WhiteHat News #ID:2112
VIP Members
-
16/06/2015
-
83
-
672 bài viết
Lộ hơn 3,3 triệu tài khoản trên các máy chủ Hello Kitty
Cụ thể, thông tin cá nhân của hơn 3,3 triệu tài khoản người hâm mộ Hello Kitty có thể truy cập trực tuyến, hầu hết các tài khoản này là của trẻ em.
Chris Vickery phát hiện cơ sở dữ liệu sanriotown.com có thể dễ dàng truy cập trực tuyến. Cơ sở dữ liệu này chứa thông tin tổng hợp của người dùng từ rất nhiều trang web Hello Kitty khác nhau như hellokitty.com, hellokitty.com.my, hellokitty.com.sg, hellokitty.in.th, mymelody.com, và sanriotown.com.
Dữ liệu gồm các thông tin như tên thật, địa chỉ email, mật khẩu, giới tính, ngày sinh, quốc gia, gợi ý mật khẩu và các câu trả lời an ninh. Vụ rò rỉ cũng bao gồm các tài khoản khác, nhưng tùy từng trang web và phạm vi hoạt động. Trong số các dữ liệu rò rỉ, chi tiết về ngày sinh được mã hóa, chuỗi mật khẩu được băm và lưu trữ ở dạng MD5 (rất dễ crack).
Nhà nghiên cứu cho biết đã thông báo cho cả Sanrio, chủ sở hữu của trang web bị ảnh hưởng, Hello Kitty và ISP, nơi lưu trữ cơ sở dữ liệu.
Vì vụ xâm phạm được báo cáo vào cuối tuần và dường như chưa có công ty nào phản hồi, Vickery không công bố bất kỳ chi tiết nào để tránh có kẻ lợi dụng nhằm phá hoại các máy chủ.
Vickery cung cấp thông tin về các vụ rò rỉ của hơn 20 triệu tài khoản trong tuần qua
Đầu tuần này, Vickery đã báo cáo các vụ xâm phạm dữ liệu cho các công ty và dịch vụ như MacKeeper, nhà cung cấp an ninh cho máy Mac (13 triệu tài khoản); OkHello, ứng dụng chat video (2,6 triệu tài khoản); Slingo, trang web chơi game trực tuyến (2,5 triệu tài khoản); iFit, ứng dụng tập thể dục (576.000 tài khoản); mạng xã hội Vixlet (377.000 tài khoản); California Virtual Academies, mạng lưới trường học trực tuyến (74.000 tài khoản); và Hzone, ứng dụng hẹn hò cho bệnh nhân HIV (5,027 tài khoản).
Trong tất cả những trường hợp này, thiết lập MongoDB lỗi là nguyên nhân của tất cả các vụ xâm phạm. Ngay sau các tiết lộ của Chris Vickery, Chris Matherly, chủ sở hữu của Shodan, một công cụ tìm kiếm cho các thiết bị có kết nối Internet, đưa ra một báo cáo cho thấy hai năm sau nghiên cứu ban đầu của ông, vẫn còn 35.000 cơ sở dữ liệu MongoDB có cấu hình không đúng, làm rò rỉ hơn 650 TB dữ liệu.
Chris Vickery phát hiện cơ sở dữ liệu sanriotown.com có thể dễ dàng truy cập trực tuyến. Cơ sở dữ liệu này chứa thông tin tổng hợp của người dùng từ rất nhiều trang web Hello Kitty khác nhau như hellokitty.com, hellokitty.com.my, hellokitty.com.sg, hellokitty.in.th, mymelody.com, và sanriotown.com.
Dữ liệu gồm các thông tin như tên thật, địa chỉ email, mật khẩu, giới tính, ngày sinh, quốc gia, gợi ý mật khẩu và các câu trả lời an ninh. Vụ rò rỉ cũng bao gồm các tài khoản khác, nhưng tùy từng trang web và phạm vi hoạt động. Trong số các dữ liệu rò rỉ, chi tiết về ngày sinh được mã hóa, chuỗi mật khẩu được băm và lưu trữ ở dạng MD5 (rất dễ crack).
Nhà nghiên cứu cho biết đã thông báo cho cả Sanrio, chủ sở hữu của trang web bị ảnh hưởng, Hello Kitty và ISP, nơi lưu trữ cơ sở dữ liệu.
Vì vụ xâm phạm được báo cáo vào cuối tuần và dường như chưa có công ty nào phản hồi, Vickery không công bố bất kỳ chi tiết nào để tránh có kẻ lợi dụng nhằm phá hoại các máy chủ.
Vickery cung cấp thông tin về các vụ rò rỉ của hơn 20 triệu tài khoản trong tuần qua
Đầu tuần này, Vickery đã báo cáo các vụ xâm phạm dữ liệu cho các công ty và dịch vụ như MacKeeper, nhà cung cấp an ninh cho máy Mac (13 triệu tài khoản); OkHello, ứng dụng chat video (2,6 triệu tài khoản); Slingo, trang web chơi game trực tuyến (2,5 triệu tài khoản); iFit, ứng dụng tập thể dục (576.000 tài khoản); mạng xã hội Vixlet (377.000 tài khoản); California Virtual Academies, mạng lưới trường học trực tuyến (74.000 tài khoản); và Hzone, ứng dụng hẹn hò cho bệnh nhân HIV (5,027 tài khoản).
Trong tất cả những trường hợp này, thiết lập MongoDB lỗi là nguyên nhân của tất cả các vụ xâm phạm. Ngay sau các tiết lộ của Chris Vickery, Chris Matherly, chủ sở hữu của Shodan, một công cụ tìm kiếm cho các thiết bị có kết nối Internet, đưa ra một báo cáo cho thấy hai năm sau nghiên cứu ban đầu của ông, vẫn còn 35.000 cơ sở dữ liệu MongoDB có cấu hình không đúng, làm rò rỉ hơn 650 TB dữ liệu.
Nguồn: Softpedia