218 milionów rekordów rzekomo zostało skradzionych z Zyngi

12 września twórca gier mobilnych i społecznościowych Zynga ogłosił, że doznał naruszenia bezpieczeństwa danych. Zynga, jak niektórzy z was pewnie wiedzą, jest twórcą hitów takich jak FarmVille, Mafia Wars i Zynga Poker. Miliony ludzi zmarnowały niezliczone godziny, grając w te gry, co oznacza, że brak szczegółów w zapowiedzi Zyngi jest raczej niepokojący.

Krótka informacja prasowa powiedziała, że ktoś ukradł „dane logowania do konta dla niektórych graczy Draw Something and Words With Friends”. Liczba użytkowników, których dotyczy problem, nie została ujawniona, a dokładny charakter wycieków danych pozostał nieznany. Strona z często zadawanymi pytaniami powiedziała użytkownikom, że Zynga podjęła kroki w celu ochrony graczy Words With Friends przed „nieprawidłowymi logowaniami” oraz że osoby, które grały w Draw Coś, mogą zostać poproszone o zmianę hasła. Dowiedzieliśmy się, że hakerzy nie uzyskali dostępu do żadnych informacji finansowych, ale ogólnie szczegóły były cienkie na ziemi. Wczoraj haker o pseudonimie Gnosticplayers skontaktował się z The Hacker News i najwyraźniej podał więcej informacji na temat tego, co się dokładnie wydarzyło.

Gnosticplayers powraca

Gnosticplayers po raz pierwszy opublikował tę wiadomość w lutym, kiedy próbował sprzedać ogromną liczbę 620 milionów rekordów skradzionych podczas 16 naruszeń danych. Wtedy powiedział mediom, że ponosi wyłączną odpowiedzialność za wszystkie ataki (niektóre z nich były wówczas nieujawnione) i stwierdził, że ma o wiele więcej informacji, które jest gotowy do sprzedaży. W ciągu następnych kilku miesięcy udowodnił, że nie żartuje, i w sumie wydał ponad miliard płyt na sprzedaż w ciemnej sieci. Teraz twierdzi, że zhakował również Zyngę.

Ponad 200 milionów rekordów z widocznymi danymi logowania i danymi osobowymi

Najwyraźniej Gnosticplayers włamał się do bazy danych zawierającej informacje o użytkownikach Androida i iOS, którzy grali w Words With Friends 2 września 2019 r. Lub wcześniej. Haker ukradł z tej bazy danych ponad 218 milionów rekordów, a ujawnione informacje obejmują nazwiska, adres e-mail adresy, login i identyfikatory konta Zynga, a także hasła, które zostały solone i zakodowane za pomocą SHA1. Wyciekły również numery telefonów i identyfikatory Facebooka powiązane z kontami, których dotyczy problem, podobnie jak tokeny resetowania hasła użytkowników, którzy próbowali zmienić swoje hasła. Niestety, nie były to jedyne dane, które Gnosticplayers zdołał złamać.

Najwyraźniej ukradł bazę danych zawierającą informacje o ludziach grających w inne gry Zynga, w tym Draw Something. Tam Gnosticplayers znalazł ponad 7 milionów haseł w postaci jawnego tekstu według The Hacker News.

Czy można ufać Gnosticplayerom?

Żadna z powyższych informacji nie została oficjalnie potwierdzona przez Zyngę, co oznacza, że przyjęcie jej z dodatkiem soli może nie być tak złym pomysłem. Niemniej jednak, jak już wspomnieliśmy, Gnosticplayers ma na swoim koncie wiele śmiałych roszczeń, a następnie ich realizację. Co więcej, jest jedna lub dwie rzeczy, które sprawiają, że jego wersja wydarzeń jest wiarygodna.

Zynga powiedział, że zmusza niektórych graczy Draw Coś do zresetowania haseł, co ma sens, jeśli skradzione dane logowania byłyby rzeczywiście przechowywane w postaci zwykłego tekstu, jak mówi Gnosticplayers. Jednocześnie w przypadku Words With Friends twórca gry stwierdził po prostu, że podjął kroki w celu zapobieżenia „nieprawidłowym logowaniom”, które mogą, ale nie muszą, oznaczać unieważnienie tokenów resetowania wycieku hasła.

Tak czy inaczej, w chwili pisania tego tekstu, Zynga oficjalnie nie skomentował twierdzeń Gnosticplayers, co oznacza, że nie ma sposobu, aby być pewnym, co dokładnie się stało. To z kolei oznacza, że możesz zrobić coś gorszego niż zmienić hasła w grach Zynga, w które grałeś, a także w innych serwisach internetowych, w których mogłeś je ponownie wykorzystać.