Najważniejsze informacje o ataku na platformę Roku
- Firma Roku doświadczyła incydentu bezpieczeństwa, który dotknął ponad 15 tysięcy użytkowników. Przyczyną były ataki wykorzystujące technikę upychania danych uwierzytelniających.
- Osoby, które otrzymały powiadomienie o konieczności zresetowania hasła do serwisu Roku, powinny przeanalizować zabezpieczenia innych swoich kont, szczególnie tych, które korzystają z identycznych danych logowania.
- Konieczne jest odnalezienie i zabezpieczenie wszystkich kont powiązanych z naruszonymi danymi, by uchronić swoje wrażliwe informacje.
Czy otrzymałeś ostatnio od Roku wiadomość e-mail z prośbą o zmianę hasła? Jeśli tak, warto sprawdzić także bezpieczeństwo innych kont w sieci.
W marcu 2024 roku Roku, znana platforma streamingowa i producent telewizorów smart, poinformowała o włamaniu na ponad 15 tysięcy kont. Do ataku doszło w wyniku wykorzystania techniki upychania danych uwierzytelniających. Oznacza to, że każde konto, do którego logowałeś się za pomocą tego samego hasła, jest potencjalnie zagrożone.
Jak doszło do ataku na Roku?
Oficjalne ogłoszenie Roku dotyczące naruszenia bezpieczeństwa danych [PDF] informuje o podejrzanej aktywności na ponad 15 000 kontach użytkowników.
Mimo że Roku padło ofiarą ataku, nie ponosi za niego pełnej odpowiedzialności. Wygląda na to, że wszystkie konta zostały naruszone poprzez wykorzystanie metody upychania danych uwierzytelniających.
Zgodnie z wynikami dochodzenia, nieuprawnione osoby zdobyły dostęp do nazw użytkowników i haseł konsumentów z zewnętrznych źródeł, takich jak wycieki danych z usług firm trzecich. Przypuszcza się, że te same kombinacje nazw użytkownika i haseł były używane zarówno w tych zewnętrznych serwisach, jak i do logowania na niektórych kontach Roku.
Upychanie danych uwierzytelniających, czyli wielokrotne wykorzystywanie tej samej nazwy użytkownika i hasła w różnych serwisach, jest poważnym błędem i dużym problemem w dobie częstych wycieków danych.
W tym konkretnym przypadku, osoby atakujące wykorzystały te informacje do dokonywania zakupów, korzystając z danych bankowych zapisanych na platformie Roku. Co istotne, Roku nie ujawniło numerów PESEL, pełnych informacji o kartach płatniczych (ponieważ wszystkie transakcje dotyczyły serwisu Roku) ani innych danych umożliwiających identyfikację użytkowników.
Otrzymałeś e-mail z prośbą o zresetowanie hasła Roku? Sprawdź także inne swoje konta.
Używanie tych samych kombinacji nazw użytkownika i haseł w wielu serwisach jest bardzo niebezpieczne. Jeśli więc po ataku otrzymałeś od Roku wiadomość z prośbą o zresetowanie hasła, powinieneś koniecznie zweryfikować zabezpieczenia innych swoich kont.
Każde konto, które wykorzystuje tę samą nazwę użytkownika i hasło, jest narażone na niebezpieczeństwo, nawet jeśli nie używasz słabych haseł. (Nigdy nie powinieneś stosować łatwych do odgadnięcia haseł!).
Jak sprawdzić, czy twoja nazwa użytkownika i hasło zostały naruszone?
Istnieje kilka sposobów na sprawdzenie, czy twoja kombinacja adresu e-mail i hasła nie została ujawniona w wyniku wycieku danych.
Pierwszym krokiem jest skorzystanie ze strony HaveIBeenPwned, stworzonej przez Troya Hunta. To bezpłatne i bardzo przydatne narzędzie umożliwia sprawdzenie, czy adres e-mail pojawił się w jakimkolwiek ujawnionym wycieku danych. Wystarczy wpisać swój adres e-mail i kliknąć „pwned?”. Wynikiem będzie lista naruszeń bezpieczeństwa, w których pojawił się twój adres.
To dobry punkt startowy, ale nie ujawnia on nazw użytkowników, nazw kont, haseł itp. (z ważnych powodów!). Aby dowiedzieć się, gdzie użyłeś konkretnej kombinacji nazwy użytkownika i hasła, musisz przeszukać swoje dane ręcznie. Omówiliśmy już szczegółowo, jak znaleźć konta połączone z adresem e-mail, ale oto krótkie podsumowanie metod, które możesz wykorzystać:
- Bezpłatne wyszukiwanie kont powiązanych z pocztą e-mail: serwisy pocztowe takie jak Gmail i Outlook często śledzą połączone konta i można tam znaleźć informacje.
- Wyszukiwanie logowań przez media społecznościowe (Facebook i Twitter): przeanalizuj aplikacje i strony internetowe, do których logowałeś się za pomocą kont w mediach społecznościowych.
- Wyszukaj w swojej skrzynce wiadomości weryfikacyjne konta: przeszukaj swoją pocztę w poszukiwaniu e-maili potwierdzających rejestrację.
- Skorzystaj z narzędzi do usuwania kont firm trzecich: te programy pomogą w odnalezieniu i usunięciu twoich kont.
- Wyszukaj wszystkie konta online w Namechk: to narzędzie skanuje strony internetowe w poszukiwaniu dostępnych nazw użytkownika. Jeśli twoja nazwa jest zajęta, prawdopodobnie masz tam konto.
- Sprawdź zapisane konta w przeglądarce: choć nie jest to najbezpieczniejsza metoda przechowywania haseł, dla wielu osób jest to wygodne rozwiązanie.
- Użyj menedżera haseł: menedżer haseł powinien generować silne i unikalne hasła, ale mogłeś zapomnieć i użyć kilka razy tego samego hasła.
Gdy odnajdziesz swoje stare konta, zmień hasło na silne i unikalne. To zabezpieczy twoje konta nie tylko przed atakami opartymi na upychaniu danych uwierzytelniających, ale także przed innymi typami ataków, jak wyłudzenia haseł i inne oszustwa.
Poświęć więc chwilę na sprawdzenie swojej skrzynki odbiorczej, czy nie ma w niej wiadomości dotyczącej resetowania hasła do Roku. Jeśli ją znajdziesz, koniecznie podejmij działania, by zabezpieczyć swoje dane!