Sony Pictures Online mit "primitiver und allgemeiner" Sicherheitslücke gehackt, Daten unverschlüsselt [News]

Werbung

Am Donnerstagabend gab die Hackergruppe „LulzSec“ via Twitter bekannt, dass sie sich Zugang zu SonyPictures.com verschafft und über 1 Million Accounts, Passwörter und sensible Nutzerinformationen gestohlen hat. Kurz nachdem die Nachricht bekannt wurde, tauchten Kopien der kompromittierten Daten auf Filesharing-Websites (wie MediaFire, wo sie entfernt wurden) und BitTorrent-Trackern wie The Pirate Bay auf.

Die Gruppe hinterließ eine Nachricht auf PasteBin, die das volle Ausmaß des Eindringens enthüllte, das Tausende von E-Mail- und Passwortkombinationen umfasst. persönliche Informationen (einschließlich Namen, Adressen, Geburtsdaten und Telefonnummern), fast 3,5 Millionen „Musikgutscheine“ und über 60.000 „Musik“ Codes“. Der Konzern gab außerdem bekannt, dass die Sicherheit von Sony durch einen einfachen SQL-Injection-Angriff überwunden wurde.

In ein Statement, sagte die Gruppe: „SonyPictures.com gehörte einer sehr einfachen SQL-Injection, einer der primitivsten und häufigsten Schwachstellen, wie wir alle inzwischen wissen sollten. Mit einer einzigen Injektion haben wir auf ALLES zugegriffen. Warum setzen Sie so viel Vertrauen in ein Unternehmen, das sich diesen einfachen Angriffen öffnet?

”

Die Gruppe erklärte auch: „Jedes Datenbit, das wir nahmen, war nicht verschlüsselt. Sony hat über 1.000.000 Passwörter seiner Kunden im Klartext gespeichert, was bedeutet, dass es nur darum geht, es zu nehmen. Das ist schändlich und unsicher: Sie haben danach gefragt.“

Die Gruppe hat einen Großteil der geplünderten Daten veröffentlicht, obwohl diese nur einen kleinen Teil der kompromittierten Daten enthalten. Vollständige Datenbanken wurden ebenfalls online gestellt, zusammen mit einem Datenbank-Layout-Textdokument, um die Extraktion von Daten zu erleichtern. Die Datenbank enthält E-Mail- und Passwortkombinationen für Militär und Regierung sowie Administratorkonten für Sony Pictures Online.

Der folgende Auszug wurde dem Dokument „FILE CONTENTS.txt“ entnommen, das der limitierten Version von LulzSec beiliegt:

Inhalt unserer Beute:
## Sony_Pictures_International_AUTOTRADER_USERS.txt ##– In dieser Datei finden Sie knapp 12.500 Kunden von Sony; dazu gehören Geburtsdaten, Adressen, E-Mails, vollständige Namen, Passwörter, Benutzer-IDs und persönliche Telefonnummern.
## Sony_Pictures_International_BEAUTY_USERS.txt ##– In dieser Datei finden Sie knapp 21.000 Kunden von Sony; Dies ist ein einfacher E-Mail-/Passwort-Drop. Viel Spaß beim Diebstahl Ihres Kontos.
## Sony_Pictures_International_COUPONS.txt ##– In dieser Datei finden Sie knapp 20.000 Sony-Musikgutscheine; Bitte beachten Sie, dass es 3,5 Millionen Coupons zu nehmen gibt – holen Sie sie sich.
## Sony_Pictures_International_DELBOCA_USERS.txt ##– In dieser Datei finden Sie knapp 18.000 Kunden von Sony; Dies ist ein einfacher E-Mail-/Passwort-Drop. Nochmals viel Spaß beim Stehlen.
## Sony_Pictures_International_MUSIC_CODES.txt ##– In dieser Datei finden Sie knapp 67.000 Musikcodes von Sony; Sie sind wie Magnete, wir haben einfach keine Ahnung, wie sie funktionieren.
## Sony_Pictures_International_TABLE_LAYOUT.txt ##– In dieser Datei finden Sie das Layout der Datenbank; Das bedeutet, dass Sie leicht sehen können, wo Sie Dinge stehlen können.
Beachten Sie, dass die Datenbank weit mehr Benutzerinformationen/Gutscheine enthält als wir aufgenommen haben. Der Punkt ist, dass wir die Kontrolle über sie hatten; alle von ihnen. Den Rest überlassen wir Ihnen – stehlen Sie so viel Sie wollen, gehen Sie los!
ZUSÄTZLICHES EIGENTUM:
## Sony_BMG_Music_Entertainment_NETHERLANDS ##– Diese Datei enthält die Benutzerdatenbank von BMG Niederlande; es sind rund 600 Benutzernamen, E-Mails und Passwörter. Genießen.
## Sony_BMG_Music_Entertainment_BELGIUM ##– Diese Datei enthält die Sony Admin-Datenbank von BMG Belgien; auch jede Menge Barcodes, Veröffentlichungsdaten und andere saftige Scheiße.

Die Gruppe war auch für mehrere andere Sicherheitsverletzungen der letzten Zeit verantwortlich, darunter die Verunstaltung der Website des Public Broadcasting Service (PBS) und von Sony Music of Japan. Sony hat die Behauptungen bestätigt und soll Ermittlungen aufnehmen.

Quelle: LulzSecurity.com / @LulzSec
Denken Sie, Sie könnten einen besseren Job bei der Sicherheit machen? Sind Sie wütend auf Sony, weil Sie Ihre Daten nicht schützen? Wütend auf die Hacker, weil sie es überhaupt gestohlen haben? Lass etwas Dampf in den Kommentaren unten ab!