Twitter vi phạm, kẻ tấn công đã đánh cắp 250.000 dữ liệu người dùng

Những kẻ tấn công có thể đã đạt được quyền truy cập vào 250.000 tài khoản trên Twitter, trang blog cho biết. Đã đến lúc thay đổi mật khẩu của bạn một lần nữa.

Nhóm bảo mật của trang web đã xác định nhiều nỗ lực truy cập của các cá nhân trái phép để truy cập dữ liệu người dùng trong tuần này, Bob Lord, giám đốc bảo mật thông tin, đã viết trên blog Twitter vào chiều thứ Sáu. Công ty cũng đã phát hiện ra "một cuộc tấn công trực tiếp" và đóng cửa nó trong khi nó vẫn còn trong những khoảnh khắc tiến triển sau đó, Lord nói.

Điều tra sâu hơn cho thấy những kẻ tấn công có thể truy cập vào một tập hợp con dữ liệu người dùng, bao gồm tên người dùng, địa chỉ email, mã thông báo phiên và mật khẩu được mã hóa / muối, thuộc khoảng 250.000 người dùng, Twitter thừa nhận trong bài đăng. Lord không cung cấp bất kỳ thông tin bổ sung nào về vi phạm an ninh, ông cũng không nói liệu có bất kỳ tài khoản bị lộ nào đã bị truy cập bất hợp pháp hay không.

"Như một biện pháp bảo mật phòng ngừa, chúng tôi đã đặt lại mật khẩu và thu hồi mã thông báo phiên cho các tài khoản này", Lord viết.

Paul Ducklin tại Sophos giải thích những gì kẻ tấn công có thể làm với mã thông báo phiên bị đánh cắp trên blog của NakedSecurity.

Đặt lại mật khẩu!

Sau khi đặt lại mật khẩu bị lộ, Twitter đã thông báo cho người dùng bị ảnh hưởng bằng email để tạo mật khẩu mới. Email khuyến cáo người dùng chọn một mật khẩu mạnh, ít nhất 10 ký tự và không được sử dụng lại trên bất kỳ trang web hoặc tài khoản nào khác để bảo vệ chính họ. Tất nhiên, mật khẩu dài hơn 10 ký tự cũng tốt hơn.

Nếu người dùng có mật khẩu yếu, thực tế là Twitter đã muối và mã hóa mật khẩu sẽ không giúp ích nhiều, vì những kẻ tấn công có thể sử dụng các công cụ bẻ khóa mật khẩu khác nhau để tìm ra chuỗi mật khẩu ban đầu là gì. Và nếu người dùng đã sử dụng cùng một mật khẩu cho các trang web trực tuyến khác, thì đó chính là chìa khóa của vương quốc danh tính người dùng, ngay tại đó.

Các email thông báo từ Twitter là khó hiểu, để nói rằng ít nhất. Nó hoàn toàn không đề cập đến cuộc tấn công, cũng như không liên kết đến bài viết trên blog thực tế. Nó chỉ thông báo cho người dùng mật khẩu có thể đã bị xâm phạm và cung cấp cho người dùng một liên kết để nhấp vào để đặt lại mật khẩu. Có một liên kết khác đến các phần khác của trang web trong email.

Bức thư "có tất cả các dấu hiệu của một email lừa đảo", người dùng Twitter Simon Phipps viết. "Người dùng KHÔNG nên được đào tạo để chấp nhận điều này", ông nói thêm.

Chúng tôi tại SecurityWatch đã nói điều đó trước đây và chúng tôi sẽ nói lại: Đừng nhấp vào liên kết trong email. Bất cứ ai cũng có thể giả lập một ghi chú như thế này và gửi nó cho người dùng ngẫu nhiên. Như Phipps đã lưu ý trong một tweet khác, sẽ rất khó để nói thẳng. Có báo cáo trên Twitter rằng một chiến dịch spam có thể đã được tiến hành.

Nếu bạn nhận được email yêu cầu bạn đặt lại mật khẩu Twitter của mình, chỉ cần dành một giây để truy cập thủ công vào trang web của Twitter và nhấp vào liên kết "Quên mật khẩu". Nếu bạn phải nhấp vào liên kết trong email, ít nhất hãy nhấp vào liên kết trong email bạn yêu cầu.

Ai là ai? Ai biết?

Lord không suy đoán ai có thể đứng sau các vụ tấn công.

"Cuộc tấn công này không phải là công việc của những người nghiệp dư và chúng tôi không tin đó là một sự cố cô lập. Những kẻ tấn công cực kỳ tinh vi và chúng tôi tin rằng các công ty và tổ chức khác gần đây cũng bị tấn công tương tự", Lord viết.

Tuy nhiên, bài đăng của Lord đã đề cập đến các cuộc tấn công chống lại New York Times từ Trung Quốc trong tuần này và lời khuyên gần đây từ Bộ An ninh Nội địa khuyến cáo người dùng nên vô hiệu hóa Java trong trình duyệt của họ. Mặc dù Twitter được báo cáo là sử dụng Java trong cơ sở hạ tầng, nhưng dường như không có bất kỳ applet Java nào trên trang web, do đó, khuyến nghị tắt Java trong trình duyệt là khó hiểu trong bối cảnh này.

Cơ quan thực thi pháp luật liên bang và các quan chức chính phủ đang điều tra vụ việc, Twitter cho biết.