Oficialus atnaujinimas, paskelbtas Reddit atskleidžia, kad užpuolikas įsilaužė į kelias įmonės tinklo sistemas ir pavogė vartotojo duomenis. Vagystę sudarė 2007 m. duomenų bazės atsarginė kopija, kurioje buvo sumaišyti slaptažodžiai ir „kai kurie“ dabartiniai el. pašto adresai. Šiuo metu „Reddit“ bendradarbiauja su teisėsauga, nes jie tiria pažeidimą.
„Reddit“ teigimu, nutekintoje duomenų bazės atsarginėje kopijoje yra naudotojų vardai ir slaptažodžiai, naudojami nuo 2005 m. iki 2007 m. gegužės mėn. Tai taip pat apima el. pašto adresus, viešą turinį ir privačius pranešimus. „Reddit“ naudotojai, turintys duomenis šioje atsarginėje kopijoje, bus informuoti, kad iš naujo nustatytų slaptažodžius. Tie, kurie sukūrė „Reddit“ paskyrą po 2007 m. gegužės mėn., nėra paveikti šios konkrečios pažeidimo dalies.
Rekomenduojami vaizdo įrašai
Jei nesate susipažinę su „maišos“ terminu, maiša konvertuoja slaptažodį į fiksuoto ilgio reikšmę, kurios negalima pakeisti be didelės skaičiavimo galios. „Sūdymas“ reiškia papildomos, atsitiktinės slaptos reikšmės įmetimą į slaptažodį, kad įsilaužėliai negalėtų naudoti žodyno atakų. Serveriai kiekvienam slaptažodžiui sukuria naują atsitiktinai sugeneruotą druską ir sumaišo juos naudodami kriptografiją.
Susijęs
- „Macy's“ patvirtina, kad įsilaužėliai pavogė klientų duomenis iš jos svetainės
„Reddit“ taip pat teigė, kad užpuolikas gavo prieigą prie el. pašto santraukų [email protected] išsiųstas nuo 2018 m. birželio 3 d. iki birželio 17 d. Kaip parodyta aukščiau, santraukos naudotojų vardus sujungia su el. pašto adresais ir taip pat pabrėžia prenumeruojamus antrinius įrašus. Tie, kurie nesusieja savo el. pašto adreso su savo „Reddit“ paskyra ir (arba) nepažymėjo parinkties „El. pašto santraukos“ savo paskyroje, tai neturi įtakos.
Vis dėlto tai dar ne viskas. Kadangi įsilaužėlis turėjo skaitymo prieigą prie Reddit saugojimo sistemų, užpuolikas gavo šaltinio kodą, vidinius žurnalus, konfigūracijos failus ir darbuotojo darbo vietos failus. Kalbant apie galutinį vartotoją, 2007 m. duomenų bazė ir el. pašto santraukos buvo užpuoliko lobių šaltinis.
Kaip užpuolikas įsiskverbė į Reddit? Per „keletą“ pažeistų darbuotojų paskyrų, susietų su „Reddit“ debesies ir šaltinio kodo prieglobos paslaugų teikėjais. Šios paskyros buvo apsaugotos dviejų veiksnių autentifikavimu SMS žinutėmis, o tai nėra pati saugiausia kredencialų patvirtinimo forma. „Reddit“ siūlo visiems pereiti prie žetonu pagrįsto dviejų veiksnių autentifikavimo, pvz., veido atpažinimo, pirštų atspaudų nuskaitymo ir USB raktai.
„Nors tai buvo rimta ataka, užpuolikas negavo rašymo prieigos prie Reddit sistemų; jie gavo tik skaitymo prieigą prie kai kurių sistemų, kuriose buvo atsarginių duomenų, šaltinio kodo ir kitų žurnalų“, – praneša bendrovė. „Jie negalėjo pakeisti „Reddit“ informacijos, o nuo įvykio ėmėmės veiksmų, kad juos patobulintume užrakinti ir pakeisti visas gamybos paslaptis ir API raktus bei pagerinti registravimą ir stebėjimą sistemos“.
„Reddit“ pažeidimą aptiko birželio 19 d., kuris įvyko nuo birželio 14 iki birželio 18 d. Aptikusi pažeidimą, „Reddit“ dirbo su savo debesies ir šaltinio kodo prieglobos partneriais, kad suprastų, ką užpuolikas pasiekė. Bendrovė taip pat pranešė apie įsilaužimą teisėsaugai ir pradėjo siųsti žinutes vartotojų paskyroms. „Reddit“ ėmėsi papildomų veiksmų, kad geriau apsaugotų savo tinklą.
„Reddit“ siūlo vartotojams persvarstyti savo slaptažodžius, jei jie svetainėje ir (arba) kitur buvo naudojami daugelį metų. „Reddit“ taip pat siūlo naudoti stiprius, unikalius slaptažodžius ir autentifikavimo programas, kad galėtumėte pasinaudoti svetainės dviejų veiksnių autentifikavimo funkcija.
Redaktorių rekomendacijos
- Piratai tiesiog pavogė asmeninius duomenis iš milijonų „Acer“ klientų
- „Quora“ nukentėjo nuo duomenų pažeidimo, kuris paveikė apie 100 milijonų vartotojų
Atnaujinkite savo gyvenimo būdąSkaitmeninės tendencijos padeda skaitytojams stebėti sparčiai besivystantį technologijų pasaulį – pateikiamos visos naujausios naujienos, smagios produktų apžvalgos, įžvalgūs vedamieji leidiniai ir unikalūs žvilgsniai.
