Żadnego wycieku z MEGA nie było, co nie znaczy, że należy czuć się bezpiecznie
MEGA to być może najlepszy w tej chwili cyberschowek dostępny za darmo. Założona na początku 2013 roku przez Kima Dotcoma usługa od dawna nie jest już co prawda w jego rękach, niemniej wciąż udostępnia swoje źródła, a także oferuje 50 GB za darmo, szyfrowanie end-to-end i fizycznie rozproszoną infrastukturę. W styczniu ogłoszono, że przekonało to już 100 mln użytkowników.
MEGA nie jest jest jednak idealne. Rysę na monolicie może dla części użytkowników stanowić brak dwuetapowej weryfikacji tożsamości. Trudno im się nie dziwić – wszak MEGA ma naprawdę dopracowane klienty w zasadzie na każdym systemie operacyjnym i zaprzęgnięcie ich do dostarczania drugiego potwierdzenia tożsamości nie powinno być skomplikowane technicznie. Być może do pośpiechu zachęci programistów artykuł opublikowany dziś na przez Zacka Whittakera na łamach ZDNet.
Whittaker dobrze zdaje sobie sprawę, że w związku z wysokim poziomem bezpieczeństwa i rozproszoną architekturą serwerową, użytkownicy mogą w swoich schowkach MEGA trzymać rzeczy wrażliwe. To zapewne dlatego stwierdził w tytule swojej publikacji, że ponad 15 tys. loginów i haseł użytkowników „wyciekło” właśnie z usługi założonej przez Dotcoma. Sytuacja jest jednak zgoła inna: o ile twierdzenie, że dane 15 tys. użytkowników MEGA wyciekły jest prawdziwe, tak dopowiedzenie, że wyciekły z MEGA – już nie. Na trop listy trafił pierwotnie Patrick Wardle z Digita Security. Zauważył on, że kilka miesięcy temu jeden z internautów przeskanował listę loginów i haseł do MEGA VirusTotalem. Swoją drogą, warto zwrócić tu uwagę na poziom „prywatności” oferowanej przez ten przeglądarkowy skaner antywirusowy.
Wardle przekazał informację redakcji ZDNet, ta zaś zwróciła się do Troya Hunta, administratora serwisu Have I Been Pwned. Można tam sprawdzić, czy dany login lub hasło zostały upublicznione w jednym z dziesiątek wycieków, jakie zdarzają się każdego roku. Hunt porównał listę z bazą i stwierdził, że 98% e-maili z listy Wietnamczyka było już wcześniej online. Skłaniał się on do twierdzenia, że żadnego wycieku z MEGA nie było. Po prostu ktoś zebrał dane potencjalnych użytkowników i próbował wykorzystać je w innym koncie, tym przypadku szczególnie wrażliwym MEGA.
Administracja MEGA również została powiadomiona o sprawie i zapowiedziała, że dwuetapowe weryfikacja tożsamości zostanie wprowadzona „wkrótce”. Tymczasem zalecamy zmianę loginu i hasła oraz stosowanie różnych danych logowania do różnych kont. Najnowsze klienty MEGA znajdziecie w naszej bazie oprogramowania.