Sony Pictures Online е хакнат с помощта на "примитивна и често срещана" уязвимост, данни некриптирани [Новини]

Реклама

В четвъртък вечерта хакерска група „LulzSec“ обяви чрез Twitter, че са получили достъп до SonyPictures.com и са откраднали над 1 милион акаунта, пароли и чувствителна потребителска информация. Малко след като новината се появи, копия на компрометираните данни се появиха на уебсайтове за споделяне на файлове (като MediaFire, където беше премахнат) и BitTorrent тракери, включително The Pirate Bay.

Групата остави съобщение в PasteBin, разкриващо пълния размер на проникването, което включва хиляди комбинации от имейли и пароли, лична информация (включително имена, адреси, дати на раждане и телефонни номера), близо 3,5 милиона „музикални купони“ и над 60 000 „музика кодове”. Групата също така обяви, че сигурността на Sony е била преодоляна чрез проста атака с инжектиране на SQL.

В декларация, групата каза: „SonyPictures.com беше собственост на много проста SQL инжекция, една от най-примитивните и често срещани уязвимости, както всички трябва да знаем досега. От една инжекция получихме ВСИЧКО. Защо полагате такава вяра на компания, която си позволява да стане отворена за тези прости атаки?

”

Групата заяви още: „Всяка част от данните, която взехме, не беше криптирана. Sony съхранява над 1 000 000 пароли на своите клиенти в откровен текст, което означава, че е просто въпрос да ги вземе. Това е позорно и несигурно: те го поискаха.”

Групата е пуснала голяма част от ограбените данни, въпреки че те съдържат само малка част от компрометираните данни. Пълните бази данни също са публикувани онлайн, заедно с текстов документ за оформление на базата данни, за да се подпомогне извличането на данни. Базата данни съдържа както военни, така и правителствени комбинации от имейли и пароли, както и администраторски акаунти към Sony Pictures Online.

Следният откъс е взет от документа „FILE CONTENTS.txt“, който придружава ограниченото издание на LulzSec:

Съдържание на нашето плячкосване:
## Sony_Pictures_International_AUTOTRADER_USERS.txt ##– В този файл ще намерите малко под 12 500 клиенти на Sony; това включва дати на раждане, адреси, имейли, пълни имена, пароли, потребителски идентификатори и лични телефонни номера.
## Sony_Pictures_International_BEAUTY_USERS.txt ##– В този файл ще намерите малко под 21 000 клиенти на Sony; това е просто пускане на имейл/парола. Насладете се на кражбата на акаунта си.
## Sony_Pictures_International_COUPONS.txt ##– В този файл ще намерите малко под 20 000 музикални купона на Sony; моля, имайте предвид, че има 3,5 милиона купона за вземане – вземете ги.
## Sony_Pictures_International_DELBOCA_USERS.txt ##– В този файл ще намерите малко под 18 000 клиенти на Sony; това е просто пускане на имейл/парола. Отново се наслаждавайте на кражбата.
## Sony_Pictures_International_MUSIC_CODES.txt ##– В този файл ще намерите малко под 67 000 музикални кода на Sony; те са като магнити, ние просто нямаме представа как работят.
## Sony_Pictures_International_TABLE_LAYOUT.txt ##– В този файл ще намерите оформлението на базата данни; това означава, че лесно можете да видите откъде да откраднете неща.
Имайте предвид, че базата данни съдържа много повече потребителска информация/купони, отколкото взехме. Въпросът е, че ние имахме контрол над тях; всички тях. Останалото оставяме на вас – крадете колкото искате, напред!
ДОПЪЛНИТЕЛНА СОБСТВЕНОСТ:
## Sony_BMG_Music_Entertainment_NETHERLANDS ##– Този файл съдържа потребителската база данни на BMG Холандия; това са около 600 потребителски имена, имейли и пароли. Наслади се.
## Sony_BMG_Music_Entertainment_BELGIUM ##– Този файл съдържа администраторската база данни на Sony на BMG Белгия; също много баркодове, дати на пускане и други сочни глупости.

Групата е отговорна и за няколко други скорошни пробиви в сигурността, включително повреда на уебсайта на Public Broadcasting Service (PBS) и Sony Music of Japan. Sony признаха твърденията и се казва, че разследват.

Източник: LulzSecurity.com / @LulzSec
Мислите, че бихте могли да свършите по-добра работа по сигурността? Ядосан на Sony, че не защитава вашата информация? Ядосан на хакерите, че са го откраднали на първо място? Изпуснете малко пара в коментарите по-долу!