Wyciekła lista haszy haseł - prosimy o zmianę hasła

Nie przechowujemy w bazie odkrytych/jawnych haseł. Wszystkie hasła są szyfrowane. I właśnie taka wersja haseł wyciekła - zaszyfrowana. To nie powód do paniki, jednak proste hasła można dziś odszyfrować bardzo szybko.

Zawsze lepiej dmuchać na zimne, dlatego prosimy Was o zmianę hasła do logowania w serwisie (zwłaszcza jeśli było proste). Jeżeli używaliście tego samego hasła co na benchmark.pl, również w innym miejscu - zmieńcie hasło i tam. 

Dobre hasło powinno zawierać w miarę losowe znaki. Najczęstszą próbą odszyfrowania hasła jest tzw metoda słownikowa. Algorytm deszyfrujący przeszukuje słownik. Dlatego Hasła typu Adam25, qwerty czy 123 nie są bezpieczne. Postarajmy się aby nasze hasło składało się z co najmniej 8 znaków, zawierało małe i wielkie litery, cyfry, oraz chociaż jeden znak specjalny. Unikajmy haseł składający się z naszych nicków, numerów telefonów oraz innych słów, które możemy znaleźć w słowniku, lub łączenia tych słów ze sobą.

• minimum 8 znaków
• małe i wielki litery w niekonwencjonalnych miejscach
• wplecione znaki specjalne
• przeplataj litery dowolnego wyrazu z cyframi

O możliwym wycieku poinformował nas wczoraj wieczorem Adam Haertle z serwisu ZaufanaTrzeciaStrona.pl. 

W sieci w lipcu pojawiła się lista haszy haseł użytkowników - liczba użytkowników to ok. 184 tysiące, część haszy to MD5, część to bcrypt

Niezwłocznie podjęliśmy działania w celu wyjaśniania tej sprawy. Jednocześnie poprosiliśmy Adama o odpowiedzi na kilka pytań, które na pewno nurtują teraz naszych czytelników.

Ujawnienie samych skrótów haseł nie stanowi żadnego zagrożenia, ponieważ nie są one powiązane z kontami użytkowników. Należy jednak założyć, że w rękach atakującego znalazły się szersze dane, w tym adresy email użytkowników, powiązane ze skrótami haseł. Istnieje zatem ryzyko, że na podstawie tych danych napastnicy podejmą próby użycia par email + hasło do prób logowania zarówno na konta pocztowe użytkowników, jak i do innych serwisów internetowych. Jeśli zatem gdziekolwiek używaliście tej samej pary email + hasło, co w benchmark.pl, warto te hasła zmienić na unikatowe. Szczególnie dotyczy to serwisów przechowujących poufne dane (np. poczta, serwisy społecznościowe, hostingi plików) jak i serwisów powiązanych z automatycznymi metodami płatności (aukcyjne, filmowe, usługi transportowe, gry online itp.)

Zarówno MD5 jak i bcrypt są sposobami przechowywania haseł. bcryp to dużo nowsza i bezpieczniejsza metoda - skróty haseł przechowywane w tej postaci są o kilka rzędów wielkości trudniejsze do odgadnięcia przez włamywaczy niż w przypadku MD5. Oznacza to, że jeśli hasło składające się z 8 losowych liter, zapisane w MD5, włamywacz może zgadnąć w ciągu doby, to zgadnięcie takiego samego silnego hasła zapisanego w bcrypt zajmie mu setki lat.

Najprostszym sposobem utrudnienia życia złodziejom danych jest używanie unikatowych haseł. Oznacza to, że nigdy nie używamy tego samego hasła w żadnym innym serwisie niż ten, gdzie je już raz podaliśmy. Posiadanie dziesiątek, a nawet setek haseł wymaga zarządzania nimi - w tym celu warto używać dedykowanego programu, czyli menedżera haseł. To program, który zapamięta hasła za nas i pomoże nam przy ich wpisywaniu.

W 2018 roku dla kont użytkowników wprowadziliśmy hasze bcrypt, dlatego jeśli w tym okresie zakładałeś swoje konto lub zmieniałeś hasło, Twoje hasło i konto powinno być bezpiecznie (jeśli nie jest za proste hasło). 

Do wycieku mogło dojść w jednym z dwóch największych serwisów należących do benchmark. Są to: serwis główny dostępny pod adresem www.benchmark.pl, lub forum dostępnego pod adresem forum.benchmark.pl. Na ten moment jest za wcześnie aby móc stwierdzić gdzie dokładnie nastąpił atak. Przed nami długie noce z oczami skierowanymi na logi systemowe, które zapewne skrywają odpowiedź na pytanie - jak w ogóle doszło do wycieku tych danych. Od początku czerwca obserwowaliśmy wzmożony ruch botów, których lokalizacja wskazywała na wschodnią część Azji. Zadaniem takich botów jest przeszukiwanie serwisów internetowych pod kątem podatności na różnego typu ataki. Jak już się dowiedzieliśmy, co najmniej jeden z tych ataków, których byliśmy celem, okazał się skuteczny.

Przede wszystkim zaczniemy od przeczesania wszelkich logów systemowych, jakie tylko mamy dostępne. To pozwoli ustalić nam jakie serwisy, oraz w które miejsca tych serwisów celowali napastnicy aby uzyskać dostęp do bazy danych, a przede wszystkim, logi wskażą nam miejsce gdzie atak okazał się skuteczny. Po ustaleniu lokalizacji podatnej na ataki części serwisu, natychmiast wykonamy audyt bezpieczeństwa tej części systemu i wyeliminujemy znalezione podatności. Prewencyjnie zlecimy również audyt bezpieczeństwa firmie zewnętrznej, aby mieć pewność, że nasze działania przyniosły oczekiwany rezultat. Jako środek zapobiegawczy bierzemy również pod uwagę zablokowanie ruchu z niektórych lokalizacji, przede wszystkim z Azji Wschodniej i Środkowej.

Miłośnicy włamywania się do baz i łamania haszy testują swoje umiejętności i metody zgadywania. Mając na uwadze, że benchmark.pl nie przechowuje wrażliwych danych celem ataku nie były dane użytkowników. Jak twierdzą specjaliści, takie wycieki często zwiększają świadomość i bezpieczeństwo w sieci. 

Wyznaczony w naszej firmie Inspektor Ochrony danych Osobowych, w godzinę po otrzymaniu wiadomości o wycieku, rozpoczął procedury umożliwiające stwierdzenie i ocenę tego incydentu. 

Regulamin obliguje go do dokonania rzeczowej analizy w celu stwierdzenia czy doszło do naruszenia ochrony danych osobowych, w rozumieniu art. 4 pkt 12 RODO. Według Grupy Roboczej Art. 29 w Wytycznych dotyczących zgłaszania naruszeń (WP 250 rev. 01) administrator „stwierdza” naruszenie, kiedy ma on wystarczający stopień pewności co do tego, że miało miejsce zdarzenie zagrażające bezpieczeństwu, które doprowadziło do naruszenia ochrony danych.

Konsekwencją stwierdzenia naruszenia jest konieczność przeprowadzenia analizy pod kątem ryzyka naruszenia praw lub wolności osób, których dane dotyczą. Analiza ta pozwala stwierdzić, czy należy wypełnić obowiązek z art. 33 ust. 1 RODO (tj. zgłosić naruszenie organowi nadzorczemu) oraz art. 34 ust. 1 RODO (tj. zawiadomić osoby, których dane dotyczą o naruszeniu).

Według wiedzy jaką dysponujemy na tę chwilę, nie doszło też do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania naszej bazy z danymi użytkowników. Jednocześnie podejmujemy działania mające na celu przeciwdziałanie skutkom tego incydentu i naruszeniom w przyszłości.

Przepraszamy naszych czytelników za zaistniały problem.

• e-mail
• nick
• imię i nazwisko (opcjonalnie)
• data urodzenia (opcjonalnie)

• numer telefonu
• adres

Zadne z tych danych, jakie przetrzymujemy nie są uznawane przez UODO za dane wrażliwe. Tak, są to dane osobowe - głównie wtedy jeśli ktoś poda nazwisko lub ma imię i nazwisko w adresie email, ale takie dane nie stanowią wysokiego ryzyka.