Έκθετες οι διευθύνσεις email για πάνω από 1 εκατομμύριο χρήστες WordPress της GoDaddy, με χρήση υποκλεμένου password

[nnn]

Η GoDaddy υπέστη παραβίαση της ασφάλειας που έδωσε σε επιτιθέμενο πρόσβαση σε περισσότερες από 1 εκατομμύριο διευθύνσεις ηλεκτρονικού ταχυδρομείου που ανήκουν σε ενεργούς και ανενεργούς χρήστες του Managed WordPress της εταιρείας, σύμφωνα με γνωστοποίηση που κατέθεσε στη SEC τη Δευτέρα.

Η εταιρεία αναφέρει ότι ο εισβολέας απέκτησε πρόσβαση σε ένα σύστημα παροχής (που προορίζεται για τη δημιουργία και την αυτόματη διαμόρφωση νέων ιστότοπων όταν οι πελάτες τους δημιουργούν) στις αρχές Σεπτεμβρίου "χρησιμοποιώντας έναν παραβιασμένο κωδικό πρόσβασης". Η GoDaddy αναφέρει ότι αντιλήφθηκε την εισβολή στις 17 Νοεμβρίου και κλείδωσε αμέσως τον εισβολέα πριν ξεκινήσει έρευνα και επικοινωνήσει με τις διωκτικές αρχές.

Οι χάκερ είχαν πρόσβαση σε περισσότερα από τις διευθύνσεις ηλεκτρονικού ταχυδρομείου - μπορούσαν επίσης να δουν τους αρχικούς κωδικούς πρόσβασης διαχειριστή του WordPress που είχε ορίσει ο υπεύθυνος παροχής, καθώς και τα διαπιστευτήρια για τις βάσεις δεδομένων των ενεργών χρηστών και τα συστήματα sFTP. Η εταιρεία αναφέρει επίσης ότι ορισμένοι πελάτες είχαν εκτεθειμένα τα ιδιωτικά τους κλειδιά SSL, τα οποία είναι υπεύθυνα για την απόδειξη ότι ένας ιστότοπος είναι αυτός που λέει ότι είναι (τροφοδοτώντας το μικρό εικονίδιο κλειδαριάς που συχνά βλέπετε στη γραμμή διευθύνσεων του προγράμματος περιήγησης).

Σύμφωνα με την GoDaddy, εργάζεται για τον μετριασμό των προβλημάτων με την επαναφορά των επηρεαζόμενων κωδικών πρόσβασης και την αναγέννηση των πιστοποιητικών ασφαλείας, αν χρειαστεί. Η εταιρεία αναφέρει επίσης ότι "επικοινωνεί απευθείας με όλους τους πελάτες που επηρεάζονται με συγκεκριμένες λεπτομέρειες". Ενώ αυτά φαίνονται κατάλληλα βήματα, το να πρέπει να ασχοληθεί κανείς με την επαναφορά του κωδικού πρόσβασης θα είναι πιθανώς ενοχλητικό για ορισμένους χρήστες της.

Η GoDaddy δεν απάντησε αμέσως σε αίτημα για σχολιασμό σχετικά με το πώς ο επιτιθέμενος απέκτησε πρόσβαση στον κωδικό πρόσβασης που η εταιρεία λέει ότι χρησιμοποιήθηκε για να αποκτήσει πρόσβαση στα συστήματά της. Η ανακοίνωσή της αναφέρει, ωστόσο, ότι η έρευνά της βρίσκεται σε εξέλιξη.

Translated with www.DeepL.com/Translator (free version)

Πηγή : The Verge

[badweed]

μου αρεσει που μας υποχρεωνουν σε τρισδιαστατα passwords για να προφυλαξουν τους λογαρισαμους , για να τα παιρνουν κατα εκατομμυρια απο τις διαρροες .....

long live 0000 !

[euri]

μου αρεσει που μας υποχρεωνουν σε τρισδιαστατα passwords για να προφυλαξουν τους λογαρισαμους , για να τα παιρνουν κατα εκατομμυρια απο τις διαρροες .....

long live 0000 !

Εξίσου σημαντικό λοιπόν είναι να μην έχεις το ίδιο password σε πολλαπλές υπηρεσίες, είτε αυτό είναι ένα τρισδιάστατο, είτε το 0000.

Οι διαρροές από παραβιάσεις θα συνεχίσουν να υπάρχουν, τουλάχιστον όσο συμμετέχουν άνθρωποι σε οποιοδήποτε μέρος των διαδικασιών.

[badweed]

Εξίσου σημαντικό λοιπόν είναι να μην έχεις το ίδιο password σε πολλαπλές υπηρεσίες, είτε αυτό είναι ένα τρισδιάστατο, είτε το 0000.

Οι διαρροές από παραβιάσεις θα συνεχίσουν να υπάρχουν, τουλάχιστον όσο συμμετέχουν άνθρωποι σε οποιοδήποτε μέρος των διαδικασιών.

[globalnoise]

Apple's Hide My Email μέχρι να σβήσει ο ήλιος.

[Manos_ps]

Καλά θα πάει κι αυτό!!

[aiolos.01]

Apple's Hide My Email μέχρι να σβήσει ο ήλιος.

Ε ναι, αυτό το φτιάχνουν τα γνωστά μαγικά ξωτικά της apple και είναι εγγυημένο να μην έχει bugs, exploits, υπαλλήλους που τρώνε phishing κλπ κλπ

[stefkon]

GoDaddy go.

[Zus]

Εξίσου σημαντικό λοιπόν είναι να μην έχεις το ίδιο password σε πολλαπλές υπηρεσίες, είτε αυτό είναι ένα τρισδιάστατο, είτε το 0000.

Οι διαρροές από παραβιάσεις θα συνεχίσουν να υπάρχουν, τουλάχιστον όσο συμμετέχουν άνθρωποι σε οποιοδήποτε μέρος των διαδικασιών.

Έχω βρει την υγειά μου με το BitWarden. Δεν ξέρω καν τι κωδικό έχω στα περισσότερα.

[dimyok]

Τωρα αυτο ειναι καλο να μη ξερεις και να τα χεις ολα σε pass manager ?

[Zus]

Τωρα αυτο ειναι καλο να μη ξερεις και να τα χεις ολα σε pass manager ?

Ναι, νομίζω

[tsigarid]

Τωρα αυτο ειναι καλο να μη ξερεις και να τα χεις ολα σε pass manager ?

Εννοείται. Αν γίνει η μέγιστη στραβή, πάντα υπάρχει η επαναφορά του κωδικού ανά site (x1000)

[euri]

Έχω βρει την υγειά μου με το BitWarden. Δεν ξέρω καν τι κωδικό έχω στα περισσότερα.

Ομοίως. Και μάλιστα σε δικό μου self-hosted Bitwarden. Το keepass το άφησα πια πίσω, καθώς ήθελε περισσότερη δουλειά για να έχω το περιεχόμενό του παντού.

- - - Updated - - -

Τωρα αυτο ειναι καλο να μη ξερεις και να τα χεις ολα σε pass manager ?

Ναι, ελάχιστες υπηρεσίες έχω για τις οποίες ξέρω τον κωδικό. Στις περισσότερες υπηρεσίες ο κωδικός είναι ένα περίεργο συνοθύλευμα τυχαίων χαρακτήρων.

[tsigarid]

Ομοίως. Και μάλιστα σε δικό μου self-hosted Bitwarden. Το keepass το άφησα πια πίσω, καθώς ήθελε περισσότερη δουλειά για να έχω το περιεχόμενό του παντού.

Για πες. Και εγώ βασανίζομαι λίγο με το keepass, αλλά δεν φτιάχνω/αλλάζω κωδικούς συχνά, οπότε έμαθα να ζω με τη δυσκολία. Αν υπάρχει καλή λύση που δεν στέλνει τους κωδικούς μου σε άλλους, ακόμα και κρυπτογραφημένους, ψήνομαι.

[euri]

Για πες. Και εγώ βασανίζομαι λίγο με το keepass, αλλά δεν φτιάχνω/αλλάζω κωδικούς συχνά, οπότε έμαθα να ζω με τη δυσκολία. Αν υπάρχει καλή λύση που δεν στέλνει τους κωδικούς μου σε άλλους, ακόμα και κρυπτογραφημένους, ψήνομαι.

Έχω στήσει δικό μου instance του Bitwarden σε ένα raspberry pi (σε docker container) στο σπίτι. Όλες οι συσκευές μου πλέον μιλάνε με αυτό, εντός κι εκτός σπιτιού.

Στο Bitwarden μπορείς να κάνεις import τη βάση του keepass, οπότε η μεταφορά των δεδομένων είναι άμεση.