Twitter ละเมิดผู้โจมตีขโมยข้อมูลผู้ใช้ 250,000 คน

ผู้โจมตีอาจเข้าถึงบัญชี 250, 000 บัญชีบน Twitter ไซต์ microblogging กล่าว ถึงเวลาเปลี่ยนรหัสผ่านของคุณ … อีกครั้ง

ทีมรักษาความปลอดภัยของไซต์ระบุความพยายามในการเข้าถึงหลายครั้งโดยบุคคลที่ไม่ได้รับอนุญาตให้เข้าถึงข้อมูลผู้ใช้ในสัปดาห์นี้ Bob Lord ผู้อำนวยการฝ่ายความปลอดภัยของข้อมูลเขียนไว้ในบล็อก Twitter เมื่อบ่ายวันศุกร์ บริษัท ยังเปิดเผยว่า "มีการโจมตีครั้งเดียว" และปิดตัวลงในขณะที่ยังอยู่ในระหว่างการดำเนินการในเวลาต่อมาลอร์ดกล่าว

การสอบสวนเพิ่มเติมเปิดเผยว่าผู้โจมตีสามารถเข้าถึงข้อมูลส่วนย่อยของผู้ใช้รวมถึงชื่อผู้ใช้ที่อยู่อีเมลโทเค็นเซสชันและรหัสผ่านที่เข้ารหัส / เค็มซึ่งเป็นของผู้ใช้ประมาณ 250, 000 คน Twitter ยอมรับในโพสต์ ท่านไม่ได้ให้ข้อมูลเพิ่มเติมใด ๆ เกี่ยวกับการละเมิดความปลอดภัยและไม่ได้บอกว่ามีการเข้าถึงบัญชีที่เปิดเผยใด ๆ อย่างผิดกฎหมายหรือไม่

"เพื่อเป็นการป้องกันความปลอดภัยเราได้ทำการรีเซ็ตรหัสผ่านและโทเค็นเซสชันที่ถูกเพิกถอนสำหรับบัญชีเหล่านี้" ลอร์ดเขียน

Paul Ducklin ที่ Sophos อธิบายว่าผู้โจมตีสามารถทำอะไรกับโทเค็นเซสชันที่ถูกขโมยในบล็อก NakedSecurity

รีเซ็ตรหัสผ่าน!

หลังจากรีเซ็ตรหัสผ่านที่เปิดเผยแล้ว Twitter จะแจ้งให้ผู้ใช้ที่ได้รับผลกระทบทราบทางอีเมลเพื่อสร้างรหัสผ่านใหม่ ผู้ใช้อีเมลที่แนะนำให้เลือกรหัสผ่านที่รัดกุม - อย่างน้อย 10 ตัวอักษรและไม่ได้ใช้ซ้ำในเว็บไซต์หรือบัญชีอื่น ๆ - เพื่อป้องกันตัวเอง แน่นอนว่ารหัสผ่านที่ยาวเกิน 10 ตัวอักษรก็ดีเช่นกัน

หากผู้ใช้มีรหัสผ่านที่อ่อนแอความจริงที่ว่า Twitter ได้ใส่เกลือและเข้ารหัสรหัสผ่านจะไม่ช่วยได้มากนักเนื่องจากผู้โจมตีสามารถใช้เครื่องมือถอดรหัสรหัสผ่านต่าง ๆ เพื่อค้นหาว่าสตริงรหัสผ่านเดิมคืออะไร และหากผู้ใช้รหัสผ่านเดียวกันสำหรับเว็บไซต์อื่น ๆ ออนไลน์นั่นคือกุญแจสู่อาณาจักรแห่งตัวตนของผู้ใช้ตรงนั้น

อีเมลแจ้งเตือนจาก Twitter เป็นความลับเพื่อพูดน้อย ไม่ได้กล่าวถึงการโจมตีเลยและไม่เชื่อมโยงกับโพสต์บล็อกจริง เพียงแค่แจ้งให้ผู้ใช้ทราบว่ารหัสผ่านอาจถูกบุกรุกและมีลิงก์ให้ผู้ใช้คลิกเพื่อรีเซ็ตรหัสผ่าน มีลิงค์อื่น ๆ ไปยังส่วนอื่น ๆ ของเว็บไซต์ในอีเมล

จดหมาย "มีจุดเด่นของอีเมลฟิชชิ่ง" ผู้ใช้ Twitter เขียนโดย Simon Phipps "ผู้ใช้ไม่ควรได้รับการฝึกฝนให้ยอมรับสิ่งนี้" เขากล่าวเสริม

พวกเราที่ SecurityWatch ได้พูดมาก่อนแล้วและเราจะพูดอีกครั้ง: อย่าคลิกลิงก์ในอีเมล ทุกคนสามารถเลียนแบบบันทึกย่อแบบนี้และส่งออกไปยังผู้ใช้แบบสุ่ม ดังที่ฟิปส์ตั้งข้อสังเกตในทวีตที่แตกต่างกันมันคงเป็น "ยากที่จะบอกได้ทันที" มีรายงานใน Twitter ว่ามีแคมเปญสแปมที่กำลังดำเนินการอยู่

หากคุณได้รับอีเมลขอให้คุณรีเซ็ตรหัสผ่าน Twitter ของคุณเพียงแค่ใช้เวลาไม่กี่วินาทีในการไปที่เว็บไซต์ของ Twitter ด้วยตนเองและคลิกที่ลิงค์ หากคุณต้องคลิกลิงก์ในอีเมลอย่างน้อยคลิกลิงก์ในอีเมลที่คุณขอ

Whodunnit? ใครจะรู้?

ท่านไม่ได้คาดเดาว่าใครจะเป็นผู้อยู่เบื้องหลังการโจมตี

“ การโจมตีครั้งนี้ไม่ใช่งานของมือสมัครเล่นและเราไม่เชื่อว่ามันเป็นเหตุการณ์ที่แยกได้ผู้โจมตีนั้นมีความซับซ้อนมากและเราเชื่อว่า บริษัท และองค์กรอื่น ๆ ก็ถูกโจมตีในทำนองเดียวกัน” เมื่อไม่นานมานี้

อย่างไรก็ตามโพสต์ของลอร์ดกล่าวถึงการโจมตีนิวยอร์กไทม์สจากประเทศจีนในสัปดาห์นี้และคำแนะนำล่าสุดจากกระทรวงความมั่นคงแห่งมาตุภูมิแนะนำให้ผู้ใช้ปิดการใช้งานจาวาในเบราว์เซอร์ของพวกเขา แม้ว่า Twitter จะถูกรายงานให้ใช้ Java ในโครงสร้างพื้นฐาน แต่ดูเหมือนว่าจะไม่เป็น Java applets ใด ๆ ในเว็บไซต์ดังนั้นคำแนะนำในการปิดการใช้งาน Java ในเบราว์เซอร์จะทำให้สับสนในบริบทนี้

การบังคับใช้กฎหมายของรัฐบาลกลางและเจ้าหน้าที่ของรัฐกำลังสืบสวนเหตุการณ์ทวิตเตอร์กล่าว