000Webhost zhackowany: wyciekły dane i hasła ponad 13 milionów klientów

Firma ta jest szeroka znana ze względu na swoją ofertę hostingową. Oprócz płatnego planu „nielimitowanego” oferuje także zupełnie darmowy pakiet, który jest oczywiście pod pewnymi względami ograniczony. 000Webhost znalazł chętnych w wielu krajach, tym bardziej że twórcy zdecydowali się na dopasowanie swojej strony do wielu wersji językowych, a procedura rejestracji jest bardzo prosta. Niestety ten, kto założył w niej konto i wykorzystał to samo hasło, jakiego używa w innych serwisach, powinien natychmiast je zmienić – włamanie, do jakiego doszło pokazało, że hosting zapomniał o fundamentalnych kwestiach bezpieczeństwa.

O sprawie doniósł Forbes, z którym skontaktował się Troy Hunt, specjalista od zabezpieczeń, do którego rąk trafiła wyciekła baza. Wykradzione dane obejmują loginy, nazwiska, adresy email i IP około 13,5 miliona klientów 000Webhost. Co jednak najgorsze, znajdują się tam także hasła, zapisane czystym tekstem, a więc niewymagające żadnych zabiegów ze strony atakujących do ich natychmiastowego wykorzystania. Jeżeli weźmiemy pod uwagę to, że niektóre osoby korzystają z jednego i takiego samego hasła do wielu usług internetowych, cyberprzestępcy mogą z łatwością przejąć ich skrzynki pocztowe, a następnie inne konta. Badania bazy potwierdziły, że zawiera one autentyczne dane klientów.

Próby kontaktu z firmą początkowo spełzły na niczym. Zamiast tego 000Webhost wymusiło reset haseł wszystkich kont, choć zarazem nie poinformowało o sprawie publicznie. Próba zgłaszania problemów na łamach oficjalnej strony na Facebooku kończyła się natomiast usuwaniem wpisów. Dopiero wczoraj zamieszczono oświadczenie, w którym twórcy usługi przyznali, że doszło do włamania: atakujący wykorzystał exploit i podatności w starej wersji PHP, przez co uzyskał dostęp do systemu. Udało mu się przechwycić całą bazę klientów. Obecnie 000Webhost pracuje nad usunięciem pozostałości ataku, a także zabezpieczeniem danych: komunikat informuje o wprowadzeniu szyfrowania. Cóż to takiego? Tego nie wiadomo, pewnym jest natomiast, że w bazie od początku powinny znajdować się nie prawdziwe hasła, lecz i hashe wygenerowane z odpowiednich funkcji skrótu. Niestety, ktoś o tym zapomniał.

Według doniesień przedstawionych przez Forbes baza klientów krąży już w Sieci i jest do kupienia za około 2000 dolarów. Oprócz tego dopatrzono się kolejnych podatności jak np. fakt wykorzystania do pomocy technicznej starej i niezaktualizowanej wersji silnika vBulletin jeszcze z 2009 roku. Hosting nie zabezpiecza także połączenia podczas zakładania konta, co umożliwia podsłuchiwanie transmisji. W tym miejscu zwykłe przeprosiny to za mało. Dostawca usługi kompletnie zapomniał o podstawowych, fundamentalnych zasadach bezpieczeństwa i to musiało zakończyć się katastrofą – była to jedynie kwestia czasu.

Osoby posiadające konta w 000Webhost mogą sprawdzić, czy ich dane wyciekły do Internetu. Troy Hunt udostępnia specjalną stronę, na której możemy sprawdzić, czy nas login lub adres pocztowy znajduje się w jakiejś z wyciekłych baz. Ten atak pokazuje natomiast, aby zawsze stosowań inne hasła, nawet jeżeli mamy do czynienia z usługą, z której od dawna nie korzystamy. Stosowanie jednego, uniwersalnego hasła do wielu kont internetowych jest najgorszym, co możemy zrobić i przyniesie nam jedynie sporo zmartwień.