Opensubtitles.org je hakovan i milioni podataka su procurili

Popularna stranica za titlove filmova i serija, OpenSubtitles je ove sedmice objavio svojim korisnicima da ga je napao haker, upozorio je korisnike u utorak, 18. januara nakon što je haker procurio online bazu podataka.

U blog postu na njihovom forumu, tim sajta je otkrio da ih je haker kontaktirao prošlog avgusta preko Telegrama da ih obavijesti da ima pristup podacima svih korisnika, otprilike 7 miliona, uključujući e-mail i IP adrese, korisnička imena i lozinke.

Za one koji su novi u OpenSubtitles, trebali biste to znati je veoma popularan servis koji nudi titlove za filmove i serije. Usluga je dostupna preko domena "opensubtitles.org" i "opensubtitles.com", gdje održava forum za diskusiju.

Prema poruci administratoras stranice hakeri su mogli da pristupe korisničkoj bazi podataka u avgustu 2021. Budući da su operateri OpenSubtitles nije odgovorio na zahtjeve za otkupninom, pristupni podaci se sada pojavljuju na Internetu. Prema timu, korisnička baza podataka sadrži nešto više od 6,7 miliona unosa.

Filtrirani paket sadrži adrese e-pošte, IP adrese, korisnička imena, zemlje porijekla korisnika i lozinke u obliku MD5 heša. Tim priznaje da je malo učinjeno na pooštravanju sigurnosti posljednjih godina, što je omogućilo napadaču da izvrši SQL injekciju nakon što je ugrozio nesigurnu lozinku super administratora.

“U avgustu 2021. primili smo poruku na Telegramu od hakera, koji nam je pokazao da je mogao pristupiti korisničkoj tabeli opensubtitles.org i preuzeo SQL dump (kopiju sirovih podataka). Zatražio je otkupninu u bitcoinima jer to nije otkrio javnosti i obećao da će izbrisati podatke. Jedva smo prihvatili, jer nije bila mala suma novca. Rekao nam je kako može dobiti pristup i pomogao nam je da popravimo grešku. Tehnički, uspio je da hakuje nesigurnu lozinku SuperAdmina", stoji u objavi tima.

“Imao sam pristup nesigurnoj skripti, koja je bila dostupna samo superadminima. Ova skripta mu je omogućila da izvrši SQL injekcije i ekstrahira podatke”, navodi se u objavi. Iako nijedan od hakovanih podataka nije procurio prošlog avgusta, 11. januara 2022. OpenSubtitles je primio dalju prepisku od „saradnika originalnog hakera“ koji je uputio slične zahteve. Prvog hakera nije bilo moguće kontaktirati za pomoć, a 15. januara sajt je saznao da su podaci procurili dan ranije.

Projekat "Jesam li-je-pwned?" zabilježio podatke i dodao ih u bazu podataka Potražite sva curenja javnih podataka. Ovo omogućava korisnicima da provjere da li je njihova adresa e-pošte ili lozinka ugrožena.

OpenSubtitles je rekao da je podaci o kreditnoj kartici nisu ugroženi.

“Haker može dobiti pristup korisničkim nalozima. Dakle, možete preuzeti titlove i tako dalje, ali niste imali pristup kreditnoj kartici ili drugim podacima; oni se pohranjuju izvan naše platforme”, napisao je administrator stranice, “OSS”.

OpenSubtitles opisuje hakiranje kao "tešku lekciju", priznajući nedostatke u njegovoj sigurnosti. Dakle, OpenSubtitles je od tada poboljšao svoju sigurnost tako što je napravio neke promjene ispod haube.

“Sajt je pohranio lozinke u neslane md5() hešove, koji su zamijenjeni hash_hmac i slanim SHA-256,” rekao je OSS. Osim toga, OpenSubtitles je također uveo novu politiku lozinki, zaključavanje računa nakon neuspjelih pokušaja prijave, captcha pri resetovanju lozinke, stranicu za prijavu i druga mjesta.

Najneposrednija prijetnja je korisnicima koji su koristili istu kombinaciju adrese e-pošte i lozinke na drugim stranicama. Napadač bi tako mogao pristupiti računima trećih strana. Takođe, to može predstavljati problem za korisnike OpenSubtitles koji posećuju portale sa istim akreditivima.

Zbog toga, ukoliko je neko od naših čitalaca česti posetilac, preporučuje se da promeni lozinku na domenima openSubtitles.org i openSubtitles.com.

Izvor: https://forum.opensubtitles.org/


Budite prvi koji komentarišete

Ostavite komentar

Vaša e-mail adresa neće biti objavljena. Obavezna polja su označena sa *

*

*

  1. Za podatke odgovoran: Miguel Ángel Gatón
  2. Svrha podataka: Kontrola neželjene pošte, upravljanje komentarima.
  3. Legitimacija: Vaš pristanak
  4. Komunikacija podataka: Podaci se neće dostavljati trećim stranama, osim po zakonskoj obavezi.
  5. Pohrana podataka: Baza podataka koju hostuje Occentus Networks (EU)
  6. Prava: U bilo kojem trenutku možete ograničiti, oporaviti i izbrisati svoje podatke.