Włączony listing katalogów
Według CyberNews.com, Quizme.pl miało włączoną funkcję listingu katalogów, co oznacza, że każda osoba z dostępem do internetu mogła przeglądać i pobierać pliki z serwera witryny bez żadnych przeszkód. Brak uwierzytelniania dodatkowo ułatwiał dostęp do danych.
Jak wynika z opisu incydentu, w katalogach znajdowały się kopie zapasowe bazy danych, zawierające adresy e-mail, adresy IP, powiązane konta na Facebooku, nazwy użytkowników oraz hasła ponad 60 000 użytkowników, które były chronione przestarzałym algorytmem haszującym SHA-1. Ujawnione dane obejmowały również szczegółowe informacje na temat aktywności użytkowników na stronie, takie jak rozwiązane quizy, wybrane odpowiedzi oraz inne dzienniki aktywności. CyberNews.com zauważa, że witryna tworzyła nowe kopie zapasowe codziennie, co oznacza, że informacje, które wyciekły, były nie starsze niż 24 godziny.
Ponadto ujawniono klucz prywatny certyfikatu SSL strony. Jego wyciek mógłby pozwolić osobom atakującym na przechwytywanie i odszyfrowywanie całego ruchu na stronie, co stawiało użytkowników w ogromnym niebezpieczeństwie.
Quizme.pl potwierdza incydent, ale...
Quizme.pl potwierdza incydent opisany w artykule CyberNews.com. — 25 czerwca serwis CyberNews.com poinformował nas o możliwości nieautoryzowanego dostępu do backupów naszej bazy danych oraz o krokach, jakie należy wykonać, by taki dostęp uzyskać. Umożliwiał to nieumyślny błąd konfiguracji serwera, który został naprawiony w ciągu 24 godzin. Wygenerowaliśmy też nowy certyfikat SSL dla serwisu – przekazało Security Magazine Quizme.pl.
- Zakładając dobre intencje serwisu CyberNews.com, nie mamy dowodów, żeby ktoś inny tę lukę wykorzystał. Niemniej informujemy użytkowników o podejrzanej możliwości nieautoryzowanego dostępu do bazy danych i prosimy o zmianę hasła w serwisie oraz w innych serwisach, w których używają tego samego hasła lub adresu e-mail – dodał serwis.
Dalej w oświadczeniu przesłanym do naszej redakcji, Quizme.pl przekazuje, że nie dostali oni żadnego zgłoszenia, że czyjeś konto w serwisie zostało "przejęte". — Zdecydowana większość użytkowników korzysta z serwisu bez zakładania w nim konta lub logowania się. Nawet mając dostęp do bazy danych, możliwość powiązania użytkownika z odpowiedziami w quizie jest możliwa w <1% przypadków – uważa Quizme.pl. — Dołożymy starań, żeby podobna sytuacja nigdy się już nie powtórzyła – dodaje.
