Zmieńcie hasła - olbrzymi wyciek prywatnych danych z 5 mln stron korzystających z Cloudflare

Z usług Cloudflare korzysta przeszło 5 milionów serwisów internetowych, włączając w to takich gigantów jak Uber i 4Chan, portal randkowy OKCupid, a także sporą część portali związanych z kryptowalutami oraz liczne polskie serwisy. Użytkownicy wszystkich tych stron są zagrożeni – ich dane mogły przez przypadek trafić do sieci.

W skrócie: we wrześniu 2016 roku Cloudlare wprowadził zmiany w części usług serwerowych. Nie wszystko poszło zgodnie z planem i błędy ujawnienia pamięci zamiast być likwidowane – pozostawały, a to prowadziło do wycieków (w gruncie rzeczy błąd polegał na użyciu „==” zamiast „>=”). Najgorsze zaś, że informacje te były indeksowane w wyszukiwarkach Google, Yahoo i Bing. Tutaj szczegóły.

Między innymi klucze szyfrujące i API, ciasteczka, hasła i adresy IP użytkowników, tokeny OAuth, a nawet prywatne konwersacje i zdjęcia. Każdy odwiedzający strony powiązane z Cloudflare miał do nich dostęp, ale raczej tego nie zauważał. Dopatrzył się ich Travis Ormandy z Google Project Zero – grupy czuwającej nad bezpieczeństwem w sieci. Poinformował on Cloudflare o sprawie i firma, wraz z Google, rozpoczęła proces oczyszczania wyszukiwarki ze zindeksowanych stron zawierających poufne informacje.

Choć wyszukiwarki są czyszczone, wcale nie oznacza to, że już jesteśmy bezpieczni. Jeśli macie konto na którejś ze stron współpracujących z Cloudflare, koniecznie zmieńcie hasło.

Pełna lista stron, których użytkownicy są zagrożeni

Otrzymaliśmy informację, że użytkownicy następujących serwisów na pewno są bezpieczni: kwejk.pl, goldenline.pl, 1password.com, fastmail.com, namecheap.com.

Z tym wydarzeniem powiązana może być również dziwna sytuacja, której doświadczyła spora część użytkowników usług Google wczoraj wieczorem lub dzisiaj rano. Doszło mianowicie do automatycznego wylogowania i konieczności zalogowania się ponownie.

W pierwszym odruchu można było obawiać się, że ktoś wkradł się na nasze konto i zmienił hasło. Pomyślne zalogowanie się pozwoliło jednak odetchnąć z ulgą. Firma Google również wyjaśnia, że nie należy się tym przejmować, a konta są bezpieczne.

Źródło: Ars Technica, Cloudflare. Foto: Acid the meme machine/Wikimedia