Το LiveAuctioneers αποκάλυψε παραβίαση δεδομένων εκατομμυρίων κωδικών πρόσβασης, διευθύνσεων ηλεκτρονικού ταχυδρομείου και αριθμών τηλεφώνου

Το Σάββατο, το LiveAuctioneers, μια διαδικτυακή πλατφόρμα που επιτρέπει στους χρήστες να συμμετέχουν σε δημοπρασίες αντίκες, τέχνης και κοσμημάτων, ανακοίνωσαν ότι ορισμένα από τα προσωπικά δεδομένα των πελατών της ενδέχεται να έχουν παραβιαστεί. Η ειδοποίηση έδειξε γρήγορα ότι η παραβίαση συνέβη σε τρίτο συνεργάτη επεξεργασίας δεδομένων και ότι το LiveAuctioneers ήταν μόνο μία από τις πολλές διαδικτυακές υπηρεσίες που επηρεάστηκαν, αλλά δεν μπορούμε να φανταστούμε ότι αυτό έχει κάνει τίποτα για να φωτίσει τη διάθεση των ανθρώπων των οποίων τα δεδομένα διέρρευσαν.

Οι χάκερ έχουν πρόσβαση στα δεδομένα του LiveAuctioneers μετά από παραβίαση τρίτου μέρους

Η αρχική έκδοση της ειδοποίησης παραβίασης δεδομένων ισχυρίστηκε ότι, μεταξύ άλλων, οι εισβολείς ενδέχεται να είχαν πρόσβαση στα τέσσερα τελευταία ψηφία ορισμένων από τις πιστωτικές κάρτες των χρηστών. Ωστόσο, μια ενημέρωση από τις 12 Ιουλίου αφαίρεσε αυτές τις πληροφορίες. Αντ 'αυτού, η τροποποιημένη ειδοποίηση ανέφερε ότι στις 19 Ιουνίου, οι χάκερ επιτέθηκαν στον συνεργάτη επεξεργασίας δεδομένων του LiveAuctioneers και απέκτησαν πρόσβαση σε ονόματα χρηστών, διευθύνσεις ηλεκτρονικού ταχυδρομείου και αλληλογραφίας, αριθμούς τηλεφώνου και "κρυπτογραφημένους κωδικούς πρόσβασης".

Ο ειδικός της κυβερνοασφάλειας Graham Cluley ήταν περίεργος να μάθει τι εννοούσε το LiveAuctioneers με τους "κρυπτογραφημένους κωδικούς πρόσβασης" και ήθελε επίσης να μάθει πόσα άτομα μπορεί να έχουν επηρεαστεί, γι 'αυτό προσπάθησε να έρθει σε επαφή με την εταιρεία και να ζητήσει περισσότερες πληροφορίες. Χθες, πήρε τις απαντήσεις του. Δυστυχώς, δεν προήλθαν από τους LiveAuctioneers, αλλά από ένα φόρουμ εισβολής, όπου οι εγκληματίες στον κυβερνοχώρο αγοράζουν και πωλούν κλεμμένα δεδομένα.

Οι χάκερ προσπαθούν να πουλήσουν τα παραβιασμένα δεδομένα του LiveAuctioneers

Χθες, ερευνητές από το CloudSEK ανακοίνωσαν ότι η πλατφόρμα παρακολούθησης κινδύνων εντόπισε μια διαφήμιση για 3,4 εκατομμύρια κλεμμένα αρχεία LiveAuctioneers σε ένα ξεκάθαρο φόρουμ για ηλεκτρονική εισβολή. Η ανάρτηση χρονολογείται στις 10 Ιουλίου, μια ημέρα πριν από την ανακοίνωση της παραβίασης από την πλατφόρμα και, όπως είπε η LiveAuctioneers, τα αρχεία περιείχαν ονόματα, διευθύνσεις ηλεκτρονικού ταχυδρομείου και διευθύνσεις αλληλογραφίας και, σε ορισμένες περιπτώσεις, IP. Ωστόσο, για περίπου 3 εκατομμύρια λογαριασμούς, ο πωλητής ισχυρίστηκε επίσης ότι έχει τους κωδικούς πρόσβασης που έχουν σπάσει.

Η διαφήμιση ανέφερε ότι οι κωδικοί πρόσβασης είχαν κατακερματιστεί με το MD5, το οποίο, όπως επεσήμανε ο Graham Cluley, είναι "δίπλα στο άχρηστο" όσον αφορά την προστασία των διαπιστευτηρίων και το απλό γεγονός ότι ο χάκερ κατάφερε να ανακτήσει τα περισσότερα από τα δεδομένα σύνδεσης σε λιγότερο από ένας μήνας πρέπει να είναι αρκετά καλή απόδειξη του πόσο ανασφαλής είναι ο αλγόριθμος.

Είναι δίκαιο να πούμε ότι όλοι οι κωδικοί πρόσβασης πρέπει να θεωρούνται ότι έχουν παραβιαστεί τώρα, αλλά είναι τόσο άσχημο;

Πόσο κακές είναι οι συνέπειες;

Με την πρώτη ματιά, θα σας συγχωρούσαν που πιστεύατε ότι η παραβίαση δεν είναι τόσο μεγάλη υπόθεση. Η ομάδα ασφάλειας στον κυβερνοχώρο LiveAuctioneers προφανώς ήξερε ότι δεν χρησιμοποιούσαν την πιο ασφαλή μέθοδο αποθήκευσης κωδικού πρόσβασης και όταν έμαθαν για την παραβίαση, απενεργοποίησαν αμέσως τους πιο πρόσφατους κωδικούς πρόσβασης όλων των λογαριασμών πλειοδότη. Είτε αρέσει είτε όχι, οι χρήστες που επηρεάζονται από την επίθεση θα πρέπει να αλλάξουν τους κωδικούς πρόσβασης LiveAuctioneers.

Πρέπει επίσης να βεβαιωθούν, ωστόσο, ότι τα παραβιασμένα στοιχεία σύνδεσης δεν χρησιμοποιούνται σε άλλους ιστότοπους ή υπηρεσίες. Διαφορετικά, οι εισβολείς μπορούν εύκολα να αναλάβουν τους λογαριασμούς τους με μια απλή επίθεση πλήρωσης διαπιστευτηρίων. Δυστυχώς, για τους χρήστες του LiveAuctioneers, αυτό είναι μόνο ένα από τα προβλήματα.

Ας μην ξεχνάμε ότι το LiveAuctioneers είναι μια πλατφόρμα που βοηθά στην πώληση τέχνης, αντίκες, κοσμήματα και άλλα ακριβά προϊόντα. Οι άνθρωποι που το χρησιμοποιούν έχουν πολλά χρήματα για να ξοδέψουν και επομένως είναι οι τέλειοι στόχοι για εξελιγμένες επιθέσεις spearphishing. Τα προσωπικά δεδομένα δεν προσφέρονται δωρεάν, πράγμα που σημαίνει ότι όποιος το αγοράσει πιθανότατα θα καταβάλει προσπάθεια για να αποφέρει την επένδυσή του. Με άλλα λόγια, οι χρήστες του LiveAuctioneers πρέπει να είναι ακόμη πιο προσεκτικοί από το συνηθισμένο.