Sony Pictures Online hackerata utilizzando una vulnerabilità "primitiva e comune", dati non crittografati [Notizie]

Annuncio

Giovedì sera, il gruppo di hacker "LulzSec" ha annunciato tramite Twitter di aver ottenuto l'accesso a SonyPictures.com e di aver rubato oltre 1 milione di account, password e informazioni sensibili degli utenti. Poco dopo la diffusione della notizia, copie dei dati compromessi sono emerse su siti Web di file sharing (come MediaFire, dove è stato rimosso) e tracker BitTorrent, incluso The Pirate Bay.

Il gruppo ha lasciato un messaggio su PasteBin rivelando l'intera portata dell'intrusione, che include migliaia di combinazioni di email e password, informazioni personali (inclusi nomi, indirizzi, date di nascita e numeri di telefono), quasi 3,5 milioni di "buoni musicali" e oltre 60.000 "buoni musicali" codici”. Il gruppo ha anche annunciato che la sicurezza di Sony è stata superata da un semplice attacco SQL injection.

In una dichiarazione, il gruppo ha dichiarato: “SonyPictures.com era di proprietà di una semplicissima SQL injection, una delle vulnerabilità più primitive e comuni, come ormai dovremmo sapere tutti. Da una singola iniezione abbiamo avuto accesso a TUTTO. Perché riponete tanta fiducia in un'azienda che si permette di aprirsi a questi semplici attacchi?

”

Il gruppo ha anche affermato: “Ogni bit di dati che abbiamo preso non è stato crittografato. Sony ha memorizzato oltre 1.000.000 di password dei suoi clienti in chiaro, il che significa che è solo questione di prenderle. Questo è vergognoso e insicuro: lo chiedevano».

Il gruppo ha rilasciato gran parte dei dati saccheggiati, sebbene questi contengano solo una piccola quantità dei dati compromessi. I database completi sono stati anche pubblicati online, insieme a un documento di testo del layout del database per aiutare l'estrazione dei dati. Il database contiene combinazioni di e-mail e password sia militari che governative e anche account amministratore per Sony Pictures Online.

Il seguente estratto è stato tratto dal documento "FILE CONTENTS.txt" che accompagna la versione limitata di LulzSec:

Contenuto del nostro saccheggio:
## Sony_Pictures_International_AUTOTRADER_USERS.txt ##– In questo file troverai poco meno di 12.500 clienti di Sony; questo include date di nascita, indirizzi, e-mail, nomi completi, password, ID utente e numeri di telefono personali.
## Sony_Pictures_International_BEAUTY_USERS.txt ##– In questo file troverai poco meno di 21.000 clienti Sony; questa è una semplice e-mail/password drop. Goditi il ​​furto del tuo account.
## Sony_Pictures_International_COUPONS.txt ##– In questo file troverai poco meno di 20.000 coupon musicali Sony; tieni presente che ci sono 3,5 milioni di coupon da prendere: prendili.
## Sony_Pictures_International_DELBOCA_USERS.txt ##– In questo file troverai poco meno di 18.000 clienti Sony; questa è una semplice e-mail/password drop. Ancora una volta, goditi il ​​tuo furto.
## Sony_Pictures_International_MUSIC_CODES.txt ##– In questo file troverai poco meno di 67.000 codici musicali Sony; sono come magneti, semplicemente non abbiamo idea di come funzionino.
## Sony_Pictures_International_TABLE_LAYOUT.txt ##– In questo file troverai il layout del database; ciò significa che puoi facilmente vedere da dove rubare le cose.
Nota che il database contiene molte più informazioni/coupon dell'utente rispetto a quelle che abbiamo preso. Il punto è che ne avevamo il controllo; tutti loro. Il resto lo lasciamo a te: ruba quanto vuoi, vai avanti!
PROPRIETÀ AGGIUNTIVA:
## Sony_BMG_Music_Entertainment_NETHERLANDS ##– Questo file contiene il database degli utenti di BMG Netherlands; sono circa 600 nomi utente, e-mail e password. Godere.
## Sony_BMG_Music_Entertainment_BELGIUM ##– Questo file contiene il database di amministrazione Sony di BMG Belgio; anche un sacco di codici a barre, date di rilascio e altra merda succosa.

Il gruppo è stato anche responsabile di diverse altre recenti violazioni della sicurezza, inclusa la deturpazione del sito Web del Public Broadcasting Service (PBS) e della Sony Music of Japan. Sony ha riconosciuto le affermazioni e si dice che stia indagando.

Fonte: LulzSecurity.com/ @LulzSec
Pensi di poter fare un lavoro migliore di sicurezza? Arrabbiato con Sony per non aver protetto le tue informazioni? Arrabbiato con gli hacker per averlo rubato in primo luogo? Sfoga un po 'di vapore nei commenti qui sotto!