O Flipboard Redefine as Senhas dos Seus Usuários após Descobrir que Hackers tiveram Acesso aos Seus Bancos de Dados por Mais de Nove Meses

Para quem não sabe, o Flipboard é um serviço agregador de notícias que possui mais de 100 milhões de usuários e coleta artigos de cerca de 11 mil sites. Em 23 de abril, seus engenheiros notaram atividades incomuns nos logs e decidiram investigar. Eles acabaram descobrindo uma violação de dados bastante preocupante.

O Flipboard foi Violado pela Primeira Vez há Doze Meses

Os técnicos da Flipboard decidiram dar uma olhada porque suspeitavam de acesso não autorizado a alguns bancos de dados por volta de 21 de abril. Aconteceu que a violação ocorreu muito antes das estimativas iniciais. A equipe descobriu que os hackers realmente tinham acesso aos bancos de dados entre 21 e 22 de abril, mas também descobriram uma violação no final de março. Após uma investigação mais aprofundada, o serviço de agregação de notícias percebeu que os cibercriminosos invadiram as defesas da Flipboard em 2 de junho de 2018. Eles permaneceram no local até 23 de março de 2019 e voltaram no final de abril.

Em outras palavras, os hackers tiveram acesso às informações dos usuários do Flipboard por exatamente 295 dias ou pouco mais de nove meses e três semanas.

Não é tão Ruim Quanto Parece

Embora a linha do tempo do ataque pareça clara, o Flipboard ainda não possui todos os detalhes. Eles não sabem, por exemplo, quantas pessoas foram afetadas, embora pareçam bastante confiantes de que nem todos os usuários tiveram seus dados expostos.

As informações disponíveis para os hackers incluem nomes de usuário, endereços de e-mail, tokens digitais de pessoas que usam contas de terceiros para acessar o Flipboard e, como o agregador de notícias coloca no aviso de violação de dados, senhas "criptograficamente protegidas". Por "protegido criptograficamente", eles significam hash, o que é uma boa notícia para os usuários afetados.

Hashing é uma função criptográfica unidirecional que transforma uma senha em uma sequência aleatória de caracteres. Se as senhas tiverem hash, elas permanecerão inacessíveis até para o provedor de serviços, e é por isso que os especialistas em segurança dizem que é assim que as senhas dos usuários devem ser tratadas. Felizmente, os desenvolvedores do Flipboard estão ouvindo.

Obviamente, existem muitos algoritmos de hash diferentes e, previsivelmente, alguns são mais fortes que outros. Desde 14 de março de 2012, o Flipboard usa o bcrypt, que é amplamente considerado uma das funções de hash mais seguras atualmente disponíveis. As senhas criadas antes de março de 2012 foram divididas em hash com o SHA1, que não é nem de longe tão forte, mas como cada uma dessas senhas tem seu próprio sal, quebrá-las ainda será um trabalho bastante difícil.

Todos os Usuários Alteram as Suas Senhas, por Precaução

O Flipboard ainda não viu evidências de que alguém utilizou incorretamente os dados expostos, mas, por segurança, já está tomando algumas precauções para garantir que os usuários não sofram muito. Todos os tokens de acesso que as pessoas usaram para criar contas do Flipboard por meio de seus perfis de mídia social foram invalidados e excluídos. Além disso, embora o ataque não tenha afetado todos os usuários, todas as senhas do Flipboard serão redefinidas. As pessoas permanecerão conectadas nos dispositivos que estão usando no momento, mas na próxima vez que sairem, serão forçadas a criar uma nova senha.

Flipboard disse que, embora esteja confiante na segurança da função de hash, está implementando a redefinição de senha com muita cautela. Também aconselhou as pessoas a usar senhas exclusivas para todos os serviços online e forneceu o aviso de violação de dados com detalhes adicionais sobre como alterar manualmente sua senha e como identificar possíveis campanhas de phishing que possam tentar tirar proveito das notícias em torno do ataque.

No geral, a violação de dados do Flipboard não é o pior incidente de segurança cibernética que já vimos. A empresa tomou precauções suficientes para garantir que, caso o pior acontecesse, as informações das pessoas sejam mantidas relativamente seguras e agora parecem ser muito abertas e transparentes sobre tudo isso. De fato, os hackers permaneceram sem serem detectados por quase dez meses, o que é preocupante, mas espero que o agregador de notícias adote algumas novas práticas e monitore seus sistemas mais de perto a partir de agora.