Uradna posodobitev, ki jo je objavil Reddit razkriva, da je napadalec vdrl v nekaj sistemov v omrežju podjetja in ukradel uporabniške podatke. Kraja je bila sestavljena iz varnostne kopije baze podatkov iz leta 2007, ki je vsebovala zasoljena zgoščena gesla skupaj z "nekaterimi" trenutnimi e-poštnimi naslovi. Reddit trenutno sodeluje z organi pregona, ko preiskujejo kršitev.
Po poročanju Reddita razkrita varnostna kopija baze podatkov vključuje uporabniška imena in razpršena zgoščena gesla, uporabljena med zagonom spletnega mesta leta 2005 do maja 2007. Vključuje tudi e-poštne naslove, javno vsebino in zasebna sporočila. Uporabniki Reddita s podatki v tej varnostni kopiji bodo obveščeni, da ponastavijo svoja gesla. Tisti, ki so ustvarili račun Reddit po maju 2007, niso prizadeti v tem posebnem delu kršitve.
Priporočeni videoposnetki
Če niste seznanjeni z izrazom "hash", zgoščevanje pretvori geslo v vrednost s fiksno dolžino, ki je ni mogoče razveljaviti brez veliko računalniške moči. "Soljenje" pomeni dodajanje dodatne, naključne tajne vrednosti v geslo, tako da hekerji ne morejo uporabiti slovarskih napadov. Strežniki ustvarijo novo naključno ustvarjeno sol za vsako geslo in jih zgostijo skupaj s kriptografijo.
Povezano
- Macy's potrjuje, da so hekerji ukradli podatke o strankah z njihove spletne strani
Reddit je tudi povedal, da je napadalec dobil dostop do izvlečkov e-pošte [email protected] poslano med 3. 6. in 17. 6. 2018. Kot je prikazano zgoraj, izvlečki povezujejo uporabniška imena z e-poštnimi naslovi in poudarjajo tudi naročene podreditve. To ne vpliva na tiste, ki svojega e-poštnega naslova ne povežejo s svojim računom Reddit in/ali počistijo možnost »e-poštni povzetki« v svojem računu.
Vendar to še ni vse. Ker je imel heker dostop za branje do sistemov za shranjevanje Reddit, je napadalec pridobil izvorno kodo, notranje dnevnike, konfiguracijske datoteke in datoteke delovnega prostora zaposlenih. Na strani končnega uporabnika so bili baza podatkov iz leta 2007 in izvlečki e-pošte vir napadalčeve zakladnice.
Kako se je napadalec infiltriral v Reddit? Prek »nekaj« ogroženih računov zaposlenih, povezanih z Redditovim oblakom in ponudniki gostovanja izvorne kode. Ti računi so bili zaščiteni z dvostopenjsko avtentikacijo prek sporočil SMS, kar ni najbolj varna oblika preverjanja poverilnic. Reddit predlaga, da vsi preidejo na dvostopenjsko avtentikacijo na podlagi žetonov, kot so prepoznavanje obraza, skeniranje prstnih odtisov in USB ključi.
»Čeprav je bil to resen napad, napadalec ni pridobil pisnega dostopa do sistemov Reddit; pridobili so dostop samo za branje do nekaterih sistemov, ki so vsebovali varnostne kopije podatkov, izvorno kodo in druge dnevnike,« poroča podjetje. »Informacij Reddita niso mogli spremeniti, mi pa smo od dogodka ukrepali naprej zakleniti in rotirati vse proizvodne skrivnosti in ključe API ter izboljšati naše beleženje in spremljanje sistemi."
Reddit je 19. junija odkril kršitev, ki se je zgodila med 14. in 18. junijem. Po odkritju kršitve je Reddit sodeloval s svojimi partnerji za gostovanje v oblaku in izvorni kodi, da bi razumel, do česa je napadalec dostopal. Podjetje je vdor prijavilo tudi organom pregona in začelo pošiljati sporočila uporabniškim računom. Reddit je sprejel dodatne ukrepe za boljšo zaščito svojega omrežja.
Reddit predlaga, da uporabniki ponovno premislijo o svojih geslih, če jih že leta uporabljajo na spletnem mestu in/ali drugje. Reddit prav tako predlaga uporabo močnih, edinstvenih gesel in aplikacij za preverjanje pristnosti, da izkoristite funkcijo dvofaktorske avtentikacije spletnega mesta.
Priporočila urednikov
- Hekerji so pravkar ukradli osebne podatke milijonov strank Acer
- Quora je prizadela kršitev podatkov, ki prizadene približno 100 milijonov uporabnikov
Nadgradite svoj življenjski slogDigitalni trendi bralcem pomagajo slediti hitremu svetu tehnologije z vsemi najnovejšimi novicami, zabavnimi ocenami izdelkov, pronicljivimi uvodniki in enkratnimi vpogledi v vsebine.
