Sony Pictures Online -hakkerointi käyttämällä "primitiivistä ja yleistä" haavoittuvuutta, tiedot salaamattomat [uutiset]

Mainos

Torstai-iltana hakkeriryhmä "LulzSec" ilmoitti Twitterissä, että he olivat päässeet SonyPictures.com-sivustolle ja varastaneet yli miljoona tiliä, salasanaa ja arkaluonteisia käyttäjätietoja. Pian uutisen ilmestymisen jälkeen kopiot vaarannetuista tiedoista ilmestyivät tiedostonjakosivustoille (kuten MediaFire, josta se poistettiin) ja BitTorrent-seurantaohjelmissa, mukaan lukien The Pirate Bay.

Ryhmä jätti PasteBiniin viestin, jossa paljastettiin tunkeutumisen koko laajuus, joka sisältää tuhansia sähköposti- ja salasanayhdistelmiä, henkilötiedot (mukaan lukien nimet, osoitteet, syntymäajat ja puhelinnumerot), lähes 3,5 miljoonaa "musiikkikuponkia" ja yli 60 000 "musiikkia" koodit”. Ryhmä ilmoitti myös, että Sonyn tietoturva voitettiin yksinkertaisella SQL-injektiohyökkäyksellä.

Sisään lausunto, ryhmä sanoi: "SonyPictures.com omisti hyvin yksinkertaisen SQL-injektion, joka on yksi alkeellisimmista ja yleisimmistä haavoittuvuuksista, kuten meidän kaikkien pitäisi jo tietää. Yhdestä pistoksesta pääsimme KAIKKIIN. Miksi uskot niin yritykseen, joka antaa itsensä avoimeksi näille yksinkertaisille hyökkäyksille?

”

Ryhmä totesi myös: "Jokaista keräämäämme dataa ei salattu. Sony tallensi yli 1 000 000 asiakkaidensa salasanaa selkeänä tekstinä, mikä tarkoittaa, että se on vain otettava. Tämä on häpeällistä ja epävarmaa: he pyysivät sitä."

Ryhmä on julkaissut suuren osan ryöstetyistä tiedoista, vaikka ne sisältävät vain pienen määrän vaarantuneita tietoja. Täydelliset tietokannat on myös julkaistu verkossa sekä tietokannan asettelutekstiasiakirja tietojen poimimisen helpottamiseksi. Tietokanta sisältää sekä armeijan että valtion sähköposti- ja salasanayhdistelmiä sekä myös Sony Pictures Onlinen järjestelmänvalvojatilejä.

Seuraava ote on otettu LulzSecin rajoitetun julkaisun mukana tulevasta "FILE CONTENTS.txt" -asiakirjasta:

Ryöstömme sisältö:
## Sony_Pictures_International_AUTOTRADER_USERS.txt ##– Tästä tiedostosta löydät hieman alle 12 500 Sonyn asiakasta; tämä sisältää syntymäajat, osoitteet, sähköpostit, täydelliset nimet, salasanat, käyttäjätunnukset ja henkilökohtaiset puhelinnumerot.
## Sony_Pictures_International_BEAUTY_USERS.txt ##– Tästä tiedostosta löydät hieman alle 21 000 Sonyn asiakasta; tämä on yksinkertainen sähköpostin/salasanan pudotus. Nauti tilisi varastamisesta.
## Sony_Pictures_International_COUPONS.txt ##– Tästä tiedostosta löydät hieman alle 20 000 Sony-musiikkikuponkia; Huomaa, että nostettavia kuponkeja on 3,5 miljoonaa – hanki ne.
## Sony_Pictures_International_DELBOCA_USERS.txt ##– Tästä tiedostosta löydät hieman alle 18 000 Sonyn asiakasta; tämä on yksinkertainen sähköpostin/salasanan pudotus. Nauti taas varastamisestasi.
## Sony_Pictures_International_MUSIC_CODES.txt ##– Tästä tiedostosta löydät vajaat 67 000 Sony-musiikkikoodia; ne ovat kuin magneetteja, meillä ei yksinkertaisesti ole aavistustakaan kuinka ne toimivat.
## Sony_Pictures_International_TABLE_LAYOUT.txt ##– Tästä tiedostosta löydät tietokannan asettelun; Tämä tarkoittaa, että näet helposti, mistä varastaa asioita.
Huomaa, että tietokanta sisältää paljon enemmän käyttäjätietoja/kuponkeja kuin otimme. Asia on siinä, että meillä oli ne hallinnassamme; Ne kaikki. Jätämme loput sinun päätettäväksesi – varasta niin paljon kuin haluat, mene eteenpäin!
LISÄOMISTUS:
## Sony_BMG_Music_Entertainment_NETHERLANDS ##– Tämä tiedosto sisältää BMG Netherlandsin käyttäjätietokannan; se sisältää noin 600 käyttäjätunnusta, sähköpostiosoitetta ja salasanaa. Nauttia.
## Sony_BMG_Music_Entertainment_BELGIUM ##– Tämä tiedosto sisältää BMG Belgiumin Sonyn järjestelmänvalvojan tietokannan; myös paljon viivakoodeja, julkaisupäiviä ja muuta mehukasta paskaa.

Ryhmä oli myös vastuussa useista muista viimeaikaisista tietoturvaloukkauksista, mukaan lukien Public Broadcasting Servicen (PBS) verkkosivuston ja Sony Music of Japanin turmelemisesta. Sony on myöntänyt väitteet ja tutkivansa asiaa.

Lähde: LulzSecurity.com / @LulzSec
Luuletko, että voisit tehdä parempaa turvatyötä? Oletko vihainen Sonylle, koska se ei suojannut tietojasi? Oletko vihainen hakkereille, koska he varastivat sen alun perin? Pura höyryä alla olevissa kommenteissa!