Sony Pictures Online hacknuté pomocou „primitívnej a bežnej“ zraniteľnosti, údaje nešifrované [Správy]

Reklama

Vo štvrtok večer hackerská skupina „LulzSec“ prostredníctvom Twitteru oznámila, že získala prístup na SonyPictures.com a ukradla viac ako 1 milión účtov, hesiel a citlivých informácií o používateľoch. Krátko po zverejnení správy sa kópie kompromitovaných údajov objavili na webových stránkach na zdieľanie súborov (ako je MediaFire, kde boli odstránené) a na sledovačoch BitTorrent vrátane The Pirate Bay.

Skupina zanechala správu na PasteBin odhaľujúcu celý rozsah prieniku, ktorý zahŕňa tisíce kombinácií e-mailov a hesiel, osobné údaje (vrátane mien, adries, dátumov narodenia a telefónnych čísel), takmer 3,5 milióna „hudobných kupónov“ a viac ako 60 000 „hudobných kódy“. Skupina tiež oznámila, že bezpečnosť spoločnosti Sony bola prekonaná jednoduchým útokom SQL injection.

In vyhlásenieskupina povedala: „SonyPictures.com vlastnila veľmi jednoduchá injekcia SQL, jedna z najprimitívnejších a najbežnejších zraniteľností, ako by sme už všetci mali vedieť. Z jedinej injekcie sme sa dostali ku VŠETKÉmu. Prečo tak veríte spoločnosti, ktorá si dovolí byť otvorená týmto jednoduchým útokom?”

Skupina tiež uviedla: „Každý kúsok údajov, ktorý sme získali, nebol zašifrovaný. Spoločnosť Sony uložila viac ako 1 000 000 hesiel svojich zákazníkov v otvorenom texte, čo znamená, že je potrebné si to vziať. To je hanebné a neisté: žiadali to.”

Skupina zverejnila veľkú časť ulúpených údajov, hoci tieto obsahujú iba malé množstvo kompromitovaných údajov. Úplné databázy boli tiež zverejnené online spolu s textovým dokumentom s rozložením databázy na pomoc pri extrakcii údajov. Databáza obsahuje kombinácie vojenských a vládnych e-mailov a hesiel a tiež správcovské účty pre Sony Pictures Online.

Nasledujúci úryvok bol prevzatý z dokumentu „FILE CONTENTS.txt“, ktorý sprevádza obmedzené vydanie LulzSec:

Obsah našej koristi:
## Sony_Pictures_International_AUTOTRADER_USERS.txt ##– V tomto súbore nájdete takmer 12 500 zákazníkov spoločnosti Sony; to zahŕňa dátumy narodenia, adresy, e-maily, celé mená, heslá, ID používateľov a osobné telefónne čísla.
## Sony_Pictures_International_BEAUTY_USERS.txt ##– V tomto súbore nájdete takmer 21 000 zákazníkov spoločnosti Sony; toto je jednoduchá zmena e-mailu/hesla. Užite si vykrádanie účtu.
## Sony_Pictures_International_COUPONS.txt ##– V tomto súbore nájdete takmer 20 000 hudobných kupónov Sony; Vezmite prosím na vedomie, že je potrebné vziať 3,5 milióna kupónov – získajte ich.
## Sony_Pictures_International_DELBOCA_USERS.txt ##– V tomto súbore nájdete takmer 18 000 zákazníkov spoločnosti Sony; toto je jednoduchá zmena e-mailu/hesla. Ešte raz, užite si svoje kradnutie.
## Sony_Pictures_International_MUSIC_CODES.txt ##– V tomto súbore nájdete takmer 67 000 hudobných kódov Sony; sú ako magnety, jednoducho netušíme, ako fungujú.
## Sony_Pictures_International_TABLE_LAYOUT.txt ##– V tomto súbore nájdete rozloženie databázy; to znamená, že ľahko uvidíte, odkiaľ veci kradnúť.
Všimnite si, že databáza obsahuje oveľa viac informácií o používateľoch/kupónov, ako sme získali. Ide o to, že sme ich mali pod kontrolou; všetky. Ostatné necháme na vás – kradnite si koľko chcete, choďte do toho!
DODATOČNÉ VLASTNÍCTVO:
## Sony_BMG_Music_Entertainment_NETHERLANDS ##– Tento súbor obsahuje databázu používateľov BMG Netherlands; je to asi 600 používateľských mien, e-mailov a hesiel. Užite si to.
## Sony_BMG_Music_Entertainment_BELGIUM ##– Tento súbor obsahuje databázu správcov Sony BMG Belgium; tiež veľa čiarových kódov, dátumy vydania a iné šťavnaté sračky.

Skupina bola zodpovedná aj za niekoľko ďalších nedávnych porušení bezpečnosti, vrátane znehodnotenia webovej stránky Public Broadcasting Service (PBS) a Sony Music of Japan. Sony tieto tvrdenia uznala a údajne ich vyšetruje.

Zdroj: LulzSecurity.com / @LulzSec
Myslíte si, že by ste mohli urobiť lepšiu prácu v oblasti bezpečnosti? Hneváte sa na Sony, že nechráni vaše informácie? Nahnevaný na hackerov, že ho ukradli? Vypustite trochu pary v komentároch nižšie!