012 which exposed 17.5M accounts. 71% were already in @haveibeenpwned https://t.co/LGaAnj1hUA
— Have I Been Pwned (@haveibeenpwned) October 6, 2017
“Αυτή τη στιγμή, δεν πιστεύουμε ότι αυτά τα δεδομένα είναι ευρέως διανεμημένα ή άμεσα διαθέσιμα”, δήλωσε ο Yan. “Από το 2012, ως μέρος των κανονικών βελτιώσεων ασφαλείας, έχουμε πραγματοποιήσει σημαντικές αναβαθμίσεις στη βάση δεδομένων μας και προσθέσαμε κρυπτογράφηση για να αποτρέψουμε τέτοιου είδους παραβιάσεις και να αυξήσουμε την ασφάλεια των κωδικών πρόσβασης. Συγκεκριμένα, στο τέλος του 2012 άλλαξαμε τον αλγόριθμό κατακερματισμού κωδικού πρόσβασης από SHA1 σε bcrypt.
“Η ομάδα μας εξακολουθεί να διερευνά αυτό το ζήτημα, αλλά θέλαμε να μοιραστούμε όλες τις σχετικές πληροφορίες το συντομότερο δυνατόν … Και πάλι, λυπούμαστε για αυτό. Η εμπιστοσύνη σας στο Disqus είναι σημαντική για εμάς και εργαζόμαστε σκληρά για να διατηρήσουμε.”
Important security alert from @Disqus. Not a fun situation, but full credit for that disclosure timeline: https://t.co/Cz2HGUzp9X
— Troy Hunt (@troyhunt) October 6, 2017
Ο Hunt είπε ότι το 71% των διευθύνσεων ηλεκτρονικού ταχυδρομείου που εκτέθηκαν ήταν ήδη καταγεγραμμένες στη βάση δεδομένων της ιστοσελίδας I Have Been Pwned, δηλαδή ξανά είχαν χακαριστεί.
