Vi phạm mật khẩu Livingsocial ảnh hưởng đến 50 triệu tài khoản

Những kẻ tấn công mạng gần đây đã vi phạm các hệ thống của LivingSocial và truy cập trái phép thông tin khách hàng của hơn 50 triệu người dùng, LivingSocial cho biết. Người dùng cần thay đổi mật khẩu ngay lập tức.

Như PCMag.com đã báo cáo ngày hôm qua, LivingSocial đã gửi email thông báo vi phạm dữ liệu cho tất cả các khách hàng bị ảnh hưởng thông báo cho họ về một cuộc tấn công mạng dẫn đến truy cập trái phép dữ liệu của khách hàng. Hơn 50 triệu tài khoản có khả năng bị ảnh hưởng, theo LivingSocial, khiến đây trở thành một trong những vi phạm mật khẩu lớn nhất trong năm nay.

Hiện tại vẫn chưa rõ việc vi phạm xảy ra như thế nào và những thông tin khác đã bị đánh cắp. Trong các loại sự cố này, những kẻ tấn công thường đột nhập bằng cách bí mật cài đặt phần mềm độc hại trên các thiết bị của nhân viên và sau đó tìm đường trên mạng cho đến khi tìm thấy các hệ thống nhạy cảm, George Tubin, chiến lược gia bảo mật cao cấp tại Trusteer, nói với SecurityWatch .

Các nhà cung cấp "nên hy vọng tin tặc nhắm mục tiêu vào hệ thống của họ để có được dữ liệu khách hàng hoặc thông tin nhạy cảm của công ty", Tubin nói. Tại thời điểm này, "rõ ràng là các nhà cung cấp này chỉ đơn giản là không làm đủ để bảo vệ thông tin của khách hàng của họ", Tubin nói.

Mật khẩu muối, băm không bẻ khóa

Đó là một dấu hiệu tốt cho thấy LivingSocial đã băm và lấy mật khẩu của mình vì điều đó sẽ làm chậm kẻ tấn công phần nào, nhưng "nó sẽ không ngăn chặn" những kẻ tấn công cố gắng, và thành công, trong việc tìm ra mật khẩu ban đầu, Ross Barrett, quản lý bảo mật cấp cao kỹ thuật tại Rapid7, nói với SecurityWatch . Trong khi muối làm chậm quá trình bẻ khóa, "cuối cùng những kẻ tấn công hoặc mạng của họ sẽ có được thông tin mà họ đang theo dõi" Barrett nói ..

Băm là mã hóa một chiều, trong đó bạn luôn nhận được cùng một đầu ra cho một đầu vào nhất định, nhưng không thể bắt đầu bằng hàm băm và tìm ra chuỗi gốc là gì. Những kẻ tấn công thường dựa vào các bảng cầu vồng, một loạt các từ điển to lớn chứa mọi chuỗi có thể hiểu được (bao gồm các từ trong từ điển, họ chung, thậm chí cả lời bài hát) và các giá trị băm có liên quan. Kẻ tấn công có thể khớp băm từ bảng mật khẩu với bảng cầu vồng để tìm chuỗi gốc đã tạo mã.

Salting đề cập đến quá trình thêm thông tin bổ sung vào chuỗi đầu vào ban đầu trước khi tạo hàm băm. Vì kẻ tấn công không biết các bit dữ liệu bổ sung là gì, việc bẻ khóa băm trở nên khó khăn hơn.

Tuy nhiên, vấn đề là LivingSocial đã sử dụng SHA1 để tạo ra hàm băm, một thuật toán yếu. Giống như MD5, một thuật toán phổ biến khác, SHA1 được thiết kế để hoạt động nhanh chóng và với một lượng tài nguyên máy tính tối thiểu.

Xem xét những tiến bộ gần đây trong công nghệ phần cứng và hack, băm SHA1, thậm chí là muối, không bị nứt. LivingSocial sẽ tốt hơn với bcrypt, scrypt hoặc PBKDF-2.

Thay đổi những mật khẩu đó ngay bây giờ

LivingSocial đã thiết lập lại mật khẩu cho tất cả người dùng và người dùng nên đảm bảo chọn mật khẩu mới không được sử dụng ở bất kỳ nơi nào khác. Nhiều người có xu hướng sử dụng lại cùng một mật khẩu trên các trang web; nếu người dùng sử dụng mật khẩu LivingSocial trên các trang web khác, họ cũng nên thay đổi mật khẩu đó ngay lập tức. Sau khi mật khẩu bị bẻ khóa, kẻ tấn công có thể thử mật khẩu chống lại các dịch vụ phổ biến như email, Facebook và LinkedIn.

"Những vi phạm này là một lời nhắc nhở khác tại sao việc duy trì vệ sinh mật khẩu tốt và sử dụng các mật khẩu khác nhau cho tất cả các tài khoản và trang web là rất quan trọng", Barrett nói.

Kẻ tấn công cũng có thể sử dụng ngày sinh và tên để lừa đảo và các chiến dịch kỹ thuật xã hội khác. Họ có thể tham khảo các chi tiết này để lừa người dùng nghĩ rằng đây là những tin nhắn hợp pháp. Dữ liệu bị đánh cắp sẽ là "các cuộc tấn công mạnh mẽ trong một thời gian rất dài", Barrett nói.

Vi phạm LivingSocial là "một lời nhắc nhở khác rằng các tổ chức sẽ tiếp tục được nhắm mục tiêu cho dữ liệu khách hàng có giá trị của họ", Barrett nói.