40 εκατομμύρια αρχεία χρηστών της εφαρμογής Wishbone πωλούνται στο Διαδίκτυο

Όπως αναφέραμε χθες, οι εγκληματίες στον κυβερνοχώρο προσπαθούν συχνά να βγάλουν λεφτά από δεδομένα που είχαν παραβιαστεί πριν από χρόνια. Όταν ο Catalin Cimpanu, ένας από τους δημοσιογράφους ασφαλείας του ZDNet, βρήκε μια διαφήμιση που πουλούσε τις πληροφορίες των χρηστών της εφαρμογής Wishbone σε ένα υπόγειο φόρουμ, πιθανότατα πίστευε ότι αυτό ακριβώς συμβαίνει.

Η δημοφιλής εφαρμογή κουίζ υπέστη παραβίαση δεδομένων το 2016 όταν οι χάκερ διέρρευσαν μια βάση δεδομένων που περιέχει τις προσωπικές πληροφορίες περίπου 2,2 εκατομμυρίων χρηστών. Εκείνη την εποχή, οι εγκληματίες στον κυβερνοχώρο ισχυρίστηκαν ότι απελευθερώνουν μόνο ένα μικρό μέρος των κλεμμένων πληροφοριών και φαινόταν ότι η νέα διαφήμιση θα μπορούσε να περιέχει τις υπόλοιπες λεπτομέρειες που είχαν διαλεχθεί πριν από τέσσερα χρόνια. Αφού εξέτασε ένα δείγμα από τη βάση δεδομένων που διαφημίστηκε πρόσφατα, ο Cimpanu συνειδητοποίησε ότι πρόκειται για ένα ολοκαίνουργιο hack.

Ένας εγκληματίας στον κυβερνοχώρο πουλά 40 εκατομμύρια δίσκους Wishbone για 8 χιλιάδες δολάρια

Ο πωλητής επεσήμανε ότι η βάση δεδομένων ελήφθη το 2020 και ο δημοσιογράφος της ZDNet το επιβεβαίωσε ελέγχοντας τις χρονικές σημάνσεις και εξετάζοντας τα δείγματα δεδομένων σε μερικές υπηρεσίες κοινοποίησης παραβίασης, οι οποίες έδειξαν ότι είναι πράγματι αρκετά πρόσφατη. Ο αριθμός των επηρεαζόμενων ατόμων ανέρχεται σε περίπου 40 εκατομμύρια και τα αρχεία περιλαμβάνουν ονόματα, ονόματα χρήστη, διευθύνσεις email, αριθμούς τηλεφώνου, γεωγραφικές τοποθεσίες και κωδικούς πρόσβασης κατακερματισμού. Ο πωλητής ζητά 0,85 bitcoin ή περίπου 8 χιλιάδες $, πράγμα που σημαίνει ότι οι λογαριασμοί έχουν τιμή 0,0002 $ ανά τεμάχιο.

Οι προγραμματιστές του Wishbone δεν έχουν ακόμη παρουσιάσει επίσημη δήλωση, αλλά το ZDNet επιβεβαίωσε ότι τα δεδομένα είναι γνήσια. Είναι σχετικά φθηνό και προσφέρεται από αυτό που φαίνεται να είναι έμπειρος έμπορος. Η έρευνα της Catalin CImpanu αποκάλυψε ότι ο ίδιος πωλητής προσφέρει δεκάδες βάσεις δεδομένων που έχουν κλαπεί από κάθε είδους πάροχοι υπηρεσιών. Συνολικά, ο δημοσιογράφος υπολόγισε ότι ο εγκληματίας στον κυβερνοχώρο έχει στην κατοχή του ένα επιβλητικό 1,5 δισεκατομμύριο κλεμμένα αρχεία.

Πιθανότατα, ο πωλητής δεν θα έχει κανένα πρόβλημα να αλλάξει τη βάση δεδομένων Wishbone και ενώ μετρά τα κέρδη, οι χρήστες της εφαρμογής πρέπει να σκεφτούν τις πιθανές συνέπειες της παραβίασης.

Πώς μπορεί η παραβίαση δεδομένων του Wishbone να επηρεάσει τους χρήστες;

Αν και δεν εμπλέκονται οικονομικά δεδομένα, υπάρχουν αρκετές προσωπικά αναγνωρίσιμες πληροφορίες που διευκολύνουν κάθε είδους απάτες. Με τα στοιχεία επικοινωνίας, οι χάκερ μπορούν εύκολα να έρθουν σε επαφή με πιθανούς στόχους και τα υπόλοιπα δεδομένα μπορούν να τους βοηθήσουν να δημιουργήσουν μια παγίδα κοινωνικής μηχανικής στην οποία είναι πιθανό να πέσουν τα θύματα. Λαμβάνοντας υπόψη το γεγονός ότι η συντριπτική πλειονότητα της βάσης χρήστη του Wishbone αποτελείται έφηβων κοριτσιών, οι συνέπειες της παραβίασης δεδομένων είναι τρομακτικές.

Θα μπορούσατε να υποστηρίξετε ότι η παραβίαση δεν θα έπρεπε να είχε συμβεί, αλλά, όπως έχουμε πει στο παρελθόν, καμία εταιρεία δεν είναι απαλλαγμένη από την επίθεση από κυβερνοεπιθέσεις. Το γεγονός είναι, ωστόσο, ότι παρόλο που το Wishbone έχει ήδη περάσει από ένα περιστατικό ασφαλείας, οι προγραμματιστές του δεν φαίνεται να έχουν μάθει το μάθημά τους.

Στην αγγελία, ο πωλητής των δεδομένων είπε ότι οι κωδικοί πρόσβασης είχαν κατακερματιστεί με το SHA1. Αυτό είναι πρόβλημα επειδή το SHA1 δεν είναι η πιο ισχυρή συνάρτηση κατακερματισμού και μπορεί να αντιστραφεί. Όταν ο Catalin Cimpanu εξέτασε ένα δείγμα των διαπιστευτηρίων που διέρρευσε, συνειδητοποίησε ότι οι κωδικοί πρόσβασης είχαν πραγματικά κατακερματιστεί με MD5 - έναν αλγόριθμο που μπορεί να σπάσει σε δευτερόλεπτα με ελεύθερα προσβάσιμα εργαλεία.

Η απειλή για τους λογαριασμούς Wishbone των ανθρώπων είναι πολύ πραγματική, και εάν οι επηρεαζόμενοι χρήστες επαναχρησιμοποιούν τους ίδιους κωδικούς πρόσβασης για πολλές υπηρεσίες, οι ζημιές θα μπορούσαν να είναι ακόμη πιο σημαντικές.