minulý pátek velmi populární herní stránka Club Penguin přepsaná (CPRewritten)utrpěla porušení dat, které odhalilo čtyři miliony uživatelských účtů.
mít údaje o účtu včetně e-mailových adres, uživatelských jmen, IP adres a hesel hacknutých je v každém případě dost špatné, ale to bylo mnohem horší tím, že přišlo na zadní straně samostatného porušení v lednu 2018 ovlivňujícího 1.7 milionů účtů, zveřejněných o více než rok později.
příčina posledního porušení? Podle někoho připojeného k CPRewritten, který Tento týden kontaktoval zpravodajský web Bleeping Computer, hack se stal poté, co hackeři vstoupili do skrytých zadních dveří databáze PHP, které tam loni vložil bývalý správce webu.
je to verze událostí, které jak dotyčný jedinec, tak hackerská skupina, která se přihlásila k odpovědnosti za hack, oba tvrdě popírají.
skupina nového světového řádu, která si nárokuje uznání za porušení, tvrdí, že ohrozila web pomocí chyby zabezpečení v nástroji pro správu databáze Adminer. Pokud jde o zapojení administrátora, tweetovali to:
…neměl s tím nic společného. Správci CPR vědí, kdo jsme, Jsme zodpovědní za porušení databáze mnoha dalších CPPS.
července porušení
CPRewritten zahájen v roce 2017 s cílem pokračovat v dřívější Club Penguin (CP), který byl uzavřen vlastníky Disney ve stejném roce.
o rok později bylo oznámeno, že Club Penguin, také, bude zavírat, rozhodnutí, které bylo zrušeno o měsíc později poté, co bylo nalezeno další financování.
předpokládá se, že narušení začalo minulý pátek kolem 11pm BST, asi hodinu poté si admin všiml, že zdroje serveru byly silně využívány.
CPRewritten si uvědomil, že to bylo spojeno s porušením následujícího dne. V době, kdy podnikla obranná opatření, tvrdí, že se hackeři již pokusili…
…záznamy o poškození a ukrást cenné účty se vzácnými virtuálními předměty shromážděnými ze hry.
co dělat
prvním úkolem je změnit heslo účtu, něco, co web pravděpodobně bude vyžadovat, aby uživatelé stejně udělali při příštím přihlášení (pokud můžeme říct, dvoufaktorová autentizace „visacího zámku“ ještě není k dispozici pro zapnutí).
skutečnost, že datové hashe byly uloženy pomocí Bcrypt, bude považována za dobrou zprávu. Nejedná se však o magický štít a může být stále zranitelný vůči útočníkům s dostatkem času na ruce.
obě porušení, která tato stránka utrpěla, byla zveřejněna už jsem byl Pwned? (HIBP) web pro oznámení porušení, který nyní může také poskytovat upozornění na nové incidenty v prohlížeči Mozilla Firefox.