32 miljoen Facebook en MySpace wachtwoorden gestolen
Aanvallers zijn erin geslaagd om via SQL-injectie de wachtwoorden van 32,6 miljoen Facebook en MySpace gebruikers te bemachtigen. De kwetsbaarheid trof alleen gebruikers van de sociale netwerksites die ook widgets van RockYou gebruikten. Niet alleen was de website van RockYou lek, voorheen bekend als RockMySpace, maar waren de wachtwoorden als platte tekst opgeslagen. Uit voorzorg wordt gebruikers geadviseerd om het wachtwoord van MySpace en Facebook, alsmede hun e-mail en andere online diensten te wijzigen. RockYou bewaarde in de database namelijk ook de inloggegevens van andere partnersites. De website zou tevens het gebruik van korte wachtwoorden van 5 tot maximaal 15 karakters hebben toegestaan, wat de beveiliging ook niet ten goede komt, maar in het geval van het opslaan als platte tekst niet veel uitmaakt.
Talloze mensen gebruiken nog altijd dezelfde inloggegevens voor verschillende accounts, waarschuwt Imperva dat het lek bekend maakte. De aanval zou al veel eerder hebben plaatsgevonden. RockYou zegt zelf dat het op 4 december werd ingelicht dat de database was gestolen. Daarop werd de site uit de lucht gehaald en het SQL-injectie lek verholpen, maar de gegevens kon het niet meer redden.
Shitty shite
Na de blogposting van Imperva plaatste de vermoedelijke aanvaller een bericht online, met gegevens die tijdens de aanval zijn buitgemaakt. "Ik heb elk account van deze shitty site gedownload. Je was te langzaam, maar wat kan ik van je verwachten. Lieg niet tegen je klanten, of ik zal alles publiceren." Volgens de aanvaller zullen veel van de gegevens ook op andere sites werken.
RockYou heeft inmiddels een verklaring online gezet en zal alle gebruikers via e-mail waarschuwen. "Zoals je weet neemt RockYou de privacy van onze gebruikers zeer serieus. We doen veel moeite om de gegevens van onze gebruikers tegen datalekken en aanvallen te beschermen." Opmerkelijk genoeg nam RockYou wel tien dagen de tijd om gebruikers te waarschuwen.
een soort single sign-on ;-) ??
Geef zo veel mogelijk van je gegevens aan ons om een goede match te kunnen maken met mogelijke vvvvvrienden op ons netwerk. Natuurlijk zitten al die gegevens netjes achter een gebruikersnaam en wachtwoord.
En om het je makkelijk te maken hoef je maar één keer in te loggen op onze site, waarna je op al onze partnersites ook ingelogd bent...
Dat hiermee de regel van de zwakste schakel geld. Tsja. Het is wel gratis!!
een soort single sign-on ;-) ??
ik denk dat het hier mensen betreft die hetzlfde wachtwoord voor meerdere systemen gebruikt...
Pff, wat een gepruts weer. Ze geven zelfs toe dat alles unencrypted is opgeslagen....
En ja, single-sign-on is natuurlijk nooit een goed idee geweest...
Maar dat is waarschijnlijk off-topic.
andere vraag: wat zijn betrouwbare mogelijkheden om je site op dit soort kwetsbaarheden te testen.
zover mij bekend is, escaped php standaard de meegegeven variablen, tenzij dit wordt uitgeschakeld.
en als je gegevens via externe sites binnenhaalt, moet je deze natuurlijk niet blindelings vertrouwen.
een soort single sign-on ;-) ??
ik denk dat het hier mensen betreft die hetzlfde wachtwoord voor meerdere systemen gebruikt...
DUHHHHHHHHHHHHHH !
een soort single sign-on ;-) ??
ik denk dat het hier mensen betreft die hetzlfde wachtwoord voor meerdere systemen gebruikt...
DUHHHHHHHHHHHHHH !
LMAO!
hoeveel users hebt facebook??
een soort single sign-on ;-) ??
ik denk dat het hier mensen betreft die hetzlfde wachtwoord voor meerdere systemen gebruikt...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
