Massiva dataintrång träffar miljontals cannabisodlare
GrowDiaries, en gemenskapsplattform för legala cannabisodlare som gör det möjligt för dem att spåra sin produktion, blev det senaste offret för ett dataintrång.
GrowDiaries började som en plats som låter sina användare göra "detaljerad spårning av cannabisodlingsmetoder". Det erbjuder spårningsverktyg och en digital journal också. På företagets egen webbplats anges att GrowDiaries är "helt säkert att använda och lagra information på".
Säkerhetsforskaren Volodymyr Diachenko upptäckte dock en GrowDiaries-databas som innehöll 1,4 miljoner användarregister, inklusive IP-adresser och e-postmeddelanden, samt ytterligare 2 miljoner poster relaterade till användarinlägg på plattformen och kontolösenord som åtminstone lagrades i hashform.
Som Diachenko påpekade var hashmetoden som användes MD5, vilket är långt ifrån säkert - det finns faktiskt gratisverktyg online som erbjuder dekryptering av strängar som hashades med MD5, så att få lösenord för vanlig text för användare som använder de exponerade posterna skulle vara barns lek för dåliga skådespelare.
IP-adresserna i databasen inkluderade också många som kommer från amerikanska stater och andra länder, där odling av cannabis inte är lagligt.
Anledningen till att databaserna var tillgängliga är att GrowDiaries lämnade två osäkra Kibana-plattformsinstanser. Efter att han upptäckt de felaktiga Kibana-förekomsten varnade Diachenko omedelbart GrowDiaries, som säkrade läckande data fem dagar senare.
Utan ytterligare kommentarer om händelsen från GrowDiaries har Diachenko inga hårda bevis för att andra tredje parter olagligt hade tillgång till uppgifterna men anser att detta är troligt. Om data verkligen nås och delar av den stulits kan detta stava mycket problem för GrowDiaries-användare, beroende på vem som fick tag i den och vad de valde att göra med den.
Bortsett från den mycket uppenbara platsen för lösenordsfyllning som dåliga skådespelare kan ta med de dekrypterade lösenorden, finns det den mycket sämre möjligheten till utpressning. Med så många GrowDiaries-användare i länder där odling av marijuana är olagligt kan de utsättas för mycket allvarliga utpressningshot som kan få verkliga juridiska konsekvenser om dåliga aktörer följer upp eventuella hot.
Tyvärr är detta en annan instans där oavsett hur säkert och komplext ditt lösenord är, det faktum att tjänsten lagrar det i ett dåligt krypterat format avbryter alla dina ansträngningar för att vara säkra.
