Bezpieczeństwo danych na forum - WAŻNE!
: 18 sty 2021, o 10:19
Drodzy użytkownicy,
W 2012 roku nieuprawniana osoba, prawdopodobnie wykorzystując lukę w zabezpieczeniach oprogramowania używanego ówcześnie przez forum, uzyskała dostęp do bazy danych strony w210.pl. Do niedawna nie mieliśmy o tej sytuacji pojęcia.
Cała sprawa wyszła na jaw całkiem niedawno. Na początku listopada portal Sekurak (https://sekurak.pl/wycieklo-prawie-24-0 ... -wyciekow/) opublikował informację o wycieku informacji z prawie 24 000 stron internetowych, z których wyciekło około 13 miliardów rekordów. Na liście zaatakowanych stron znajdowało się nasze forum - w210.pl. Informacja o tym, że w210.pl znajduje się na liście stron, z których dane wyciekły, dotarła do nas na początku grudnia.
Po otrzymaniu informacji na temat wycieku przeprowadziliśmy analizę, która pozwoliła nam określić moment włamania.
Włamanie miało miejsce w połowie stycznia 2012 roku. Skradziona została baza danych, a do sieci trafiła jej część - adresy email użytkowników wraz z odszyfrowanymi hasłami. Hasła przechowywane w naszej bazie są co prawda szyfrowane, ale zostały złamane prawdopodobnie przy pomocy tak zwanych „tęczowych tablic” (https://pl.wikipedia.org/wiki/Tęczowe_tablice) oraz ogólnodostępnych baz danych haseł z innych wycieków.
Sprawa dotyczy więc osób, które zarejestrowały się na forum przed lutym 2012 roku, miały dość łatwe hasła (np. część adresu email, login, imię, proste zbitki słów czyli hasła tzw. słownikowe itp.) lub takie, które już wcześniej wyciekły podczas innych włamań. Adresy e-mail oraz zaszyfrowane hasła pozostałych użytkowników nie zostały ujawnione, chociaż należy mieć na uwadze, że włamywacz ciągle może je gdzieś przechowywać.
W jaki sposób wyciekła baza danych?
Po 8 latach nie jesteśmy w stanie tego dokładnie stwierdzić. Nie mamy dostępu do logów z tamtego okresu, a samo forum przez ten czas przeszło modernizację. Analizując inne strony znajdujące się na liście możemy jednak podejrzewać, że wykorzystana została luka w zabezpieczeniach skryptu forum, który był w tamtym okresie zainstalowany na w210.pl. Obecnie forum aktualizowane jest regularnie, w momencie pisania tego wpisu posiada zainstalowaną najnowszą wersję oprogramowania, dlatego szansę na powtórne włamanie przy pomocy luki w oprogramowaniu zostało zmniejszone do minimum.
Jakie podjęliśmy kroki?
Dla zwiększenia Waszego bezpieczeństwa wymusiliśmy zmianę haseł oraz ustawiliśmy oprogramowanie tak, aby wymuszało raz na pół roku zmianę Waszego hasła. Zwiększyliśmy też wymagania dotyczące jego złożoności. Wprowadziliśmy szyfrowanie SSL. Wiemy, że nie jest to najwygodniejsze rozwiązanie, ale wszystko to robimy dla bezpieczeństwa Waszych danych.
Co zalecamy?
Jeżeli Twoje konto na forum w210.pl zostało założone przed lutym 2012, a w innych serwisach internetowych wykorzystałeś/aś to samo hasło - zmień je koniecznie we wszystkich tych serwisach. Oprócz tego uważaj na SPAM, który może zacząć przychodzić na Twój adres e-mail wykorzystany na naszym forum. Nie klikaj w podejrzane linki oraz nie otwieraj podejrzanych załączników. Dla każdej usługi (a szczególnie dla tych najważniejszych takich jak: poczta elektroniczna, usługi bankowe, usługi inwestycyjne, portale aukcyjne itp.) używaj innych haseł, które będą jak najbardziej złożone. Pomóc w ich tworzeniu może generator haseł (https://generator.blulink.pl), a w ich przechowywaniu menadżer haseł (https://zaufanatrzeciastrona.pl/post/po ... go-uzywac/).
Na koniec chcielibyśmy Was przeprosić. Przykro nam, że do tego doszło. Wyciek miał miejsce wiele lat temu, informujemy o nim dopiero dzisiaj bo nie mieliśmy o nim pojęcia. Obiecujemy, że dołożymy wszelkich starań, aby taka sytuacja nie miała miejsca ponownie. Mamy również nadzieję, że ten wyciek nie przyprawi nikomu z naszych użytkowników problemów. Prosimy Was o zastosowanie się do naszych zaleceń.
W 2012 roku nieuprawniana osoba, prawdopodobnie wykorzystując lukę w zabezpieczeniach oprogramowania używanego ówcześnie przez forum, uzyskała dostęp do bazy danych strony w210.pl. Do niedawna nie mieliśmy o tej sytuacji pojęcia.
Cała sprawa wyszła na jaw całkiem niedawno. Na początku listopada portal Sekurak (https://sekurak.pl/wycieklo-prawie-24-0 ... -wyciekow/) opublikował informację o wycieku informacji z prawie 24 000 stron internetowych, z których wyciekło około 13 miliardów rekordów. Na liście zaatakowanych stron znajdowało się nasze forum - w210.pl. Informacja o tym, że w210.pl znajduje się na liście stron, z których dane wyciekły, dotarła do nas na początku grudnia.
Po otrzymaniu informacji na temat wycieku przeprowadziliśmy analizę, która pozwoliła nam określić moment włamania.
Włamanie miało miejsce w połowie stycznia 2012 roku. Skradziona została baza danych, a do sieci trafiła jej część - adresy email użytkowników wraz z odszyfrowanymi hasłami. Hasła przechowywane w naszej bazie są co prawda szyfrowane, ale zostały złamane prawdopodobnie przy pomocy tak zwanych „tęczowych tablic” (https://pl.wikipedia.org/wiki/Tęczowe_tablice) oraz ogólnodostępnych baz danych haseł z innych wycieków.
Sprawa dotyczy więc osób, które zarejestrowały się na forum przed lutym 2012 roku, miały dość łatwe hasła (np. część adresu email, login, imię, proste zbitki słów czyli hasła tzw. słownikowe itp.) lub takie, które już wcześniej wyciekły podczas innych włamań. Adresy e-mail oraz zaszyfrowane hasła pozostałych użytkowników nie zostały ujawnione, chociaż należy mieć na uwadze, że włamywacz ciągle może je gdzieś przechowywać.
W jaki sposób wyciekła baza danych?
Po 8 latach nie jesteśmy w stanie tego dokładnie stwierdzić. Nie mamy dostępu do logów z tamtego okresu, a samo forum przez ten czas przeszło modernizację. Analizując inne strony znajdujące się na liście możemy jednak podejrzewać, że wykorzystana została luka w zabezpieczeniach skryptu forum, który był w tamtym okresie zainstalowany na w210.pl. Obecnie forum aktualizowane jest regularnie, w momencie pisania tego wpisu posiada zainstalowaną najnowszą wersję oprogramowania, dlatego szansę na powtórne włamanie przy pomocy luki w oprogramowaniu zostało zmniejszone do minimum.
Jakie podjęliśmy kroki?
Dla zwiększenia Waszego bezpieczeństwa wymusiliśmy zmianę haseł oraz ustawiliśmy oprogramowanie tak, aby wymuszało raz na pół roku zmianę Waszego hasła. Zwiększyliśmy też wymagania dotyczące jego złożoności. Wprowadziliśmy szyfrowanie SSL. Wiemy, że nie jest to najwygodniejsze rozwiązanie, ale wszystko to robimy dla bezpieczeństwa Waszych danych.
Co zalecamy?
Jeżeli Twoje konto na forum w210.pl zostało założone przed lutym 2012, a w innych serwisach internetowych wykorzystałeś/aś to samo hasło - zmień je koniecznie we wszystkich tych serwisach. Oprócz tego uważaj na SPAM, który może zacząć przychodzić na Twój adres e-mail wykorzystany na naszym forum. Nie klikaj w podejrzane linki oraz nie otwieraj podejrzanych załączników. Dla każdej usługi (a szczególnie dla tych najważniejszych takich jak: poczta elektroniczna, usługi bankowe, usługi inwestycyjne, portale aukcyjne itp.) używaj innych haseł, które będą jak najbardziej złożone. Pomóc w ich tworzeniu może generator haseł (https://generator.blulink.pl), a w ich przechowywaniu menadżer haseł (https://zaufanatrzeciastrona.pl/post/po ... go-uzywac/).
Na koniec chcielibyśmy Was przeprosić. Przykro nam, że do tego doszło. Wyciek miał miejsce wiele lat temu, informujemy o nim dopiero dzisiaj bo nie mieliśmy o nim pojęcia. Obiecujemy, że dołożymy wszelkich starań, aby taka sytuacja nie miała miejsca ponownie. Mamy również nadzieję, że ten wyciek nie przyprawi nikomu z naszych użytkowników problemów. Prosimy Was o zastosowanie się do naszych zaleceń.