Reddit tunnistab, et sellesse on häkitud ja andmed varastatud, ütleb "Ära paanitse"

Populaarne sotsiaalmeedia sait Reddit – "reklaamidega oranž Usenet", nagu oleme seda üsna armutult kuulnud kirjeldamas - on uusim tuntud veebivara, mis kannatab andmete rikkumist milles varastati tema enda lähtekood.

Viimastel nädalatel LastPass ja GitHub on tunnistanud sarnaseid kogemusi, kus küberkurjategijad murdsid ja sisenesid ilmselt samamoodi: otsides välja konkreetse töötaja jaoks reaalajas juurdepääsukoodi või parooli ja hiilides sisse selle isiku ettevõtte identiteedi katte all.

Redditi enda sõnadega:

Redditi süsteemidesse häkiti keeruka ja täpselt sihitud andmepüügirünnaku tulemusena. Nad said juurdepääsu mõnele sisemisele dokumendile, koodile ja mõnele sisemisele ärisüsteemile.

Me ei ole päris kindlad, kui sobiv omadussõna "rafineeritud" siin on, eriti seetõttu, et Reddit ütleb kiiresti, et:

Nagu enamiku andmepüügikampaaniate puhul, saatis ründaja välja usutavalt kõlavad juhised, mis juhtisid töötajatele veebisaidile, mis kloonis meie sisevõrgu lüüsi käitumist, püüdes varastada mandaate ja teise teguri märke.

Pärast ühe töötaja mandaatide edukat hankimist sai ründaja juurdepääsu mõnele sisemisele dokumendile, koodile, samuti mõnele sisemisele armatuurlauale ja ärisüsteemile. Me ei näita mingeid märke meie esmaste tootmissüsteemide rikkumisest (meie virna osad, mis käitavad Redditi ja salvestavad suurema osa meie andmetest).

Teisisõnu, see rünnak õnnestus peaaegu kindlasti mitte sellepärast, et see oli keerukas, vaid sest ei olnud.

Keegi, võib-olla kiirustades, jõudis nende arvates piirile, andis oma passi ametliku piiriagendi asemel üle kaasreisijale ja leidis end siis lõksus eikusagil ilma isikutunnistuseta, samal ajal kui petis sellest läbi purjetas. piiriületus nende nimel.

Sellise identiteedi kaaperdamise rünnaku kõige olulisem tegur ei ole keerukus, vaid nagu Reddit eespool õigesti märkis, usutavus, mis muudab harjumuste ja kogemuste põhjal lihtsaks isegi hästi informeeritud ja ettevaatlikul inimesel läbisõidu.

Tavapärasest käitumisest tulenev oht on põhjus, miks Briti ametlikel teeviitadel on helepunane ristkülik, mis sisaldab sõnu UUS TEEE EESMÄRK, mida kasutatakse tiheda liiklusega teelõigu ümberkorraldamisel. Märk ei ole selleks, et kaitsta vanu inimesi närviliste uute liiklejate eest, kellele võib suur ristmik või ringtee keeruliseks osutuda. See on selleks, et kaitsta neid uusi kasutajaid, kellel pole muud valikut, kui töötada ettevaatlikult, lähtudes esimestest põhimõtetest ja kes tõenäoliselt järgivad liikluseeskirju hästi, vanade kasutajate eest, kes arvavad, et nad teavad, kuidas liiklus selles kohas käitub, ja seepärast purjetage läbi hooletult, tuginedes valedele eeldustele ja "õpitud, kuid nüüd ebaõigele" käitumisele.

Kui kaugele kelmid jõudsid?

Nagu juba öeldud, pääsesid ründajad ligi mõnele Redditi enda sisemisele süsteemile.

Lisaks ülalloetletud enamasti kahjutute "dokumentidele" ja "koodidele" on Reddit tunnistanud, et teave endiste ja praeguste töötajate ning "kontaktide" kohta (oletame, et see hõlmab, kuid ei piirdu nendega, töövõtjaid ja muid mittealalised töötajad) varastati koos teabega reklaamiklientide kohta.

Reddit ei ole avalikult teatanud, milliseid andmevälju varastatud teabe hulka kuulus, vaid seda, et rikkumine oli "piiratud".

Aga sõna piiratud võib olla hea märk (nt nimi ja e-posti aadress ja mitte mingeid muid andmeid), kuid sama lihtsalt halb asi (nt "ainult" kaks andmeüksust: teie sotsiaalkindlustusnumber ja teie juhiloa skaneering).

Tundub, et Redditi teenuse registreerunud kasutajad - Redditorid, nagu nad on teada, võivad Blue Alertist loobuda, kuna Reddit ütleb, et tema uurimine ei näita siiani ühtegi viidet sellele, mida ta nimetab "mitteavalikeks andmeteks" (teisisõnu asjadeks, mida te pole maailma jaoks postitanud vaata niikuinii) pääsesid küberkurjategijad juurde.

Ja nagu varem mainitud, ei paista, et Redditi süsteemid ise – operatsioonisüsteemid, kood ja võrgud, mis käitavad Redditi teenuseid, millega te kasutaja või külastajana suhtlete – ei ole rikutud.

Sellest järeldame, et tõenäoliselt pole kelmid selliste andmetega nagu sisselogimiskirjed, süsteemilogid, asukohateave või parooliräsi pääsenud.

Ettevõte märkis oma teates ka, et uurib endiselt seda juhtumit (mis juhtus pühapäeval 2023-02-05).

Arvestades selle seni suhteliselt kiiret reageerimist, eeldame, et Reddit võtab õigel ajal järelmeetmeid, et öelda, kas ta leidis täiendavaid tõendeid kompromissi kohta.

Mida teha?

Ausalt öeldes, kui te pole Redditi töötaja või reklaamija, ei tundu, et teil on praegu palju teha või vaja.

(Eeldame, et kui töötate Redditis või reklaamite Redditi kaudu, on ettevõte teiega juba isiklikult ühendust võtnud, kui teie andmed olid varastatud piiratud hulga teabe hulgas, mida peaksime lühiajalisemaks vastuseks kui teavitada kogu maailm kõigepealt.)

Reddit ise on teinud kolm soovitust, nimelt:

• Kaitske andmepüügi eest paroolihalduri abil. See raskendab õige parooli sisestamist valele saidile, sest paroolihaldurit ei petta saidi välimus ja olemus, vaid see töötab emotsioonideta selle veebilehe täpse nimega, mida ta aadressiribal näeb. . Iroonilisel kombel näib see olevat nõuanne, mida Reddit ise ei järginud, kuna ründajad kasutasid sisselogimismandaatide varastamiseks usutavat sarnast saiti, mille paroolihaldur oleks arvatavasti teadmata tagasi lükanud.
• Lülitage 2FA sisse, kui saate. See tähendab, et vajate ühekordset koodi, mis muutub igal sisselogimisel, mis muudab varastatud parooli iseenesest kasutuks. Oleme nõus, et see on suurepärane idee, kuid pange tähele, et Redditi enda 2FA (kahefaktoriline autentimine) mehhanism, mis põhineb teie telefoni rakenduse poolt genereeritud regulaarselt muutuval kuuekohalisel koodil, ilmselt ei aidanud siin, sest ründajad andsid andmepüügi nii kehtiva parooli kui ka kehtiva 2FA-koodi.
• Muutke oma paroole iga kahe kuu tagant. Me ei nõustu selle nõuandega, nagu ka USA riiklik standardite ja tehnoloogia instituut (NIST). Muutuste pärast muutmine on harva hea mõte, sest see kipub jõustama harjumuspärast käitumist, mis Naked Security sõbra ja kolleegi Chester Wisniewski sõnade kohaselt:Harjutab kõik halva harjumuse".

---

PAROOLIMÜÜDIDE LÜKIMINE

Kuigi salvestasime selle taskuhäälingusaate rohkem kui kümme aastat tagasi, on selles sisalduvad nõuanded endiselt asjakohased ja läbimõeldud. Me pole veel paroolivaba tulevikku tabanud, seega on parooliga seotud küberturvalisuse nõuanded veel mõnda aega väärtuslikud. Kuulake siit või klõpsake a täielik ärakiri.

---

Lühidalt: soovitame jätkuvalt paroolihaldureid, eriti kui teil on harjumus valida ilmselgeid, identseid või isegi sarnaseid paroole mitmele saidile ilma üheta.

Soovitame ka paroolihaldureid kui kasulikke tööriistu, mis aitavad teid eksitada petisaitidel, mis näivad teile visuaalselt täiuslikud, kuid mis ei vasta teie paroolihalduri lihtsatele ja emotsioonitutele ootustele.

And soovitame teil igal võimalusel 2FA sisse lülitada, kuigi me teame, et see on natuke tülikas.

Sellegipoolest tuletame teile meelde, et 2FA-koode (nt ühekordseid 6-kohalisi SMS-e või rakendusepõhiseid sõnumeid) saab endiselt andmepüügiga tegeleda, nagu juhtus Redditi puhul, seega ei ole need kõik ettevaatuseks mõeldud.

Kuid me ei ole nõus end regulaarselt kõiki paroole muutma sundima algoritmilisel alusel.

Parem on vahetada oma paroole kohe, kui arvate, et see on seda väärt, kui tugineda sellele, et "Ma muudan seda millalgi niikuinii, nii et ma lihtsalt ootan, kuni protsess käsib mul seda teha."

(Me ei ütle, et te ei tohi oma paroole pidevalt vahetada, kui see teid õnnelikuks teeb, kuid kui teete seda nii, nagu võiksite nimetada "protseduurinõudeks", tekib vale turvatunne ja kulub aega, mida võiksite kulutage muudele ülesannetele, mis parandavad otseselt teie võrguohutust.)

Nagu oleme varem öelnud, võime olla teel paroolivaba tuleviku poole, kuid kahtlustame, et me kõik žongleerime veel palju aastaid vähemalt mõne olulise võrguteenuse paroolidega.

---

• SEO-põhise sisu ja PR-levi. Võimenduge juba täna.
• Platoblockchain. Web3 metaversiooni intelligentsus. Täiustatud teadmised. Juurdepääs siia.
• Allikas: https://nakedsecurity.sophos.com/2023/02/10/reddit-admits-it-was-hacked-and-data-stolen-says-dont-panic/