Reddit zverejnil bezpečnostný incident, ktorý je opísaný ako „vážny útok“, ktorý vyšetruje viac ako mesiac, čo podľa spoločnosti znamenalo, že hacker prenikol do niektorého z jej systému a získal prístup k používateľovi údajov. Tieto údaje zahŕňali niektoré aktuálne e-mailové adresy, ako aj starú zálohu databázy, ktorá obsahovala solené a hashované heslá.
Tech. Zábava. Veda. Vaša doručená pošta.
Prihláste sa k odberu najzaujímavejších noviniek v oblasti technológií a zábavy.
Registráciou súhlasím s Podmienky používania a skontrolovali Oznámenie o ochrane osobných údajov.
Spoločnosť v dnešnom príspevku uvádza, že útok, ktorý sa stal medzi 14. júnom a 18. júnom, objavila 19. júna. „Útočník kompromitoval účty niekoľkých našich zamestnancov u našich poskytovateľov cloudu a zdrojových kódov,“ píše sa v príspevku. „Už máme naše primárne prístupové body pre kód a infraštruktúru za silnou autentifikáciou vyžadujúcou dva faktory autentifikácie (2FA), sme sa dozvedeli, že autentifikácia založená na SMS nie je ani zďaleka taká bezpečná, ako by sme dúfali, a hlavný útok bol cez zachytenie SMS. Poukazujeme na to, aby sme povzbudili všetkých tu, aby prešli na tokenové 2FA.“
Jedným veľmi malým strieborným okrajom toho, čo sa stalo, príspevok pokračuje, je, že útočník nezískal prístup k zápisu do systému Reddit. Dokázali získať prístup len na čítanie k niektorým systémom – samozrejme, k systémom, ktoré obsahovali zálohu, zdrojový kód a iné protokoly. Reddit hovorí, že už niekoľko týždňov od útoku podnikol kroky na ďalšie uzamknutie a rotáciu všetkých produkčných tajomstiev a kľúčov API a na zlepšenie systémov protokolovania a monitorovania.
Môžete si prečítať celý príspevok tu. Medzi údajmi, ku ktorým sa pristupovalo:
Reddit tvrdí, že útočníkovi sa podarilo dostať do starej záložnej kópie databázy, ktorá obsahovala skoré používateľské údaje Reddit, od spustenia stránky v roku 2005 až do roku 2007. „Najvýznamnejšie údaje obsiahnuté v tejto zálohe sú prihlasovacie údaje účtu (používateľské meno + solené hashované heslá), e-mailové adresy a všetok obsah (väčšinou verejné, ale aj súkromné správy) z tých čias.“
Ak ste sa zaregistrovali na Reddit po roku 2007, toto sa vás netýka. Spoločnosť posiela správu dotknutým používateľom a resetuje heslá na účtoch, kde môžu byť poverenia stále platné.
Spoločnosť už oznámila, čo sa stalo orgánom činným v trestnom konaní, a spolupracuje na vyšetrovaní. Používatelia by podľa neho mali podniknúť nasledujúce kroky: „Ak boli ovplyvnené poverenia vášho účtu a existuje možnosť prihlasovacie údaje súvisia s heslom, ktoré momentálne používate na Reddit, donútime vás resetovať váš účet Reddit heslo. Či už vás Reddit vyzve na zmenu hesla alebo nie, zamyslite sa nad tým, či heslo, ktoré ste používali na Reddite pred 11 rokmi, ešte dnes používate na iných stránkach.
„Ak bola ovplyvnená vaša e-mailová adresa, zamyslite sa nad tým, či na vašom účte Reddit nie je niečo, čo by ste nechceli priradiť späť k tejto adrese. Na tejto stránke nájdete pokyny na odstránenie informácií z vášho účtu stránku pomocníka.”
Spoločnosť ďalej odporúča silné, jedinečné heslo a umožnenie dvojfaktorovej autentifikácie – ktorá sa neposkytuje prostredníctvom SMS – pre všetkých používateľov a dáva pozor na potenciálne phishing alebo podvody.
