Datele a 17,5 milione de utilizatori ai Disqus, furate în 2012 de hackeri

Disqus, o platformă folosită de sute de mii de site-uri pentru sistemul de comentarii, a anunțat că detliile a 17,5 milioane de utilizatori au fost expuse din cauza unei breșe majore în iulie 2012.

Compania, care oferă un plugin web pentru site-uri web și blog-uri, a declarat că informațiile compromise includeau nume de utilizator, datele la care și-au făcut contul și ultima dată la care s-au logat fără să fie criptate, scrie deathrattlesports.com.

Aproximativ o treime dintre conturile compromise conțineau parole criptate folosind algoritmul SHA-1. Disqus spune că informațiile expuse datează începând din 2007 și până în iulie 2012.

Expertul în securitate Troy Hunt, fondatorul site-ului web Have I Been Pwned, care avertizează utilizatorii dacă au fost victima unei breșe de securitate, a descoperit breșa săptămâna trecută și a informat compania marți, pe 5 octombrie. Hunt a spus că 71% dintre adresele de e-mail compromise se aflau deja în baza de date a Have I Been Pwned.

Disqus spune că a început vineri să își anunțe utilizatorii de existența breșei și să reseteze parolele utilizatorilor afectați. Comapania a avertizat utilizatorii și cu privire la posibilitatea de a primi mesaje spam sau de phishing pe adresele de e-mail expuse.

„În timp ce încă investigăm incidentul, credem că este cel mai bine să împărtășim ceea ce știm acum,” a scris într-o postare pe blog Jason Yan, CTO al Disqus.

Algoritumul de criptare SHA-1 a fost clasificat ca fiind unul slab în ultimii ani, iar noi metode de criptare a parolelor au fost adoptate. Multe dintre conturi nu au parole deoarece utilizatorii s-au logat prin intermediul unui serviciu terț ca Facebook sau Google, scrie zdnet.com.

Compania a precizat într-o postare pe blog că deși nu există dovezi de logări neautorizate, utilizatorii afectați vor fi informați despre breșă prin intermediul unui e-mail, iar cei ale căror parole au fost expuse le vor fi resetate automat. 

Disqus a avertizat utilizatorii care folosesc aceași parolă și pe alte conturi să o schimbe. Jason Yan a mai precizat și că în 2012, compania a făcut actualizări pentru a îmbunătăți securitatea, una dintre acestea fiind criptarea parolelor cu bcrypt, care este mult mai bun ca SHA-1.

Hunt a lăudat modul în care compania a reacționat legat de această breșă de securitate.