Kickstarter ถูกแฮ็ก: บัตรเครดิตปลอดภัยรหัสผ่านถูกขโมย

ความล้าของข้อมูลรั่วไหลกำลังเกิดขึ้นและเป็นเดือนกุมภาพันธ์เท่านั้น Kickstarter เป็นเว็บไซต์ที่มีรายละเอียดสูงล่าสุดที่ถูกแฮ็ก

หน่วยงานบังคับใช้กฎหมายแจ้งให้ Kickstarter ทราบถึงการละเมิดเมื่อวันที่ 12 กุมภาพันธ์และ Kickstarter ได้ปิดช่องโหว่ที่ทำให้ผู้โจมตีผ่าน Yancey Strickler ซีอีโอของ Kickstarter เขียนลงในบล็อกโพสต์และอีเมลที่ส่งถึงผู้ใช้ บริษัท ได้ทำการตรวจสอบสถานการณ์อย่างละเอียดในช่วงสี่วันที่ผ่านมาก่อนที่จะแจ้งให้ผู้ใช้ทราบและทีมได้เริ่ม "เสริมสร้างมาตรการรักษาความปลอดภัย" ในโครงสร้างพื้นฐานของ บริษัท Strickler กล่าว

“ เราเสียใจอย่างไม่น่าเชื่อที่เกิดขึ้นเราตั้งแถบที่สูงมากสำหรับวิธีการที่เราให้บริการชุมชนของเราและเหตุการณ์นี้เป็นที่น่าผิดหวังและอารมณ์เสีย” Strickler กล่าว

ไม่มีข้อแก้ตัวใด ๆ ที่จะยังคงใช้รหัสผ่านที่อ่อนแอหรือนำข้อมูลประจำตัวไปใช้ซ้ำในหลาย ๆ ในฐานะที่เป็น Security Watch ได้พูดครั้งแล้วครั้งเล่า (ไม่ว่าเราจะพูดถึง LinkedIn, Twitter, Adobe, Evernote หรือ Dropbox เพื่อชื่อไม่กี่) เราต้องใช้รหัสผ่านที่แข็งแกร่งตรวจสอบให้แน่ใจว่ารหัสผ่านที่ไม่ซ้ำกันเพื่อให้ ไซต์หนึ่งไม่มีผลกับบัญชีหลายบัญชีและใช้วิธีการพิสูจน์ตัวตนที่แรงขึ้นเช่นการเปิดใช้งานการตรวจสอบสิทธิ์แบบสองปัจจัยหรือใช้ตัวจัดการรหัสผ่าน ด้วย Kickstarter เข้าร่วมรายการคำแนะนำเดียวกันยังคงใช้

สิ่งที่ถูกขโมยไป

สำหรับผู้ใช้งาน Kickstarter มีข่าวดีและข่าวร้าย ข่าวดีก็คือไม่มีการเข้าถึงข้อมูลบัตรเครดิต เป็นไปได้มากว่าเนื่องจาก Kickstarter ไม่เคยมีข้อมูลบัตรเครดิตของคุณในการเริ่มต้นเนื่องจากธุรกรรมการชำระเงินทั้งหมดได้รับการประมวลผลและจัดเก็บโดย Amazon Payments ไม่ใช่โดย Kickstarter แม้ว่า Kickstarter จะจัดเก็บตัวเลขสี่หลักสุดท้ายและวันหมดอายุของบัตรเครดิตที่ใช้ในการลงทุนในโครงการที่อยู่นอกสหรัฐอเมริกา แต่ข้อมูลนี้ก็ไม่ได้ถูกละเมิด แต่อย่างใด

ข่าวร้ายคือผู้โจมตีเข้าสู่ฐานข้อมูลที่มีชื่อผู้ใช้ที่อยู่อีเมลที่อยู่ทางไปรษณีย์หมายเลขโทรศัพท์และรหัสผ่าน จนถึงตอนนี้ดูเหมือนว่ามีสองบัญชีที่อาจถูกนำไปใช้ในการฉ้อโกง Kickstarter ได้รักษาความปลอดภัยบัญชีเหล่านั้นอีกครั้งและแจ้งผู้ใช้

ความปลอดภัยของรหัสผ่าน

รหัสผ่านถูกเข้ารหัสซึ่งหมายความว่าจะต้องใช้เวลาในการโจมตีและใช้ทรัพยากรในการถอดรหัส ดูเหมือนว่ารหัสผ่านบางส่วนถูกใส่เกลือและแฮชโดยใช้อัลกอริทึม SHA1 ในขณะที่รหัสอื่น ๆ ใช้การเข้ารหัส bcrypt ที่แรงกว่ามาก ไม่ว่าการเข้ารหัสจะไม่ล้มเหลวอย่างสมบูรณ์และพิจารณาว่ามันง่ายแค่ไหนที่จะหมุนเครื่องที่ทรงพลังบน Amazon Elastic Compute Cloud (EC2) หรือแพลตฟอร์มคลาวด์อื่น ๆ มันปลอดภัยที่จะสมมติว่ารหัสผ่านของคุณจะแตกในที่สุด คุณควรเปลี่ยนรหัสผ่านทันที

ข่าวดีสำหรับผู้ใช้ Kickstarter ที่ใช้บัญชี Facebook เพื่อเข้าสู่ระบบ: ข้อมูลประจำตัว Facebook ของพวกเขายังคงปลอดภัยเนื่องจากข้อมูลนั้นถูกเก็บไว้บนเซิร์ฟเวอร์ Facebook Kickstarter ได้เพิกถอนโทเค็นทั้งหมดที่อนุญาตให้ลงชื่อเข้าใช้ Facebook ดังนั้นในครั้งต่อไปที่คุณพยายามลงชื่อเข้าใช้คุณจะได้รับแจ้งให้เชื่อมโยงบัญชีด้วยตนเองอีกครั้ง

แนะนำให้ใช้ Kickstarter โดยใช้เครื่องมือจัดการรหัสผ่านเช่น LastPass หรือ 1Password ตรวจสอบผู้จัดการรหัสผ่านทั้งหมดที่ PCMag ได้ตรวจทานรวมถึง LastPass 3.0 และ Dashlane 2.0 ผลิตภัณฑ์สองรายการที่ได้รับการกำหนดตัวเลือกของบรรณาธิการ

ทำอะไรต่อไป

“ เรากำลังทำงานอย่างใกล้ชิดกับการบังคับใช้กฎหมายและเรากำลังทำทุกอย่างในอำนาจของเราเพื่อป้องกันไม่ให้สิ่งนี้เกิดขึ้นอีกครั้ง” Strickley กล่าว ในขณะที่มันดี Kickstarter กำลังทำทุกอย่างเท่าที่จะทำได้ผู้ใช้ควรทำทุกอย่างเท่าที่จะทำได้เพื่อลดความเสียหายในกรณีที่มีการละเมิดอีกครั้ง

เมื่อมีการละเมิดทั้งหมดเหล่านี้ผู้ใช้จำเป็นต้องเข้าใจเรื่องความปลอดภัยมากขึ้น อย่าใช้รหัสผ่านซ้ำในเว็บไซต์แม้ว่าคุณคิดว่ารหัสผ่านมีความสำคัญน้อยกว่าหรือมีรูปไม่มีข้อมูลที่สำคัญในการปกป้อง รหัสผ่านจะต้องมีความยาว (มากกว่าแปดตัวอักษรหากคุณสามารถจัดการได้) และซับซ้อนด้วยการผสมผสานของตัวเลขเครื่องหมายวรรคตอนและตัวอักษรผสม ขั้นสุดท้ายให้พิจารณาเปิดใช้งานการรับรองความถูกต้องด้วยสองปัจจัยหากไซต์มีคุณสมบัติดังกล่าวและพิจารณาใช้เครื่องมือจัดการรหัสผ่าน

“ เราได้ปรับปรุงกระบวนการและระบบความปลอดภัยของเราในหลาย ๆ ด้านและเราจะดำเนินการต่อไปในอีกไม่กี่สัปดาห์ข้างหน้า” Strickley กล่าว