Sony Pictures Online Diretas Menggunakan Kerentanan "Primitif dan Umum", Data Tidak Dienkripsi [Berita]

Iklan

Pada Kamis malam, kelompok peretas "LulzSec" mengumumkan melalui Twitter bahwa mereka telah memperoleh akses ke SonyPictures.com dan mencuri lebih dari 1 juta akun, kata sandi, dan informasi pengguna yang sensitif. Tak lama setelah berita itu tersiar, salinan data yang disusupi muncul di situs web berbagi file (seperti MediaFire, tempat data tersebut dihapus) dan pelacak BitTorrent termasuk The Pirate Bay.

Grup tersebut meninggalkan pesan di PasteBin yang mengungkapkan intrusi sepenuhnya, yang mencakup ribuan kombinasi email dan kata sandi, informasi pribadi (termasuk nama, alamat, tanggal lahir dan nomor telepon), hampir 3,5 juta “kupon musik” dan lebih dari 60.000 “kupon musik” kode”. Grup tersebut juga mengumumkan bahwa keamanan Sony telah diatasi dengan serangan injeksi SQL sederhana.

Di dalam sebuah pernyataan, kelompok itu berkata: “SonyPictures.com dimiliki oleh injeksi SQL yang sangat sederhana, salah satu kerentanan paling primitif dan umum, seperti yang harus kita ketahui sekarang. Dari satu suntikan, kami mengakses SEMUANYA. Mengapa Anda menaruh kepercayaan seperti itu pada perusahaan yang membiarkan dirinya terbuka terhadap serangan sederhana ini?

”

Kelompok itu juga menyatakan: “Setiap bit data yang kami ambil tidak dienkripsi. Sony menyimpan lebih dari 1.000.000 kata sandi pelanggannya dalam bentuk teks biasa, yang berarti tinggal mengambilnya saja. Ini memalukan dan tidak aman: mereka memintanya.”

Kelompok tersebut telah merilis banyak data yang dijarah, meskipun ini hanya berisi sejumlah kecil data yang dikompromikan. Basis data lengkap juga telah diposting online, bersama dengan dokumen teks tata letak basis data untuk membantu ekstraksi data. Basis data berisi kombinasi email dan kata sandi militer dan pemerintah, dan juga akun admin untuk Sony Pictures Online.

Kutipan berikut diambil dari dokumen “FILE CONTENTS.txt” yang menyertai rilis terbatas LulzSec:

Isi jarahan kami:
## Sony_Pictures_International_AUTOTRADER_USERS.txt ##– Dalam file ini Anda akan menemukan kurang dari 12.500 pelanggan Sony; ini termasuk tanggal lahir, alamat, email, nama lengkap, kata sandi, ID pengguna, dan nomor telepon pribadi.
## Sony_Pictures_International_BEAUTY_USERS.txt ##– Dalam file ini Anda akan menemukan kurang dari 21.000 pelanggan Sony; ini adalah penurunan email/kata sandi sederhana. Nikmati pencurian akun Anda.
## Sony_Pictures_International_COUPONS.txt ##– Dalam file ini Anda akan menemukan kurang dari 20.000 kupon musik Sony; harap dicatat bahwa ada 3,5 juta kupon untuk diambil – dapatkan.
## Sony_Pictures_International_DELBOCA_USERS.txt ##– Dalam file ini Anda akan menemukan kurang dari 18.000 pelanggan Sony; ini adalah penurunan email/kata sandi sederhana. Sekali lagi, nikmati pencurian Anda.
## Sony_Pictures_International_MUSIC_CODES.txt ##– Dalam file ini Anda akan menemukan kurang dari 67.000 kode musik Sony; mereka seperti magnet, kita sama sekali tidak tahu cara kerjanya.
## Sony_Pictures_International_TABLE_LAYOUT.txt ##– Dalam file ini Anda akan menemukan tata letak database; itu berarti Anda dapat dengan mudah melihat dari mana mencuri barang.
Perhatikan bahwa database berisi lebih banyak informasi/kupon pengguna daripada yang kami ambil. Intinya adalah bahwa kami memiliki kendali atas mereka; mereka semua. Kami serahkan sisanya kepada Anda – curi sebanyak yang Anda mau, majulah!
KEPEMILIKAN TAMBAHAN:
## Sony_BMG_Music_Entertainment_NETHERLANDS ##– File ini berisi database pengguna BMG Belanda; sekitar 600 nama pengguna, email, dan kata sandi. Menikmati.
## Sony_BMG_Music_Entertainment_BELGIUM ##– File ini berisi database admin Sony BMG Belgia; juga banyak barcode, tanggal rilis, dan hal-hal menarik lainnya.

Kelompok ini juga bertanggung jawab atas beberapa pelanggaran keamanan baru-baru ini, termasuk perusakan situs web Layanan Penyiaran Publik (PBS) dan Sony Music of Japan. Sony telah mengakui klaim tersebut dan dikatakan sedang menyelidiki.

Sumber: LulzSecurity.com / @LulzSec
Pikirkan Anda bisa melakukan pekerjaan keamanan yang lebih baik? Marah dengan Sony karena tidak melindungi informasi Anda? Marah dengan para peretas karena mencurinya sejak awal? Ventilasi uap di komentar di bawah!