Et af de største gratis webhostingfirmaer derude - 000Webhost - er blevet kompromitteret og har lidt et gigantisk databrud.
De personlige optegnelser fra mindst 13.5 millioner af dets brugere har været udsat. Kompromitteret data består af personligt identificerbare oplysninger, såsom:
- Brugernavne;
- Adgangskoder;
- E-mail adresser;
- IP-adresser;
- Efternavne.
Historien blev rapporteret af Forbes Thomas Fox-Brewster og er ganske forfærdelig, at sige det mildt. Det hele begyndte for flere måneder siden. I marts 2015, Brewster blev kontaktet af Troy Hunt, en Microsoft MVP, der er opfinderen og ejer af haveibeenpwned.com – en hjemmeside, der 'svaler e-mailadresser fra større brud på datasikkerheden. Takket være tjenesten, brugere kan se, om de var blevet overtrådt også. Den MVP forklarede, at han var blevet nået ved en anonym kilde, der gav ham en database angiveligt tilhører 000Webhost.
Databasen omfattede millioner af brugere og deres login-legitimationsoplysninger. De to derefter checket forskellige e-mails for at afgøre, om de var virkelige eller ej. Som du måske har mistanke om allerede, email-adresser viste sig at være gyldig. For at bestemme, at, de forsøgte at logge på nye konti med de overtrådt e-mails, og modtog autogenererede svar, siger, at de e-mails var allerede i brug.
Desuden, Hunt selv opdagede, at hans e-mail adresse blev medtaget i databasen. Nogen havde registreret en konto i hans navn. Du kan undre, hvordan det var muligt. Godt, som det viste sig, 000WebHost ikke ansætte nogen validering ved hjælp af e-mail.
Så, gjorde 000WebHost bekræfter den store brugerdata katastrofe? Ja.
Selskabet offentliggjorde et indlæg på sin officielle Facebook-side:
→”Vi har været vidne til en database brud på vores vigtigste server. En hacker brugte en udnytte i gammel PHP-version til at uploade nogle filer, få adgang til vores systemer. Selvom hele databasen er blevet kompromitteret, Vi er for det meste bekymret over den lækkede kundeoplysninger.”
000Webhost også forklarede hvilke handlinger de tog at løse bruddet:
→”Først og fremmest, vi fjernet alle ulovligt uploadede sider, så snart vi blev opmærksomme på bruddet. Næste, vi ændret alle adgangskoder og øget deres kryptering til at undgå sådanne uheld i fremtiden. En grundig undersøgelse for at sikre, at overtrædelsen ikke eksisterer længere er i gang.”
Desuden, de underrettede deres brugere at ændre deres adgangskoder:
→”Som alle adgangskoderne er blevet ændret til tilfældige værdier, du nu har brug for at nulstille dem. Brug ikke tidligere adgangskode. PLEASE også ændre dine passwords, hvis du har brugt det samme password andre steder.”
000Webhost Security er Shaky
Konklusionen om, at selskabet ikke har tænkt på sin sikkerhed på forhånd kun kommer naturligt. Oven i denne konklusion, Hunt advarede også, at lækket databasen kan have været til salg på uspecificerede fora for $2,000, da han blev informeret af en anden kilde.
Den hosting-selskab vil også nødt til at tage fat på det faktum, at dens hjemmeside var transporterer flere sikkerhedsmæssige svagheder, der let kunne udnyttes af hackere. Ifølge Forbes, den 000Webhost forum ansat en gammel, sårbar platform - vBulletin Version 3.8.2, udgivet i 2009. Den nyeste version af platformen er 5.1.9. Det er et mysterium, hvorfor forummet platformen ikke havde været opdateret siden 2009.
Der er endnu mere. Forskningen af Forbes viste, at de brugernavne og passwords alle blev opbevaret som almindelig tekst, og at tilmeldingssiden ikke var beskyttet af kryptering. Enhver person med selv den mindste viden kunne have opfanget kommunikationen mellem brugeren og serveren.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: