Trakt warnt Benutzer vor einem Passwortverlust, der 2014 aufgetreten ist

Hin und wieder schlagen unzählige Datenbanken mit Milliarden von Benutzernamen und Passwörtern im Internet auf, und die meisten von uns müssen sich fragen, wie Hacker so viele Daten sammeln können, ohne dass jemand etwas bemerkt. Nun, am Mittwoch gab ein Diensteanbieter namens Trakt zu, dass ein Datenschutzverstoß vorliegt, und die Details dazu könnten uns nur einen kleinen Einblick in die Entstehung dieser enormen Datenspeicher geben.

Trakt ist eine Online-Plattform, auf der Sie die Filme und Fernsehsendungen verfolgen können, die Sie verfolgen und sehen möchten. Es funktioniert auf verschiedenen Plattformen und vor ein paar Jahren sagte Justin Nemeth, sein Gründer, zu Forbes , dass er die neuesten Technologien, das maschinelle Lernen, verwendet, um Ihnen Vorschläge zu geben, welche TV-Shows und Filme Ihnen gefallen könnten. Für ein relativ einfaches monatliches Abonnement können Sie ein VIP-Paket erwerben, das über zusätzliche Funktionen verfügt.

Trakt ist vielleicht nicht der bekannteste Name, aber wenn Sie den Hashtag #trakt auf Twitter überprüfen, werden Sie jede Minute feststellen , dass jemand den Service nutzt, um der ganzen Welt zu sagen, was er gerade sieht. Mit anderen Worten, es gibt einige Benutzer, die wissen möchten, was Trakt am Mittwoch gesagt hat.

Trakt wurde Opfer einer Datenverletzung

Das Unternehmen hat beschlossen, keine offizielle Ankündigung zu veröffentlichen, aber diese Art von Nachrichten kann niemals lange geheim bleiben. Kurz nachdem Trakt begann, seine Benutzer über den Vorfall zu informieren, begannen die Leute mitzuteilen, was sie erhalten hatten. Da Trakt keine weiteren Informationen preisgegeben hat, müssen wir nur mit Screenshots aus den E-Mails arbeiten.

Zunächst sollten wir sagen, dass VIP-Benutzer ruhig bleiben können. Ihre finanziellen Daten waren nicht betroffen, da sie von einem Zahlungsabwickler eines Dritten verarbeitet und gespeichert wurden. Das ist auch gut so, denn wenn es um Kreditkartendaten geht, ist es wichtig, die Karteninhaber so schnell wie möglich zu informieren. Man kann sagen, dass die Leute, die ihre Karten für ein Trakt-Abonnement verwendet haben, nicht sofort nach dem Verstoß informiert wurden.

Trakt wurde 2014 verletzt

Der Vorfall ereignete sich vor etwas mehr als vier Jahren im Dezember 2014. Offensichtlich brachen die Angreifer über einen PHP-Exploit ein und blieben dort bis Januar 2015, als Trakt ihre Infrastruktur auf eine neue Plattform umstellte und die Sicherheitslücke unwissentlich verstopfte. Während dieser Zeit konnten die Hacker Namen, E-Mail-Adressen, Benutzernamen, Standortdaten und "verschlüsselte Passwörter" stehlen. Trakt sagte nicht, wie viele Menschen betroffen waren, aber sie stellten fest, dass sie von dem Vorfall "erst kürzlich" erfahren haben und dass die Ermittlungen andauern, was bedeutet, dass wir in Zukunft weitere Neuigkeiten sehen werden.

Dies ist nur ein Verstoß. Denken Sie jetzt an die Hunderte ähnlicher Vorfälle, von denen die Menschen noch nichts wissen . So entstehen riesige Datenbanken wie die, die letzte Woche entdeckt wurde. Ob sie nützlich sind oder nicht, hängt jedoch weitgehend davon ab, wie die verletzten Dienste die Kennwörter der Benutzer speichern. Traurigerweise deuten Beweise darauf hin, dass Trakt zum Zeitpunkt des Vorfalls in diesem besonderen Aspekt nicht so gute Arbeit geleistet hat.

Passwortspeicherung macht den Unterschied

Wie bereits erwähnt, sagt Trakt, dass die Passwörter von Personen im "verschlüsselten" Format gespeichert wurden. Die Erfahrung lehrt uns, dass dies bedeuten könnte, dass die Passwörter tatsächlich verschlüsselt wurden, aber auch, dass sie gehasht wurden. Auf jeden Fall scheint das Management von Trakt zu verstehen, dass die Passwörter nicht ordnungsgemäß gespeichert wurden.

Alle betroffenen Benutzer erhielten E-Mails mit Links zum Zurücksetzen des Passworts und wurden aufgefordert, sie auf Websites zu ändern, auf denen sie möglicherweise wiederverwendet wurde. Damit gibt Trakt grundsätzlich zu, dass die Passwörter nicht sicher gespeichert wurden. Und dies kann sehr wohl bedeuten, dass sich die Daten jetzt in einem der riesigen Dumps befinden, über die wir kürzlich gesprochen haben.

Glücklicherweise hat die Migration von 2015, die den Exploit beendet hat, auch einen "sichereren Algorithmus zum Speichern von Passwörtern" bewirkt, was bedeutet, dass Personen, die sich nach Januar 2015 angemeldet haben, sicher sein sollten. Zumindest ist das die Theorie.