Η Sony Pictures Online παραβιάστηκε με χρήση "πρωτόγονης και κοινής" ευπάθειας, δεδομένα χωρίς κρυπτογράφηση [Ειδήσεις]

Διαφήμιση

Το απόγευμα της Πέμπτης, η ομάδα χάκερ «LulzSec» ανακοίνωσε μέσω Twitter ότι απέκτησε πρόσβαση στο SonyPictures.com και έκλεψε πάνω από 1 εκατομμύριο λογαριασμούς, κωδικούς πρόσβασης και ευαίσθητες πληροφορίες χρηστών. Λίγο μετά το δημοσίευμα της είδησης, αντίγραφα των παραβιασμένων δεδομένων εμφανίστηκαν σε ιστότοπους κοινής χρήσης αρχείων (όπως το MediaFire, όπου αφαιρέθηκε) και σε ιχνηλάτες BitTorrent, συμπεριλαμβανομένου του The Pirate Bay.

Η ομάδα άφησε ένα μήνυμα στο PasteBin αποκαλύπτοντας την πλήρη έκταση της εισβολής, η οποία περιλαμβάνει χιλιάδες συνδυασμούς email και κωδικών πρόσβασης, προσωπικές πληροφορίες (συμπεριλαμβανομένων ονομάτων, διευθύνσεων, ημερομηνιών γέννησης και αριθμών τηλεφώνου), σχεδόν 3,5 εκατομμύρια «κουπόνια μουσικής» και πάνω από 60.000 «μουσική κωδικούς». Η ομάδα ανακοίνωσε επίσης ότι η ασφάλεια της Sony ξεπεράστηκε με μια απλή επίθεση SQL injection.

Σε μία δήλωση, η ομάδα είπε:Το SonyPictures.com ανήκε σε μια πολύ απλή ένεση SQL, ένα από τα πιο πρωτόγονα και κοινά τρωτά σημεία, όπως θα έπρεπε να γνωρίζουμε όλοι μέχρι τώρα. Από μια μόνο ένεση, αποκτήσαμε πρόσβαση σε ΟΛΑ. Γιατί πιστεύετε τόσο σε μια εταιρεία που επιτρέπει στον εαυτό της να είναι ανοιχτή σε αυτές τις απλές επιθέσεις;

”

Η ομάδα δήλωσε επίσης: «Κάθε κομμάτι δεδομένων που πήραμε δεν ήταν κρυπτογραφημένο. Η Sony αποθήκευσε πάνω από 1.000.000 κωδικούς πρόσβασης των πελατών της σε απλό κείμενο, πράγμα που σημαίνει ότι είναι απλώς θέμα λήψης. Αυτό είναι επαίσχυντο και ανασφαλές: το ζητούσαν».

Η ομάδα έχει δημοσιεύσει πολλά από τα λεηλατημένα δεδομένα, αν και αυτά περιέχουν μόνο ένα μικρό μέρος των παραβιασμένων δεδομένων. Πλήρεις βάσεις δεδομένων έχουν επίσης αναρτηθεί στο Διαδίκτυο, μαζί με ένα έγγραφο κειμένου διάταξης βάσης δεδομένων για να βοηθήσει την εξαγωγή δεδομένων. Η βάση δεδομένων περιέχει συνδυασμούς στρατιωτικών και κυβερνητικών email και κωδικών πρόσβασης, καθώς και λογαριασμούς διαχειριστή στη Sony Pictures Online.

Το παρακάτω απόσπασμα λήφθηκε από το έγγραφο "FILE CONTENTS.txt" που συνοδεύει την περιορισμένη έκδοση του LulzSec:

Περιεχόμενα της λεηλασίας μας:
## Sony_Pictures_International_AUTOTRADER_USERS.txt ##– Σε αυτό το αρχείο θα βρείτε λιγότερους από 12.500 πελάτες της Sony. Αυτό περιλαμβάνει ημερομηνίες γέννησης, διευθύνσεις, email, πλήρη ονόματα, κωδικούς πρόσβασης, αναγνωριστικά χρήστη και προσωπικούς αριθμούς τηλεφώνου.
## Sony_Pictures_International_BEAUTY_USERS.txt ##– Σε αυτό το αρχείο θα βρείτε λιγότερους από 21.000 πελάτες της Sony. αυτό είναι μια απλή απόθεση email/κωδικού. Απολαύστε την κλοπή του λογαριασμού σας.
## Sony_Pictures_International_COUPONS.txt ##– Σε αυτό το αρχείο θα βρείτε κάτι λιγότερο από 20.000 μουσικά κουπόνια της Sony. Λάβετε υπόψη ότι υπάρχουν 3,5 εκατομμύρια κουπόνια που μπορείτε να πάρετε - αποκτήστε τα.
## Sony_Pictures_International_DELBOCA_USERS.txt ##– Σε αυτό το αρχείο θα βρείτε λιγότερους από 18.000 πελάτες της Sony. αυτό είναι μια απλή απόθεση email/κωδικού. Και πάλι, απολαύστε την κλοπή σας.
## Sony_Pictures_International_MUSIC_CODES.txt ##– Σε αυτό το αρχείο θα βρείτε λιγότερους από 67.000 μουσικούς κωδικούς της Sony. είναι σαν μαγνήτες, απλά δεν έχουμε ιδέα πώς λειτουργούν.
## Sony_Pictures_International_TABLE_LAYOUT.txt ##– Σε αυτό το αρχείο θα βρείτε τη διάταξη της βάσης δεδομένων. Αυτό σημαίνει ότι μπορείτε εύκολα να δείτε από πού να κλέψετε πράγματα.
Σημειώστε ότι η βάση δεδομένων περιέχει πολύ περισσότερες πληροφορίες/κουπόνια χρήστη από ό, τι πήραμε. Το θέμα είναι ότι είχαμε τον έλεγχο τους. Ολα τους. Τα υπόλοιπα τα αφήνουμε σε εσάς – κλέψτε όσο θέλετε, προχωρήστε!
ΕΠΙΠΛΕΟΝ ΙΔΙΟΚΤΗΣΙΑ:
## Sony_BMG_Music_Entertainment_NETHERLANDS ##– Αυτό το αρχείο περιέχει τη βάση δεδομένων χρηστών της BMG Netherlands. είναι περίπου 600 ονόματα χρήστη, email και κωδικοί πρόσβασης. Απολαμβάνω.
## Sony_BMG_Music_Entertainment_BELGIUM ##– Αυτό το αρχείο περιέχει τη βάση δεδομένων διαχειριστή της Sony της BMG Belgium. επίσης πολλούς γραμμωτούς κώδικες, ημερομηνίες κυκλοφορίας και άλλα ζουμερά σκατά.

Η ομάδα ήταν επίσης υπεύθυνη για πολλές άλλες πρόσφατες παραβιάσεις ασφαλείας, συμπεριλαμβανομένης της παραμόρφωσης του ιστότοπου της Δημόσιας Υπηρεσίας Ραδιοφωνίας (PBS) και της Sony Music of Japan. Η Sony έχει αναγνωρίσει τους ισχυρισμούς και λέγεται ότι διεξάγει έρευνα.

Πηγή: LulzSecurity.com / @LulzSec
Πιστεύετε ότι θα μπορούσατε να κάνετε καλύτερη δουλειά ασφάλειας; Θυμώνετε με τη Sony που δεν προστατεύει τις πληροφορίες σας; Θυμωμένος με τους χάκερ που το έκλεψαν εξαρχής; Βγάλτε λίγο ατμό στα σχόλια παρακάτω!