Sony Pictures Online פרוץ באמצעות פגיעות "פרימיטיבית ונפוצה", נתונים לא מוצפנים [חדשות]

פרסומת

ביום חמישי בערב, קבוצת ההאקרים "LulzSec" הודיעה באמצעות טוויטר שהם קיבלו גישה ל-SonyPictures.com וגנבו למעלה ממיליון חשבונות, סיסמאות ומידע משתמש רגיש. זמן קצר לאחר פרסום החדשות, עותקים של הנתונים שנפגעו עלו באתרי שיתוף קבצים (כגון MediaFire, שם הוא הוסר) ובעוקבי BitTorrent כולל The Pirate Bay.

הקבוצה השאירה הודעה ב-PasteBin שחושפת את מלוא היקף החדירה, הכוללת אלפי שילובי אימייל וסיסמא, מידע אישי (כולל שמות, כתובות, תאריכי לידה ומספרי טלפון), כמעט 3.5 מיליון "קופונים למוזיקה" ויותר מ-60,000 "מוזיקה" קודים". הקבוצה גם הודיעה שהאבטחה של סוני התגברה על ידי מתקפת הזרקת SQL פשוטה.

ב הצהרה, אמרה הקבוצה: "SonyPictures.com הייתה בבעלותה של הזרקת SQL פשוטה מאוד, אחת מהפגיעויות הפרימיטיביות והנפוצות ביותר, כפי שכולנו צריכים לדעת עד כה. מזריקה בודדת, הגענו להכל. למה אתה נותן אמון כזה בחברה שמאפשרת לעצמה להיפתח למתקפות הפשוטות האלה?”

עוד נמסר מהקבוצה: "כל פיסת נתונים שלקחנו לא הוצפנה. סוני אחסנה למעלה מ-1,000,000 סיסמאות של לקוחותיה בטקסט פשוט, מה שאומר שזה רק עניין של לקחת את זה. זה מביש וחסר ביטחון: הם ביקשו את זה".

הקבוצה פרסמה חלק גדול מהנתונים שנשדדו, אם כי אלה מכילים רק כמות קטנה מהנתונים שנפגעו. מסדי נתונים מלאים פורסמו גם באינטרנט, יחד עם מסמך טקסט של פריסת מסד נתונים כדי לסייע בחילוץ הנתונים. מסד הנתונים מכיל גם שילובי דוא"ל וסיסמא צבאיים וגם ממשלתיים, וגם חשבונות ניהול ל-Sony Pictures Online.

הקטע הבא נלקח ממסמך "FILE CONTENTS.txt" הנלווה למהדורה המוגבלת של LulzSec:

תוכן הגזל שלנו:
## Sony_Pictures_International_AUTOTRADER_USERS.txt ##– בקובץ זה תמצאו קצת פחות מ-12,500 לקוחות של Sony; זה כולל תאריכי לידה, כתובות, מיילים, שמות מלאים, סיסמאות, מזהי משתמש ומספרי טלפון אישיים.
## Sony_Pictures_International_BEAUTY_USERS.txt ##– בקובץ זה תמצאו קצת פחות מ-21,000 לקוחות של Sony; זוהי שחרור דוא"ל/סיסמה פשוט. תהנה מגניבת חשבונך.
## Sony_Pictures_International_COUPONS.txt ##– בקובץ זה תמצאו קצת פחות מ-20,000 קופונים למוזיקה של Sony; אנא שים לב שיש 3.5 מיליון קופונים לקחת - קבל אותם.
## Sony_Pictures_International_DELBOCA_USERS.txt ##– בקובץ זה תמצאו קצת פחות מ-18,000 לקוחות של Sony; זוהי שחרור דוא"ל/סיסמה פשוט. שוב, תהנה מהגניבה שלך.
## Sony_Pictures_International_MUSIC_CODES.txt ##– בקובץ זה תמצאו קצת פחות מ-67,000 קודי מוזיקה של Sony; הם כמו מגנטים, פשוט אין לנו מושג איך הם עובדים.
## Sony_Pictures_International_TABLE_LAYOUT.txt ##– בקובץ זה תמצא את הפריסה של מסד הנתונים; זה אומר שאתה יכול בקלות לראות מאיפה לגנוב דברים.
שימו לב שמסד הנתונים מכיל הרבה יותר מידע/קופונים על המשתמש ממה שלקחנו. הנקודה היא שהייתה לנו שליטה בהם; את כולם. את השאר אנחנו משאירים לך - לגנוב כמה שאתה רוצה, קדימה!
בעלות נוספת:
## Sony_BMG_Music_Entertainment_NETHERLANDS ##– קובץ זה מכיל את מסד הנתונים של המשתמשים של BMG הולנד; זה בערך 600 שמות משתמש, מיילים וסיסמאות. תהנה.
## Sony_BMG_Music_Entertainment_BELGIUM ##– קובץ זה מכיל את מסד הנתונים של Sony לניהול של BMG Belgium; גם הרבה ברקודים, תאריכי שחרור ועוד חרא עסיסי.

הקבוצה גם הייתה אחראית לכמה פרצות אבטחה אחרות לאחרונה, כולל השחתת אתר האינטרנט של שירות השידור הציבורי (PBS) ושל סוני מיוזיק מיפן. סוני הכירה בטענות ונאמר שהיא חוקרת.

מקור: LulzSecurity.com / @LulzSec
חושב שאתה יכול לעשות עבודה טובה יותר באבטחה? כועסת על סוני שלא הגנה על המידע שלך? כועסים על ההאקרים שגנבו אותו מלכתחילה? שחרר קצת קיטור בתגובות למטה!