Twitter porušil, útočníci ukradli 250 000 používateľských údajov

Útočníci pravdepodobne získali prístup k 250 000 účtom na Twitteri. Je čas zmeniť heslo… znova.

Bezpečnostný tím stránky identifikoval tento týždeň viac pokusov neoprávnených osôb o prístup k údajom o používateľoch. Pán Lord, riaditeľ informačnej bezpečnosti, napísal na blog Twitter v piatok popoludní. Spoločnosť tiež odhalila „jeden živý útok“ a uzavrela ho, zatiaľ čo to bolo ešte o pár minút neskôr.

Ďalšie vyšetrovanie odhalilo, že útočníci mali prístup k podskupine užívateľských údajov vrátane používateľských mien, e-mailových adries, tokenov relácie a zašifrovaných / solených hesiel, ktoré patria približne 250 000 používateľom. Pán neposkytol žiadne ďalšie informácie o narušení bezpečnosti, ani nepovedal, či k niektorému z vystavených účtov došlo neoprávnene.

„Ako preventívne bezpečnostné opatrenie sme pre tieto účty obnovili heslá a zrušili tokeny relácií, “ napísal Lord.

Paul Ducklin v Sophose vysvetľuje, čo môžu útočníci urobiť s ukradnutým tokenom relácie na blogu NakedSecurity.

Obnoviť heslá!

Po obnovení odhalených hesiel spoločnosť Twitter e-mailom upozornila postihnutých používateľov na vytvorenie nového hesla. Používatelia odporúčaní v e-maile vybrali silné heslo - najmenej 10 znakov, ktoré sa na žiadnych iných stránkach alebo účtoch nepoužívajú, aby sa chránili. Lepšie je samozrejme heslo dlhšie ako 10 znakov.

Ak by mal užívateľ slabé heslo, skutočnosť, že Twitter solil a šifroval heslá, by veľmi nepomohla, pretože útočníci môžu pomocou rôznych nástrojov na praskanie hesla zistiť, aký bol pôvodný reťazec hesiel. A ak používatelia používali rovnaké heslo pre iné webové stránky online, to sú kľúče k kráľovstvu identity používateľa, práve tu.

E-mail s oznámením zo služby Twitter je prinajmenšom kryptický. Nehovorí o útoku, ani o prepojení na skutočný blogový príspevok. Iba informuje používateľa o tom, že mohlo dôjsť k zneužitiu hesla, a ponúka používateľovi odkaz na kliknutie na obnovenie hesla. V e-maile sú ďalšie odkazy na iné časti stránky.

List „mal všetky znaky phishingového e-mailu, “ napísal používateľ Twitteru Simon Phipps. „Používatelia by NEMALI byť školení, aby to prijali, “ dodal.

My v spoločnosti SecurityWatch sme to už povedali a znova to povieme: neklikajte na odkazy v e-mailoch. Ktokoľvek môže zosmiešniť takúto poznámku a odoslať ju náhodným používateľom. Ako poznamenal Phipps v inom tweetu, bolo by „ťažké to hneď povedať“. Na Twitteri sa objavili správy o tom, že už môže prebiehať spamová kampaň.

Ak dostanete e-mail s požiadavkou na obnovenie hesla služby Twitter, stačí na sekundu prejsť na stránku služby Twitter a kliknúť na odkaz „Zabudnuté heslo“. Ak musíte kliknúť na odkaz v e-maile, kliknite aspoň na odkaz v e-maile, ktorý ste požadovali.

Detektívka? Kto vie?

Pán nehovoril o tom, kto mohol byť za útokmi.

"Tento útok nebol dielom amatérov a neveríme, že to bol ojedinelý incident. Útočníci boli mimoriadne prepracovaní a veríme, že nedávno boli podobne napadnuté aj iné spoločnosti a organizácie, " napísal Lord.

Lordova pošta sa však zmienila o útokoch na čínsky denník New York Times a nedávne odporúčanie ministerstva vnútornej bezpečnosti, ktoré odporúča používateľom zakázať Javu vo svojich prehľadávačoch. Zatiaľ čo sa v službe Twitter uvádza, že používa Javu vo svojej infraštruktúre, zdá sa, že na samotnom webe nie sú žiadne aplety Java, takže odporúčanie zakázať Javu v prehliadači je v tomto kontexte mätúce.

Federálny policajný úrad a vládni úradníci incident vyšetrujú.