Sony Pictures Online gehackt met behulp van "primitieve en algemene" kwetsbaarheid, gegevens niet versleuteld [Nieuws]

Advertentie

Donderdagavond maakte hackergroep "LulzSec" via Twitter bekend dat ze toegang hadden gekregen tot SonyPictures.com en meer dan 1 miljoen accounts, wachtwoorden en gevoelige gebruikersinformatie hadden gestolen. Kort nadat het nieuws bekend werd, doken er kopieën van de gecompromitteerde gegevens op op websites voor het delen van bestanden (zoals MediaFire, waar het werd verwijderd) en op BitTorrent-trackers, waaronder The Pirate Bay.

De groep liet een bericht achter op PasteBin waarin de volledige omvang van de inbraak werd onthuld, waaronder duizenden combinaties van e-mail en wachtwoord, persoonlijke informatie (inclusief namen, adressen, geboortedata en telefoonnummers), bijna 3,5 miljoen "muziekcoupons" en meer dan 60.000 "muziekbonnen" codes". De groep kondigde ook aan dat de beveiliging van Sony werd overwonnen door een eenvoudige SQL-injectie-aanval.

In een verklaring, zei de groep: “SonyPictures.com was eigendom van een zeer eenvoudige SQL-injectie, een van de meest primitieve en meest voorkomende kwetsbaarheden, zoals we inmiddels allemaal zouden moeten weten. Met een enkele injectie hadden we toegang tot ALLES. Waarom heb je zoveel vertrouwen in een bedrijf dat zich openstelt voor deze simpele aanvallen?

”

De groep verklaarde ook: “Elk stukje gegevens dat we hebben verzameld, was niet versleuteld. Sony heeft meer dan 1.000.000 wachtwoorden van zijn klanten in platte tekst opgeslagen, wat betekent dat het gewoon een kwestie van nemen is. Dit is schandelijk en onzeker: ze vroegen erom.”

De groep heeft veel van de geplunderde gegevens vrijgegeven, hoewel deze slechts een kleine hoeveelheid van de gecompromitteerde gegevens bevatten. Er zijn ook volledige databases online geplaatst, samen met een tekstdocument voor de databaselay-out om de extractie van gegevens te vergemakkelijken. De database bevat e-mail- en wachtwoordcombinaties van zowel het leger als de overheid, en ook beheerdersaccounts voor Sony Pictures Online.

Het volgende fragment is overgenomen uit het document "FILE CONTENTS.txt" dat bij de beperkte release van LulzSec hoort:

Inhoud van onze buit:
## Sony_Pictures_International_AUTOTRADER_USERS.txt ##– In dit bestand vind je iets minder dan 12.500 klanten van Sony; dit omvat geboortedata, adressen, e-mails, volledige namen, wachtwoorden, gebruikers-ID's en persoonlijke telefoonnummers.
## Sony_Pictures_International_BEAUTY_USERS.txt ##– In dit bestand vind je iets minder dan 21.000 klanten van Sony; dit is een simpele e-mail/wachtwoord drop. Geniet van het stelen van uw account.
## Sony_Pictures_International_COUPONS.txt ##– In dit bestand vindt u iets minder dan 20.000 Sony-muziekcoupons; houd er rekening mee dat er 3,5 miljoen kortingsbonnen zijn om te nemen - haal ze.
## Sony_Pictures_International_DELBOCA_USERS.txt ##– In dit bestand vind je iets minder dan 18.000 klanten van Sony; dit is een simpele e-mail/wachtwoord drop. Nogmaals, geniet van je stelen.
## Sony_Pictures_International_MUSIC_CODES.txt ##– In dit bestand vind je iets minder dan 67.000 Sony-muziekcodes; het zijn net magneten, we hebben gewoon geen idee hoe ze werken.
## Sony_Pictures_International_TABLE_LAYOUT.txt ##– In dit bestand vind je de layout van de database; dat betekent dat je gemakkelijk kunt zien waar je dingen kunt stelen.
Merk op dat de database veel meer gebruikersinformatie/coupons bevat dan we hebben gebruikt. Het punt is dat we ze onder controle hadden; allemaal. We laten de rest aan jou over - steel zoveel als je wilt, ga ervoor!
EXTRA EIGENDOM:
## Sony_BMG_Music_Entertainment_NETHERLANDS ##– Dit bestand bevat de gebruikersdatabase van BMG Nederland; het zijn ongeveer 600 gebruikersnamen, e-mails en wachtwoorden. Genieten van.
## Sony_BMG_Music_Entertainment_BELGIUM ##– Dit bestand bevat de Sony admin database van BMG Belgium; ook veel streepjescodes, releasedatums en andere sappige shit.

De groep was ook verantwoordelijk voor verschillende andere recente beveiligingsinbreuken, waaronder de defacement van de website van de Public Broadcasting Service (PBS) en Sony Music uit Japan. Sony heeft de claims erkend en zou het onderzoeken.

Bron: LulzSecurity.com / @LulzSec
Denk je dat je beter zou kunnen beveiligen? Boos op Sony voor het niet beschermen van uw informatie? Boos op de hackers omdat ze het überhaupt hebben gestolen? Laat wat stoom ontsnappen in de reacties hieronder!