Sony Pictures Online hacket ved hjælp af "Primitiv og almindelig" sårbarhed, data ukrypteret [Nyheder]

Reklame

Torsdag aften annoncerede hackergruppen "LulzSec" via Twitter, at de havde fået adgang til SonyPictures.com og stjålet over 1 million konti, adgangskoder og følsomme brugeroplysninger. Kort efter nyheden kom, dukkede kopier af de kompromitterede data op på fildelingswebsteder (såsom MediaFire, hvor de blev fjernet) og BitTorrent-trackere inklusive The Pirate Bay.

Gruppen efterlod en besked på PasteBin, der afslører det fulde omfang af indtrængen, som inkluderer tusindvis af e-mail- og adgangskodekombinationer, personlige oplysninger (herunder navne, adresser, fødselsdatoer og telefonnumre), næsten 3,5 millioner "musikkuponer" og over 60.000 "musik koder”. Gruppen annoncerede også, at Sonys sikkerhed blev overvundet af et simpelt SQL-injektionsangreb.

I en erklæring, sagde gruppen: "SonyPictures.com var ejet af en meget simpel SQL-injektion, en af ​​de mest primitive og almindelige sårbarheder, som vi alle burde vide nu. Fra en enkelt indsprøjtning fik vi adgang til ALT. Hvorfor tror du så meget på en virksomhed, der tillader sig at blive åben over for disse simple angreb?”

Gruppen udtalte også: "Hver bit af data, vi tog, var ikke krypteret. Sony gemte over 1.000.000 adgangskoder fra sine kunder i klartekst, hvilket betyder, at det bare er et spørgsmål om at tage det. Dette er skammeligt og usikkert: de bad om det."

Gruppen har frigivet meget af de plyndrede data, selvom disse kun indeholder en lille mængde af de kompromitterede data. Fuldstændige databaser er også blevet lagt online sammen med et tekstdokument med databaselayout for at hjælpe med at udvinde data. Databasen indeholder både militær- og regerings-e-mail- og adgangskodekombinationer og også administratorkonti til Sony Pictures Online.

Følgende uddrag er taget fra dokumentet "FILE CONTENTS.txt", der ledsager LulzSecs begrænsede udgivelse:

Indhold af vores plyndring:
## Sony_Pictures_International_AUTOTRADER_USERS.txt ##– I denne fil finder du lige under 12.500 kunder hos Sony; dette inkluderer fødselsdatoer, adresser, e-mails, fulde navne, adgangskoder, bruger-id'er og personlige telefonnumre.
## Sony_Pictures_International_BEAUTY_USERS.txt ##– I denne fil finder du lige under 21.000 kunder hos Sony; dette er en simpel e-mail/adgangskode. Nyd at stjæle din konto.
## Sony_Pictures_International_COUPONS.txt ##– I denne fil finder du lige under 20.000 Sony musikkuponer; Bemærk venligst, at der er 3,5 millioner kuponer at tage - få dem.
## Sony_Pictures_International_DELBOCA_USERS.txt ##– I denne fil finder du lige under 18.000 kunder hos Sony; dette er en simpel e-mail/adgangskode. Igen, nyd dit at stjæle.
## Sony_Pictures_International_MUSIC_CODES.txt ##– I denne fil finder du lige under 67.000 Sony musikkoder; de er som magneter, vi aner simpelthen ikke, hvordan de virker.
## Sony_Pictures_International_TABLE_LAYOUT.txt ##– I denne fil finder du layoutet af databasen; det betyder, at du nemt kan se, hvor du kan stjæle ting fra.
Bemærk, at databasen indeholder langt flere brugeroplysninger/kuponer end vi tog. Pointen er, at vi havde styr på dem; allesammen. Vi overlader resten til dig - stjæl så meget du vil, gå videre!
YDERLIGERE EJER:
## Sony_BMG_Music_Entertainment_NETHERLANDS ##– Denne fil indeholder brugerdatabasen for BMG Netherlands; det er omkring 600 brugernavne, e-mails og adgangskoder. God fornøjelse.
## Sony_BMG_Music_Entertainment_BELGIUM ##– Denne fil indeholder Sonys administrationsdatabase for BMG Belgium; også masser af stregkoder, udgivelsesdatoer og andet saftigt lort.

Gruppen var også ansvarlig for adskillige andre nylige sikkerhedsbrud, herunder forringelsen af ​​Public Broadcasting Service (PBS) hjemmeside og Sony Music of Japan. Sony har anerkendt påstandene og siges at være i gang med at undersøge sagen.

Kilde: LulzSecurity.com / @LulzSec
Tror du, at du kunne gøre et bedre stykke sikkerhed? Vred på Sony for ikke at beskytte dine oplysninger? Vred på hackerne for at have stjålet det i første omgang? Udluft lidt damp i kommentarerne nedenfor!