500px je sociálna sieť pre fotografov, ktorá umožňuje zdieľať a vyhľadávať obrovské množstvo fotografií. Tento týždeň sa firma priznala, že jej servery boli napadnuté a hekeri ukradli informácie o účtoch. Ako sa však ukazuje, o citlivé údaje prišlo ešte ďalších 15 webstránok!
Čo sa stalo?
Fotobanka 500px 8. februára zistila, že sa niekto dostal do jej systému. Po komplexnom preverovaní pochopila, že sa jedná o obrovský únik informácií. Pozvala si na pomoc odborníkov a zalarmovala orgány činné v trestnom konaní.
Na základe výsledkov vyšetrovania bolo zistené, že neoprávnená strana (t. j. hekeri) získala čiastkové údaje o 14,8 miliónoch používateľov približne 5. júla 2018.
V rámci prevencie 500px vynulovala heslá všetkých používateľov a poslala im notifikačný e-mail s pokynmi ako obnoviť heslá.
Firma uvádza, aké typy používateľských údajov mohli byť uniknuté:
- meno a priezvisko používateľa uvedeného v 500px;
- používateľské meno v 500px;
- e-mailová adresa priradená k prihlasovaniu na 500px;
- prihlasovacie heslo, ktoré sa použilo pomocou jednosmerného algoritmu;
- dátum narodenia;
- mesto, kraj, štát;
- pohlavie.
Odborníci z 500px tvrdia, že ten, kto sa zaregistroval po 5. júli 2018 nebol ohrozený a tiež zdôrazňujú, že neexistuje žiaden náznak neoprávneného prístupu k používateľským účtom. Okrem toho informácie o číslach platobných kariet neboli uložené na firemných serveroch a vďaka tomu neboli útočníkom prístupné.
Hekerská akcia nebývalých rozmerov
Portál The Register súbežne na to zistil, že sa v Dark Webe predávajú údaje o neuveriteľných 620 miliónoch účtov zo 16-tich napadnutých webových stránok. Útočníci ponúkajú tieto informácie za 20 000 dolárov prevedených v bitcoinoch.
Okrem spomínanej databanky 500px sa v „balíku“ nachádzajú služby Dubsmash (162 miliónov), MyFitnessPal (151 miliónov), MyHeritage (92 miliónov), ShareThis (41 miliónov), HauteLook (28 miliónov), Animoto (25 miliónov), EyeEm (22 miliónov), 8fit (20 miliónov), Whitepages (18 miliónov), Fotolog (16 miliónov), Armor Games (11 miliónov), BookMate (8 miliónov), CoffeeMeetsBagel (6 miliónov), Artsy (1 milión) a DataCamp (700-tisíc).
Záujem o takéto zoznamy môžu mať napríklad spameri, čo je aj dôvod, prečo je táto databáza relatívne lacná. Riziko pre používateľov je však oveľa väčšie, ako nevyžiadaná pošta. Na základe uniknutých prihlasovacích mien a hesiel sa môže heker prihlásiť do iných účtov, pretože ľudia si zvyčajne nerobia ťažkú hlavu s rôznymi menami a heslami pre rozdielne účty.
Niektoré webové stránky (MyHeritage, MyFitnessPal, Animoto) vedeli o tom, že boli napadnuté, ostatné sa to dozvedeli len teraz.
Ak chcete zistiť, či sa vaše osobné údaje nachádzajú v heknutých databázach, môžete si to pozrieť na stránke Have i been pwned?, ktorá funguje už od roku 2013. Stránka obsahuje záznamy o viac ako 4,8 miliardách účtov a neustále sa aktualizuje.
Vyzerá to tak, že si budeme musieť zvyknúť na fakt, že úniky osobných informácií patria k internetu asi tak, ako dopravné nehody k automobilom. V prvom prípade treba byť obozretný a zdieľať o sebe čo najmenej. V druhom prípade byť pripútaný a dodržiavať dopravné predpisy.