Исходное сообщение
"Компрометация учётных записей соотрудников Reddit привела к ..." Отправлено opennews, 02-Авг-18 07:40
Дискуссионная площадка Reddit уведомила (https://www.reddit.com/r/announcements/comments/93qnm5/we_ha.../) пользователей об инциденте, в результате которого в руки злоумышленников попала архивная база данных с хэшами паролей, адресами электронной почты и личными сообщениями пользователей сервиса. Утечка произошла в середине июня в результате компрометации учётных записей нескольких сотрудников Reddit, воспользовавшись которыми атакующие смогли загрузить архивную резервную копию, включающую данные с момента основания сайта в 2005 году до мая 2007 года. Кроме архивных данных атакующие смогли загрузить отчёт о почтовых пересылках с 3 по 17 июня 2018 года, включающий email-адреса, связанные с ними имена пользователей и подписки на обсуждения. Примечательно, что доступ был получен несмотря на применение сотрудниками двухфакторной аутентификации с использованием SMS, что показывает низкую неэффективность применения данной системы для защиты от профессиональных атак на крупные сервисы. Для безопасной двухфакторной аутентификации рекомендуется использовать предварительно загруженные или созданные на устройстве пользователя одноразовые пароли или генерируемые при помощи криптоключа токены. Применять отправляемые сервером SMS с кодами подтверждения не рекомендуется из-за слабой защищенности протокола SS7 и существования методов (http://www.sueddeutsche.de/digital/it-sicherheit-schwachstel...) перехвата SMS через их перенаправление на другой номер, а также возможности захвата номера жертвы, используя методы социальной инжинерии (например, получение у оператора новой SIM-карты без должного подтверждения личности). URL: https://www.reddit.com/r/announcements/comments/93qnm5/we_ha.../ Новость: https://www.opennet.ru/opennews/art.shtml?num=49063