LiveAuctioneers avslöjade ett dataintrång med miljontals lösenord, e-postadresser och telefonnummer

På lördagen meddelade LiveAuctioneers, en onlineplattform som låter användare delta i verkliga antika-, konst- och smyckauktioner, att vissa av dess kunders personuppgifter kan ha äventyrats. Meddelandet var snabbt att påpeka att överträdelsen inträffade hos en tredjepartspartner för databehandling, och att LiveAuctioneers bara var en av de många onlinetjänster som drabbades, men vi kan inte föreställa oss att detta har gjort någonting för att ljusa stämningen av de personer vars data läckte ut.

Hackare får tillgång till LiveAuctioneers data efter ett tredjepartsbrott

Den ursprungliga versionen av meddelandet om dataöverträdelse hävdade att hackarna bland annat kan ha haft tillgång till de sista fyra siffrorna på några av användarnas kreditkort. En uppdatering från 12 juli tog dock bort denna information. Istället angavs det ändrade meddelandet att den 19 juni attackerade hackare LiveAuctioneers databehandlingspartner och fick tillgång till användarnas namn, e-post- och e-postadresser, telefonnummer och "krypterade lösenord."

Cybersecurity-expert Graham Cluley var nyfiken på att ta reda på vad LiveAuctioneers menade med "krypterade lösenord", och han ville också veta hur många som kan ha drabbats, varför han försökte komma i kontakt med företaget och be om mer information. I går fick han sina svar. Tyvärr kom de inte från LiveAuctioneers utan från ett hackningsforum där cyberbrottslingar köper och säljer stulna uppgifter.

Hackare försöker sälja de komprometterade LiveAuctioneers-uppgifterna

I går meddelade forskare från CloudSEK att deras plattform för riskövervakning hade upptäckt en annons för 3,4 miljoner stulna LiveAuctioneers-poster på ett tydligt forum för webbhackning. Inlägget daterades den 10 juli, en dag innan plattformen tillkännagav brottet, och, precis som LiveAuctioneers sa, posterna innehöll namn, e-post- och e-postadresser, och i vissa fall IP-adresser. För cirka 3 miljoner av kontona hävdade säljaren emellertid också att de hade spruckna lösenord.

Annonsen sa att lösenorden var hashade med MD5, vilket, som Graham Cluley påpekade, är "bredvid värdelös" när det gäller att skydda referenser, och det faktum att hackaren lyckades hämta de flesta inloggningsdata på mindre än en månad ska vara tillräckligt bra bevis på hur sorgfullt osäker algoritmen är.

Det är rättvist att säga att alla lösenord bör anses komprometterade nu, men är det så dåligt?

Hur dåliga är konsekvenserna?

Vid första anblicken skulle du bli förlåten för att tänka att överträdelsen inte är så enorm. LiveAuctioneers cybersecurity-team visste uppenbarligen att de inte använde den säkraste metoden för lagring av lösenord, och när de fick veta om överträdelsen inaktiverade de omedelbart alla budgivarkontonets senaste lösenord. Gilla det eller inte, användare som påverkas av attacken måste ändra sina LiveAuctioneers-lösenord.

De måste dock se till att de komprometterade inloggningsinformationen inte används på andra webbplatser eller tjänster. Annars kan hackarna enkelt ta över sina konton med en enkel referensstoppningsattack. Tyvärr, för LiveAuctioneers användare, är detta bara ett av problemen.

Låt oss inte glömma att LiveAuctioneers är en plattform som hjälper till med försäljning av konst, antikviteter, smycken och andra dyra varor. Människor som använder den har mycket pengar att spendera och är därför de perfekta målen för sofistikerade spearphishing-attacker. Personuppgifterna erbjuds inte heller gratis, vilket innebär att den som köper det sannolikt kommer att försöka göra avkastning på sin investering. Med andra ord måste LiveAuctioneers användare vara ännu mer försiktiga än vanligt.