Video: Livingsocial Experience (Marraskuu 2024)
Kyberhyökkääjät rikkoivat äskettäin LivingSocialin järjestelmiä ja käyttivät laittomasti yli 50 miljoonan käyttäjän asiakastietoja, LivingSocial sanoi. Käyttäjien on vaihdettava salasanansa välittömästi.
Kuten PCMag.com kertoi eilen, LivingSocial lähetti kaikille asiaan liittyville asiakkaille tietosuojarikkomusilmoituksia ilmoittamalla tietoverkkohyökkäyksestä, joka johti asiakkaan tietojen luvattomaan käyttöön. LivingSocialin mukaan potentiaalisesti vaikutti yli 50 miljoonaan tiliin, mikä tekee tästä yhden tämän vuoden suurimmista salasanarikkomuksista.
Tällä hetkellä ei ole selvää, kuinka rikkomus tapahtui ja mitä muita tietoja varastettiin. Tällaisissa tapauksissa hyökkääjät yleensä murtautuvat asentamalla salaa haittaohjelmia työntekijöiden laitteisiin ja työskentelevät sitten verkon ympäri, kunnes ne löytävät arkaluontoisia järjestelmiä, Trusteerin vanhempi turvallisuusstrategia George Tubin kertoi SecurityWatchille .
Palveluntarjoajien "odotetaan hakkereiden kohdistavan järjestelmäänsä saadakseen asiakastietoja tai arkaluonteisia yritystietoja", Tubin sanoi. Tässä vaiheessa "on selvää, että nämä palveluntarjoajat eivät yksinkertaisesti tee tarpeeksi suojatakseen asiakkaidensa tietoja", Tubin sanoi.
Suolatut, hajautetut salasanat eivät ole halkeilemattomia
Se on hyvä merkki siitä, että LivingSocial oli hajauttanut ja suolaannut salasanansa, koska se hidastaa hyökkääjiä jonkin verran, mutta "se ei estä" hyökkääjiä yrittämästä ja menestyä alkuperäisten salasanojen selvittämisessä, Ross Barrett, turvallisuusjohtaja tekniikka Rapid7: llä, kertoi SecurityWatch . Vaikka suolaaminen hidastaa murtumisprosessia, "lopulta hyökkääjät tai heidän verkkonsa saavat tiedot, joita he ovat jäljellä", Barrett sanoi..
Hajautus on yksisuuntainen salaus, jossa saat aina saman tuloksen tietylle tulolle, mutta ei ole mahdollista aloittaa hashilla ja selvittää, mikä alkuperäinen merkkijono oli. Hyökkääjät luottavat usein sateenkaaritaulukoihin, sarjaan valtavia sanakirjoja, jotka sisältävät kaikki mahdolliset merkkijonot (mukaan lukien sanakirjasanat, yleiset sukunimet, jopa kappaleteksti) ja asiaankuuluvat hash-arvot. Hyökkääjät voivat sovittaa salasanan taulukon tiivisteen sateenkaaritaulun kanssa löytääkseen alkuperäisen merkkijonon, joka tuotti koodin.
Suolaamisella tarkoitetaan prosessia, jossa lisätietoja lisätietoja alkuperäiseen syötemerkkijonoon luodaan ennen tiivisteen luomista. Koska hyökkääjä ei tiedä mitä ylimääräisiä dataa on, hash-tiedostojen murtaminen on vaikeampaa.
Ongelmana on kuitenkin, että LivingSocial käytti SHA1: tä generoida hash, heikko algoritmi. Kuten MD5, toinen suosittu algoritmi, SHA1 on suunniteltu toimimaan nopeasti ja minimaalisella määrällä laskentaresursseja.
Laitteiden ja hakkerointitekniikoiden viimeaikaisen kehityksen huomioon ottaen SHA1-tiivisteet, jopa suolatut, eivät ole halkeamienkestäviä. LivingSocial olisi ollut parempi käyttää bcrypt-, scrypt- tai PBKDF-2-ohjelmia.
Vaihda nuo salasanat nyt
LivingSocial on asettanut ennaltaehkäisevät salasanat kaikille käyttäjille, ja käyttäjien on valittava uudet salasanat, joita ei käytetä missään muualla. Monet ihmiset käyttävät samaa salasanaa uudelleen sivustoissa; Jos käyttäjät käyttivät LivingSocial-salasanaa muilla sivustoilla, heidän tulisi myös vaihtaa nuo salasanat heti. Kun salasanat on murattu, hyökkääjät voivat kokeilla salasanoja suosittuja palveluita, kuten sähköposti, Facebook ja LinkedIn, vastaan.
"Nämä rikkomukset ovat jälleen muistutus siitä, miksi on niin tärkeää ylläpitää hyvää salasanahygieniaa ja käyttää erilaisia salasanoja kaikille tileille ja sivustoille", Barrett sanoi.
Hyökkääjät voivat käyttää myös syntymäaikaa ja nimiäsi tietojenkalasteluun ja muihin sosiaalisen suunnittelun kampanjoihin. He voivat viitata näihin yksityiskohtiin huijatakseen käyttäjiä ajattelemaan, että nämä ovat laillisia viestejä. Varastettu tieto on "voimallinen hyökkäyksiä erittäin kauan", Barrett sanoi.
LivingSocial-rikkomus on "uusi muistutus siitä, että organisaatioita kohdennetaan edelleen arvokkaille asiakastiedoilleen", Barrett sanoi.
