Twitter hacked: утечка данных 250.000 пользователей

[x-boom]

Если обнаружится, что вы не можете авторизоваться с Twitter используя ваши данные аутентификации, то вы не один.
Сервис была занят сбросом паролей и отзывом куки в пятницу 1 февраля 2013, после онлайн-атак, которые могли повлечь утечку данных аккаунтов около 250 тысяч пользователей.



"На этой неделе мы обнаружили необычные схемы доступа, которые привели нас к выявлению попыток несанкционированного доступа к данным пользователей Twitter," сообщает в блоге Боб Лорд (Bob Lord), директор Twitter по информационной безопасности.

По словам Лорда, Twitter'у удалось закрыть атаку в момент его обнаружения, но не ранее того, когда нападавшие успели получить доступ к тому, что он называет "ограниченной информацией пользователей", включая имена пользователей, адреса электронной почты, токены сессии[1] и пароли в "крипто- соленой"[2] версии.

Шифрование такого рода паролей, как правило, трудно взломать, - но возможно, особенно, если злоумышленник знаком с алгоритмом, используемым для их шифрования.

В качестве меры предосторожности, говорит Лорд, Twitter сбросил пароли всех 250.000 подвергшихся атаке аккаунтов - которые, замечает он, составляют лишь "небольшой процент" из более чем 140 миллионов пользователей Twitter со всего света.

Если ваш аккаунт один из числа затронутых в ходе атаки, вам нужно ввести новый пароль при следующем входе в систему.
Лорд напоминает всем пользователям Twitter о необходимости выбора надежных паролей - он рекомендует 10 и более символов, сочетание букв, цифр и символов, так как простые пароли легче подбираются методами полного перебора.
Кроме того, он рекомендует не использовать один и тот же пароль на нескольких сайтах.

По заявлению Лорда, расследование в Twitter продолжается, и данный инциндент рассматривается крайне серьезно, особенно в свете недавних кибер-атак на New York Times и The Wall Street Journal:

Эта атака была не работа любителей, и мы не считаем это был единичным случаем. Нападавшие весьма изощрённы, и мы считаем, что и другие компании и организации также подверглись недавно аналогичным атакам.
По этой причине, мы сочли необходимым придать огласке эту атаку в то самое время, когда мы все еще были заняты сбором информации, и мы помогаем правительству и федеральным правоохранительным органам в их усилиях в обнаружении и преследовании этих нападавших, с целью сделать Интернет более безопасным для всех пользователей.

Несмотря на то, что атака произошла на этой неделе, кажется нет оснований связывать данный инциндент с отключением Twitter в течение нескольких часов в четверг 31 января 2013.
Тем не менее, с другой стороны, в сообщение Лорд делает довольно загадочное упоминание о последней рекомендации Департамента Национальной Безопасности США, касающейся отключения Java-плагин в браузерах. Он упоминает Java два раза, in fact.

Хоть и верно, что Java-плагин содержит множественные известные уязвимости, и что многочисленные эксперты по компьютерной безопасности предупреждают, что его следует рассматривать как небезопасным, связь между Java и атакой на Twitter не ясна - и представители Twitter не ответили El Reg на просьбу о разъяснении.