Vazamento de senhas na Forbes

O Exército Eletrônico sírio (SEA, por sua sigla em Inglês) voltou para a briga com outro golpe. Desta vez, o ataque teve como objetivo os registros das contas de mais de um milhão de leitores e colaboradores da Forbes, a prestigiosa revista americana especializada em economia e negócios.

Um total de 1.071.963 pessoas foram afetadas quando o banco de dados que tinha os endereços de coreio eletrônico e as senhas de todos os usuários foi exposta publicamente e compartilhada de maneira online pelos cibercriminosos. Além disso, três artigos de Forbes foram esmagados e o blog da companhia foi derrubado também. Mas, como foi que o SEA batiu a poderosa infraestrutura do Forbes?

Acredita-se que o Forbes mantinha informação dos usuários num formato portável PHP. Essencialmente, isso significa que cada senha e utilizada para parar aos atacantes e que foram executadas a partir de um algoritmo MD5. Este algoritmo tem uma popular função “hash”, que geralmente é usada para verificar a legitimidade dos dados. Soube-se que o Forbes correu 8.192 duplicações no hash MD5 e depois e logo armazenava os resultados no seu banco de dados.

A SEA tomou essa informação armazenada e começou um perverso jogo de adivinhação. Os criminosos testavan a diário senhas aleatórias como “ABCD”, gerando um hash que logo foi encaminhado ao banco de dados de Forbes. Quando a chave foi encontrada, as senhas ficaram expostas.

Embora as senhas têm uma criptografia unidirecional, a Forbes pediu aos leitores para mudar sua informação de login:

O endereço de correio de cada um dos usuários registrados no Forbes.com foi exposto. Por favor tome cuidado de aqueles correios que pareçam vir de Forbes, porque podem estar sendo usados para ataques phishing. Nós já notificamos as forcas de segurança. Levamos a situação com muita seriedade e pedimos desculpas aos membros de nossa comunidade pelo inconveniente.

O principal problema aqui é que a maioria das pessoas tendem a usar o mesmo nome de usuário e mesma senha para todas as suas contas. Portanto, qualquer leitor da Forbes cuja informação foi exposta publicamente –e que utiliza esses mesmos dados para as suas outras contas- está agora em risco de um ataque em todas as plataformas.

É por causa disso que nós sempre tentamos lhe alertar deste tipo de situações. Se você utiliza os dados para todas suas contas e uma delas é atacada, o resto também vai ficar em risco e os cibercrimonosos estão bem cientes disso.  É muito importante que você use um gerenciador de senhas como password manager, que lhe permite armazenar senhas de alta complexidade para cada uma de suas contas online, para ter certeza que, se uma delas a comprometida, a informação que armazena nas outras vai ficar segura.

 Tradução: Berenice Taboada Díaz