Wyciek bazy danych Wykop.pl

Opublikował Kubofonista dnia 05.09.2009, w kategorii: Informacja, Internet

wykop Witajcie. Dzisiejszy wpis będzie o wycieku bazy danych z serwisu wykop.pl. Cały BLIP oraz Wykop o tym aż huczy. Była to pierwsza wiadomość jaką przeczytałem dziś wstając. I niestety – czekała mnie zmiana haseł w podobnych serwisach, bo do ważniejszych mam znacznie bardziej skomplikowane. Zapraszam

Jak to było?

Wstałem rano, i jak zwykle zacząłem czytać wiadomości od bota blipowego. Kilka minut później przyszła nowa, od bota ^wykop informująca o wycieku bazy danych. Pomyślałem sobie, że to jakiś żart lub marna prowokacja. Zacząłem czytać – byłem wtedy mobilny więc cały log z irca zamieszczony tam pominąłem, z lektury dowiedziałem się tyle, że wyciekły hasła, że afera i że skandal. Postanowiłem nieco zweryfikować tego kto to zrobił, zapytałem o podanie mojego adresu e-mail z posiadanej bazy wykopu (a jest to mail inny niż podawany przezemnie publicznie!). I co się okazało?

(Chodzi tu oczywiście o użytkownika gimbus)

E-Mail zgadza się z tym na które mam zarejestrowane konto na wykopie. Niektórzy prosili także o swój hash i po porównaniu stwierdzali prawdziwość, ja natomiast pytając o adres potwierdziłem sobie, że ta osoba posiada bazę danych. W między czasie pojawił się wykop który sugerował, że wyciek danych to eksperyment, odetchnąłem na chwilę z ulgą jednak było to już po zmianie haseł. Szybko okazało się, że informacja o nieprawdziwości wycieku danych była fałszywa, zatem dane wyciekły.

Oczywiście zacząłem na swój sposób przeciwdziałać zaraz po uzyskaniu informacji o wycieku – pytałem każdego dostępnego na Jabberze / GG czy ma konto na Wykopie, i jeśli tak informowałem krótko o konieczności zmiany haseł. Jeden tylko (nicka nie podam) poprosił o dowód, który to mu przedstawiłem i szybko ruszył do zmiany haseł. I w tym miejscu czuję, że wielu udało mi się ostrzec, bo nie wiedzieli nic o całej sprawie.

A przyczyna…

… jest bardzo prosta. Brak hasła dla roota serwera bazy danych MySQL. Jak się później okazało serwera testowego.

Co na to administracja?

Administracja milczała, pozostawiając nas samym sobie. Nie wiedziała o niczym? Wiedziała, bo osoby spamujące pod tym wykopem były banowane, co było widać po zmianach koloru ich nicka, więc coś jednak robili. Dopiero o 18:54 opublikowano oświadczenie potwierdzające wyciek danych – z serwera testowego (o czym dowiedziałem się od administracji na flakerze).

Możemy się tam dowiedzieć, że stało się to wcześniej na serwerze testowym a organy ścigania w związku z charakterem międzynarodowym sprawy zabroniły udzielać informacji. Jak czytamy kawałek dalej – “sprawy potoczyły się z daleko, i dlatego należą się nam słowa wyjaśnienia”. Cóż no, lepiej późno niż wcale. Ale można było przecież wtedy już wysłać e-maile z ostrzeżeniami. Administracja zapewnia także, że robi wszystko aby przeciwdziałać. Niestety – co raz zostało umieszczone w Internecie zostanie w nim na zawsze, moim zdaniem nic nie mogą już zrobić. Poinformowali także o tym, ze hasła są szyfrowane, a no chwała im za to, jakby były plaintextem mielibyśmy jedną z większych afer w Internecie. Całe oświadczenie można przeczytać tutaj.

Aktualizacja (20:42):

Właśnie dostałem maila od wykopu o następującej treści:

Witaj

W związku z włamaniem na jeden z testowych serwerów Wykop.pl, prosimy o jak najszybszą zmianę hasła do Twojego konta na Wykopie za pomocą formularza znajdującego się pod adresem: http://www.wykop.pl/user/change_password

Bliższe szczegóły dotyczące zaistniałej sytuacji opublikowaliśmy na naszym oficjalnym blogu: http://www.wykop.pl/blog/post/55

Przepraszamy za zaistniałą sytuację.
Administracja Wykop.pl

Jak widać proszą o zmianę hasła ale tylko na wykopie. A może by tak napisać o konieczności zmiany hasła w innych serwisach? Albo opisać szerzej w mailu dla tych
którym się nie zechce wchodzić? Może linki powinny linkować a nie być napisane?

Tak czy siak tego maila trzeba było wysłać wtedy, gdy to się stało a nie teraz gdy wyszło na jaw.

Podsumowując

Podsumowując całą akcję – jestem zawiedziony bezmyślnością administracji wykopu. Pozostawienie MySQLa akceptującego połączenia z zewnątrz bez hasła roota to skandal, nawet pomimo tego, że w serwerze testowym. O i jeszcze jedno – kto o zdrowym umyśle na serwer testowy importuje pełne dane użytkowników? W mojej ocenie wystarczyło zaimportować samą strukturę + użytkownika admin (a no właśnie, jego hasłem okazało się “qwerty” – kolejna kompromitacja).

Na zakończenie życzę Wam wszystkim miłego zmieniania haseł, oraz załączam ankietę.

[poll id="6"]

Fajny tekst? Podziel się ze znajomymi:

Zobacz inne ciekawe wpisy:

Tagi: epicfail, fail, security, securityfial, wyciek, wykop

Udostepnij

« Poprzedni Wpis

Niebezpieczeństwo w GMailu

Następny Wpis»

Śledzik – niewypał roku

Kubofonista

Hehe.
Niestety linka nie będzie, nie jestem i nie chce być w posiadaniu tej bazy, ponadto sam jestem dotknięty tym wyciekiem. Zwolennikiem rozpowszechniania tych danych też nie jestem.
shpyo

A link do tej bazy to gdzie skoro piszesz o wycieku (w domyślę rozumiem, że będzie podany link na koniec wpisu)? ;)