LiveAuctioneers reveló una violación de datos de millones de contraseñas, direcciones de correo electrónico y números de teléfono

El sábado, LiveAuctioneers, una plataforma en línea que permite a los usuarios participar en subastas de antigüedades, arte y joyas de la vida real, anunció que algunos de los datos personales de sus clientes pueden haber sido comprometidos. La notificación señaló rápidamente que la violación ocurrió en un socio de procesamiento de datos de terceros, y que LiveAuctioneers fue solo uno de los muchos servicios en línea que se vieron afectados, pero no podemos imaginar que esto haya hecho algo para alegrar el estado de ánimo. de las personas cuyos datos se filtraron.

Los hackers acceden a los datos de LiveAuctioneers después de una violación de terceros

La versión inicial de la notificación de violación de datos afirmó que, entre otras cosas, los piratas informáticos pueden haber tenido acceso a los últimos cuatro dígitos de algunas de las tarjetas de crédito de los usuarios. Sin embargo, una actualización del 12 de julio eliminó esa información. En cambio, el aviso enmendado declaró que el 19 de junio, los piratas informáticos atacaron al socio de procesamiento de datos de LiveAuctioneers y obtuvieron acceso a los nombres de los usuarios, direcciones de correo electrónico y de correo, números de teléfono y "contraseñas cifradas".

El experto en ciberseguridad, Graham Cluley, sentía curiosidad por saber qué querían decir LiveAuctioneers con "contraseñas encriptadas", y también quería saber cuántas personas podrían haberse visto afectadas, razón por la cual trató de ponerse en contacto con la empresa y solicitar más información. Ayer obtuvo sus respuestas. Desafortunadamente, no vinieron de LiveAuctioneers, sino de un foro de piratería donde los cibercriminales compran y venden datos robados.

Los hackers intentan vender los datos comprometidos de LiveAuctioneers

Ayer, investigadores de CloudSEK anunciaron que su plataforma de monitoreo de riesgos había detectado un anuncio de 3.4 millones de registros robados de LiveAuctioneers en un foro claro de piratería web. La publicación tenía fecha del 10 de julio, un día antes de que la plataforma anunciara la violación y, al igual que LiveAuctioneers, los registros contenían nombres, correos electrónicos y direcciones de correo, y, en algunos casos, IP. Sin embargo, para aproximadamente 3 millones de cuentas, el vendedor también afirmó tener las contraseñas descifradas.

El anuncio decía que las contraseñas fueron codificadas con MD5, que, como señaló Graham Cluley, es "casi inútil" cuando se trata de proteger las credenciales, y el mero hecho de que el hacker logró recuperar la mayoría de los datos de inicio de sesión en menos de un mes debería ser prueba suficiente de cuán lamentablemente inseguro es el algoritmo.

Es justo decir que todas las contraseñas deberían considerarse comprometidas ahora, pero ¿es algo tan malo?

¿Qué tan malas son las consecuencias?

A primera vista, sería perdonado por pensar que la violación no es tan importante. El equipo de seguridad cibernética de LiveAuctioneers aparentemente sabía que no estaban utilizando el método de almacenamiento de contraseñas más seguro, y cuando se enteraron de la violación, deshabilitaron de inmediato las contraseñas más recientes de todas las cuentas de licitador. Nos guste o no, los usuarios afectados por el ataque deberán cambiar sus contraseñas de LiveAuctioneers.

Sin embargo, también deben asegurarse de que los detalles de inicio de sesión comprometidos no se utilicen en ningún otro sitio web o servicio. De lo contrario, los piratas informáticos pueden hacerse cargo de sus cuentas fácilmente con un simple ataque de relleno de credenciales. Desafortunadamente, para los usuarios de LiveAuctioneers, este es solo uno de los problemas.

No olvidemos que LiveAuctioneers es una plataforma que ayuda con la venta de arte, antigüedades, joyas y otros artículos caros. Las personas que lo usan tienen mucho dinero para gastar y, por lo tanto, son el blanco perfecto para ataques sofisticados de spearphishing. Los datos personales tampoco se ofrecen de forma gratuita, lo que significa que cualquiera que los compre probablemente se esforzará por obtener un retorno de su inversión. En otras palabras, los usuarios de LiveAuctioneers deben ser aún más cuidadosos de lo habitual.