Imgur potwierdza wyciek haseł około 1,7 mln użytkowników

W oficjalnym komunikacie nie została podana przyczyna wycieku. Wiemy jedynie, że doszło do niego w 2014 roku. Imgur nie wymaga do zarejestrowania konta innych danych niż adresu pocztowego – nie wyciekły zatem tak wrażliwe informacje jak choćby adresy czy numery telefonów. Sprawy jednak nie należy bagatelizować, gdyż przed trzema laty wyciekły także hasła do logowania w serwisie.

On November 23, we were notified about a data breach on Imgur that occurred in 2014. While we are still actively investigating the intrusion, we wanted to inform you as quickly as possible as to what we know and what we are doing in response. More: https://t.co/qElAetGVIc

— Imgur (@imgur) 25 listopada 2017Hasła były chronione funkcją SHA-256, który dziś jednak nie może stanowić należytej ochrony i może zostać bez większego trudu złamana atakiem brute force. Dziś Imgur korzysta z funkcji skrótu bcrypt, co nie zmienia faktu, że wyciek może posłużyć do ataku na konta użytkowników, którzy stosowali hasła z Imgur w innych serwisach i usługach.

Właściciele objętych wyciekiem kont mieli zostać o tym poinformowani i poproszenie drogą mailową o reset hasła. Problem w tym, że sama administracja przyznaje w komunikacie, że podana liczba 1,7 mln kont jest orientacyjna, trwa w tej sprawie wewnętrzne śledztwo.

Ze względu na możliwość złamania SHA-256 zalecamy wszystkim, którzy do dziś korzystają z podanych na Imgur najpóźniej w 2014 roku haseł, bezzwłoczny ich reset i ustanowienie nowych.