Sony Pictures Online zhakowane przy użyciu „prymitywnej i powszechnej” luki w zabezpieczeniach, dane niezaszyfrowane [Aktualności]

Reklama

W czwartek wieczorem grupa hakerów „LulzSec” ogłosiła za pośrednictwem Twittera, że ​​uzyskała dostęp do SonyPictures.com i ukradła ponad milion kont, haseł i poufnych informacji o użytkownikach. Krótko po tym, jak pojawiły się wiadomości, kopie zhakowanych danych pojawiły się na stronach internetowych do udostępniania plików (takich jak MediaFire, z której zostały usunięte) i trackerach BitTorrent, w tym The Pirate Bay.

Grupa zostawiła wiadomość na PasteBin, ujawniając pełny zakres włamania, który obejmuje tysiące kombinacji e-maili i haseł, dane osobowe (m.in. nazwiska, adresy, daty urodzenia i numery telefonów), prawie 3,5 miliona „kuponów muzycznych” i ponad 60 000 „muzyki” kody”. Grupa ogłosiła również, że bezpieczeństwo Sony zostało pokonane przez prosty atak wstrzykiwania SQL.

w oświadczeniegrupa powiedziała: „SonyPictures.com należało do bardzo prostego wstrzyknięcia SQL, jednej z najbardziej prymitywnych i najczęstszych luk w zabezpieczeniach, o czym wszyscy powinniśmy już wiedzieć. Z jednego zastrzyku uzyskaliśmy dostęp do WSZYSTKIEGO. Dlaczego tak wierzysz w firmę, która otwiera się na te proste ataki?

”

Grupa stwierdziła również: „Wszystkie zebrane przez nas dane nie były szyfrowane. Sony przechowywało ponad 1 000 000 haseł swoich klientów w postaci zwykłego tekstu, co oznacza, że ​​wystarczy je wziąć. To haniebne i niepewne: prosili o to”.

Grupa opublikowała większość zrabowanych danych, chociaż zawierają one tylko niewielką ilość zhakowanych danych. Pełne bazy danych zostały również zamieszczone w Internecie, wraz z dokumentem tekstowym układu bazy danych ułatwiającym wyodrębnianie danych. Baza danych zawiera zarówno wojskowe, jak i rządowe kombinacje adresów e-mail i haseł, a także konta administratorów w Sony Pictures Online.

Poniższy fragment został zaczerpnięty z dokumentu „FILE CONTENTS.txt”, który towarzyszy ograniczonej wersji LulzSec:

Zawartość naszych łupów:
## Sony_Pictures_International_AUTOTRADER_USERS.txt ##– W tym pliku znajdziesz prawie 12 500 klientów Sony; obejmuje to daty urodzenia, adresy, e-maile, imiona i nazwiska, hasła, identyfikatory użytkowników i osobiste numery telefonów.
## Sony_Pictures_International_BEAUTY_USERS.txt ##– W tym pliku znajdziesz prawie 21 000 klientów Sony; to jest proste upuszczenie e-maila/hasła. Ciesz się kradzieżą konta.
## Sony_Pictures_International_COUPONS.txt ##– W tym pliku znajdziesz prawie 20 000 kuponów muzycznych Sony; pamiętaj, że do zdobycia jest 3,5 miliona kuponów – zdobądź je.
## Sony_Pictures_International_DELBOCA_USERS.txt ##– W tym pliku znajdziesz prawie 18 000 klientów Sony; to jest proste upuszczenie e-maila/hasła. Znowu ciesz się kradzieżą.
## Sony_Pictures_International_MUSIC_CODES.txt ##– W tym pliku znajdziesz prawie 67 000 kodów muzycznych Sony; są jak magnesy, po prostu nie mamy pojęcia, jak działają.
## Sony_Pictures_International_TABLE_LAYOUT.txt ##– W tym pliku znajdziesz układ bazy danych; oznacza to, że możesz łatwo zobaczyć, skąd można coś ukraść.
Zwróć uwagę, że baza danych zawiera znacznie więcej informacji o użytkowniku/kuponów niż wzięliśmy. Chodzi o to, że mieliśmy nad nimi kontrolę; wszyscy. Resztę pozostawiamy Tobie – kradnij ile chcesz, ruszaj!
DODATKOWY WŁASNOŚĆ:
## Sony_BMG_Music_Entertainment_NETHERLANDS ##– Ten plik zawiera bazę danych użytkowników BMG Netherlands; to około 600 nazw użytkowników, e-maili i haseł. Cieszyć się.
## Sony_BMG_Music_Entertainment_BELGIUM ##– Ten plik zawiera bazę danych administratora Sony BMG Belgium; także mnóstwo kodów kreskowych, dat premier i innych soczystych rzeczy.

Grupa była również odpowiedzialna za kilka innych niedawnych naruszeń bezpieczeństwa, w tym zniszczenie strony internetowej Public Broadcasting Service (PBS) i Sony Music of Japan. Sony przyznało się do roszczeń i mówi się, że prowadzi śledztwo.

Źródło: LulzSecurity.com / @Lukasz
Myślisz, że możesz wykonać lepszą pracę w zakresie bezpieczeństwa? Złościsz się na Sony za to, że nie chroni twoich informacji? Zły na hakerów za kradzież? Wypuść trochę pary w komentarzach poniżej!