40 millió Wishbone App felhasználói rekordot értékesítenek online

Wishbone Data Breach

Mint tegnap említettük, a számítógépes bűnözők gyakran próbálnak pénzt keresni az évekkel ezelőtt veszélyeztetett adatokból. Amikor Catalin Cimpanu, a ZDNet egyik biztonsági riportere, egy földalatti fórumon talált egy hirdetést, amely eladta a Wishbone alkalmazás felhasználói adatait, valószínűleg azt gondolta, hogy pontosan ez történik.

A népszerű kvíz alkalmazás adatvesztést szenvedett vissza 2016-ban, amikor a hackerek kiszivárogtattak egy adatbázist, amely körülbelül 2,2 millió felhasználó személyes adatait tartalmazza. Abban az időben a számítógépes bűnözők azt állították, hogy a lopott információknak csak kis részét bocsátják ki, és úgy tűnt, hogy az új hirdetés tartalmazhatja a négy évvel ezelőtt lefejtött többi részletet. Az újonnan hirdetett adatbázis mintájának áttekintése után Cimpanu rájött, hogy ez vadonatúj hack.

Egy számítógépes bűnöző 40 millió Wishbone lemezt értékesít 8 ezer dollárért

Az eladó rámutatott arra, hogy az adatbázist 2020-ban hozták létre, és a ZDNet újságírója ezt megerősítette az időbélyeg ellenőrzésével és a mintaadatok áttekintésével pár jogsértési értesítő szolgáltatással szemben, ami azt mutatta, hogy valóban elég friss. Az érintett személyek száma körülbelül 40 millió, és a nyilvántartások tartalmaznak neveket, felhasználóneveket, e-mail címeket, telefonszámokat, földrajzi helyeket és hashed jelszavakat. Az eladó 0,85 bitcoint vagy kb. 8 ezer dollárt kér, ami azt jelenti, hogy a számlák ára darabonként 0,0002 dollár.

A Wishbone fejlesztői még nem jelentek meg hivatalos nyilatkozattal, de a ZDNet megerősítette, hogy az adatok valósak. Viszonylag olcsó, és azt kínálja, amit tapasztalt kereskedőnek látszik. Catalin CImpanu vizsgálata során kiderült, hogy ugyanaz az eladó tucatnyi adatbázist kínál, amelyeket mindenféle szolgáltatótól loptak el. Összességében a riporter becslése szerint a számítógépes bűnöző óriási 1,5 milliárd lopott nyilvántartással rendelkezik.

Valószínűleg az eladónak nem lesz problémája a Wishbone adatbázis átállításával, és miközben számolja a nyereséget, az alkalmazás felhasználóinak gondolkodniuk kell a jogsértés lehetséges következményeiről.

Hogyan befolyásolhatja a Wishbone adatsértése a felhasználókat?

Noha nem állnak rendelkezésre pénzügyi adatok, elegendő személyes azonosító információ áll rendelkezésre mindenféle csalás megkönnyítéséhez. A kapcsolattartási adatokkal a hackerek könnyen kapcsolatba léphetnek a lehetséges célokkal, és az egyéb adatok segítenek nekik egy olyan társadalmi mérnöki csapda összegyűjtésében, amelybe az áldozatok valószínűleg beleesnek. Figyelembe véve azt a tényt, hogy a Wishbone felhasználói adatbázisának nagy része a tizenéves lányok esetében az adatsértés következményei félelmetesek.

Ön azt állíthatja, hogy a jogsértést nem kellett volna megtenni, de amint azt a múltban elmondtuk, egyetlen társaság sem mentes a kibertámadásoktól. A helyzet azonban az, hogy bár a Wishbone már egy biztonsági eseményen esett át, úgy tűnik, hogy a fejlesztők nem tanultak meg a leckét.

A hirdetésben az adatok eladója azt mondta, hogy a jelszavakat kivágták az SHA1-rel. Ez problémát jelent, mivel az SHA1 nem a legerősebb hash-funkció, ezért megfordítható. Amikor Catalin Cimpanu megvizsgálta a kiszivárogtatott hitelesítő adatok mintáját, rájött, hogy a jelszavakat valójában az MD5-rel hasították - ez egy algoritmus, amely szabadon hozzáférhető eszközökkel másodpercek alatt megbontható.

Az emberek Wishbone-fiókjainak fenyegetése nagyon valós, és ha az érintett felhasználók ugyanazt a jelszót használják több szolgáltatáshoz, a károk még jelentősebbek lehetnek.

May 21, 2020

Válaszolj