Hackers violam o Mixcloud e vendem os dados dos usuários on-line

Depois de violar um serviço online ou um site, os hackers geralmente tentam monetizar os dados roubados vendendo-os na dark web ou em um dos muitos fóruns de hackers indexados pelo Google e facilmente acessíveis. Dado o quão valiosa a informação pessoal pode ser, vender os dados para outros criminosos não é um grande desafio. Aparentemente, no entanto, os bancos de dados roubados às vezes são mais difíceis de mudar. Um hacker que usava o apelido de A_W_S, por exemplo, provavelmente estava tendo dificuldades para vender um banco de dados que havia roubado do serviço de streaming Mixcloud, e é por isso que eles decidiram divulgar a notícia se gabando do ataque à mídia.

Na semana passada, A_W_S entrou em contato com Zack Whittaker da TechCrunch, Joseph Cox da Motherboard e Catalin Cimpanu da ZDNet e disse a eles que o Mixcloud havia sofrido uma violação de dados. A_W_S disse que, sozinho, conseguiu furtar os registros de 21 milhões de assinantes, e os dados estavam à venda em um mercado da dark web.

A_W_S não é realmente novo para esse tipo de coisa. De acordo com o repórter do ZDNet, eles trabalharam ao lado de outro cibercriminoso conhecido como Gnosticplayers, cujo amor pela atenção da mídia se tornou aparente no início deste ano após alguns ataques relativamente importantes. Mas como a violação do Mixcloud se compara às atividades dos jogadores gnósticos?

Não é a brecha mais horrível do mundo

Todas as três agências de notícias receberam amostras dos dados para confirmar sua autenticidade. Os repórteres viram nomes de usuário, endereços de e-mail e IP, datas de registros de contas e hashes salgados de senhas de pessoas no banco de dados. Eles entraram em contato com alguns dos indivíduos afetados e tentaram registrar novas contas Mixcloud com alguns dos emails, e confirmaram que as informações são realmente verdadeiras. As datas em que alguns dos registros foram feitos sugeriam que o ataque foi realizado há apenas algumas semanas. Portanto, os dados são reais e provavelmente válidos. É bom, então, que não haja muito disso.

Depois que soube da violação, a Mixcloud apontou que não armazena detalhes do cartão de crédito ou endereços físicos. Ele também disse que a maioria de seus usuários se inscreveu no serviço usando suas contas do Facebook, o que, por si só, limita a quantidade de dados expostos em certa medida. Mais importante, o provedor de serviços de streaming disse que as senhas roubadas foram salgadas e processadas com segurança, o que os meios de comunicação conseguiram confirmar. Mixcloud usou SHA-2 - um algoritmo de hash que é praticamente impossível de reverter.

Como resultado, os criminosos que pagam pelo banco de dados não recebem muito pelo seu dinheiro, e é provavelmente por isso que os dados não estão atraindo tanta atenção. Quando a TechCrunch e a Motherboard escreveram sobre a violação em 29 de novembro, a A_W_S estava pedindo 0,5 bitcoin ou US $ 4.000, mas quando o relatório da ZDNet saiu em 1º de dezembro, o preço havia sido reduzido para 0,27 bitcoin ou cerca de US $ 2.000.

Não é a melhor resposta do mundo

Aparentemente, Mixcloud não sabia nada sobre a violação antes do relatório inicial na mídia. Cerca de 24 horas após a notícia, o provedor de serviços de streaming apresentou o que Zack Whittaker descreveu com bastante precisão como "uma declaração corporativa padronizada". Além da inevitável declaração "levamos a segurança muito a sério", a postagem do blog continha informações sobre os mecanismos de armazenamento de senhas e sobre a quantidade relativamente limitada de dados expostos. Não continha o número de pessoas afetadas pela violação e não dizia nada sobre as precauções tomadas para melhor protegê-las no futuro. A decisão de incluir uma seção de perguntas frequentes com apenas duas perguntas também é bastante estranha, considerando o fato de que mais de 20 milhões de registros foram roubados.

Quando os repórteres pediram mais comentários, os porta-vozes da Mixcloud permaneceram em silêncio, o que é mais uma prova de que o provedor de serviços de streaming poderia ter sido um pouco mais transparente em sua divulgação. Só podemos esperar que outros fornecedores que sofrem violações de dados possam lidar com eles um pouco melhor.