Hackerii au furat peste 13 milioane de parole ale utilizatorilor de la furnizorul de web hosting gratuit 000webhost, a declarat miercuri un expert de securitate anonim.
Troy Hunt, proprietarul serviciului “Have I Been Pwned”, care permite utilizatorilor sa afle daca datele lor cu caracter personal au fost compromise, a fost contactat de o persoana anonima care pretindea ca numele, adresele de e-mail si parolele a 13 milioane de conturi 000webhost au fost publicate online acum cateva luni. Dupa cateva investigatii, s-a aflat ca incidentul s-ar fi produs inca din martie.
Dupa ce a analizat datele si a vorbit cu cativa proprietari de cont pe 000webhost.com, Hunt a ajuns la concluzia ca intr-adevar incidentul a avut loc. Acesta a analizat si site-ul companiei si a identificat cateva practici de securitate precare, inclusiv stocarea parolelor in text simplu si lipsa unei conexiuni securizate la logarea in contul de utilizator.
Hunt a incercat sa contacteze compania de mai multe ori in decursul a cateva zile, dar nu a reusit. Proprietarii 000webhost doar au recunoscut ca intr-adevar au fost compromisi, abia dupa ce Hunt a publicat pe blogul sau intreaga poveste, care a ajuns si in mass-media.
Compania spune ca atacatorii au spart serverul principal prin exploatarea unei vulnerabilitati dintr-o versiune veche de PHP. Atacul a dus la compromiterea intregii baze de date a companiei.
“In primul rand, am eliminat toate paginile incarcate ilegal imediat ce am luat la cunostinta acest incident. Apoi, am schimbat toate parolele si am crescut nivelul de criptare pentru a evita astfel de incidente in viitor. In prezent se desfasoarea o investigatie aprofundata pentru a ne asigura ca nu mai exista brese de securitate”, a declarat 000webhost.
Totusi, in declaratie nu se mentioneaza nimic despre parolele stocate in text simplu, dar compania spune ca isi va moderniza sistemele si a promis sa fie “super-atenta” pe viitor. Un mesaj postat pe site-ul 000webhost.com informeaza vizitatorii ca serviciul este indisponibil pentru lucrari de mentenanta.