Un aggiornamento ufficiale pubblicato da Reddit rivela che un utente malintenzionato è entrato in alcuni sistemi della rete aziendale e ha rubato i dati degli utenti. Il furto consisteva in un backup del database del 2007 contenente password con hash salate insieme ad "alcuni" indirizzi e-mail attuali. Reddit sta attualmente collaborando con le forze dell'ordine mentre indagano sulla violazione.
Secondo Reddit, il backup del database trapelato include nomi utente e password con hash salate utilizzate dal lancio del sito nel 2005 fino a maggio 2007. Include anche indirizzi e-mail, contenuti pubblici e messaggi privati. Gli utenti Reddit con dati contenuti in questo backup verranno avvisati di reimpostare le proprie password. Coloro che hanno creato un account Reddit dopo maggio 2007 non sono interessati da questa specifica parte della violazione.
Video consigliati
Se non hai familiarità con il termine "hash", l'hashing converte una password in un valore con una lunghezza fissa che non può essere invertita senza molta potenza di calcolo. "Salting" significa inserire un valore segreto casuale aggiuntivo in una password in modo che gli hacker non possano utilizzare attacchi a dizionario. I server creano un nuovo salt generato casualmente per ogni password e li uniscono insieme utilizzando la crittografia.
Imparentato
- Macy’s conferma che gli hacker hanno rubato i dati dei clienti dal suo sito web
Reddit ha anche affermato che l'aggressore ha ottenuto l'accesso ai riepiloghi di posta elettronica da [email protected] inviato tra il 3 giugno e il 17 giugno 2018. Come mostrato sopra, i digest collegano i nomi utente agli indirizzi e-mail ed evidenziano anche i subreddit a cui si è iscritti. Coloro che non associano il proprio indirizzo email al proprio account Reddit e/o deselezionano l'opzione "email digest" nel proprio account non sono interessati.
Ma non è tutto. Poiché l’hacker aveva accesso in lettura ai sistemi di archiviazione di Reddit, l’aggressore ha ottenuto il codice sorgente, i log interni, i file di configurazione e i file dell’area di lavoro dei dipendenti. Dal lato dell’utente finale, il database del 2007 e i riepiloghi di posta elettronica costituivano la fonte del tesoro dell’aggressore.
Come è riuscito l'aggressore a infiltrarsi su Reddit? Attraverso “alcuni” account dei dipendenti compromessi legati al cloud e ai provider di hosting del codice sorgente di Reddit. Questi account erano protetti dall'autenticazione a due fattori tramite messaggistica SMS, che non è la forma più sicura di verifica delle credenziali. Reddit suggerisce a tutti di passare all'autenticazione a due fattori basata su token come riconoscimento facciale, scansione delle impronte digitali e Chiavi basate su USB.
“Sebbene si sia trattato di un attacco serio, l’aggressore non ha ottenuto l’accesso in scrittura ai sistemi Reddit; hanno ottenuto l’accesso in sola lettura ad alcuni sistemi che contenevano dati di backup, codice sorgente e altri registri”, riferisce la società. "Non sono stati in grado di modificare le informazioni di Reddit e dopo l'evento abbiamo adottato ulteriori misure per farlo ulteriormente bloccare e ruotare tutti i segreti di produzione e le chiavi API e migliorare la nostra registrazione e monitoraggio sistemi”.
Reddit ha scoperto la violazione il 19 giugno, avvenuta tra il 14 e il 18 giugno. Dopo aver scoperto la violazione, Reddit ha collaborato con i suoi partner di cloud e hosting del codice sorgente per capire a cosa ha avuto accesso l’aggressore. La società ha inoltre segnalato l'hacking alle forze dell'ordine e ha iniziato a inviare messaggi agli account utente. Reddit ha adottato ulteriori misure per proteggere meglio anche la propria rete.
Reddit suggerisce agli utenti di riconsiderare le proprie password se sono in uso da anni sul sito e/o altrove. Reddit suggerisce inoltre di utilizzare password complesse e univoche e app di autenticazione per sfruttare la funzionalità di autenticazione a due fattori del sito.
Raccomandazioni degli editori
- Gli hacker hanno appena rubato dati personali di milioni di clienti Acer
- Quora colpita da una violazione dei dati che colpisce circa 100 milioni di utenti
Migliora il tuo stile di vitaDigital Trends aiuta i lettori a tenere d'occhio il frenetico mondo della tecnologia con tutte le ultime notizie, divertenti recensioni di prodotti, editoriali approfonditi e anteprime uniche nel loro genere.
