[wykop]

Wykopowicze,

przede wszystkim należą Wam się przeprosiny, że tak długo musieliście czekać na wyjaśnienie. W pierwszej kolejności skupiliśmy się na ustaleniu przyczyny problemu, a gdy ten był nam już znany, priorytetem stało się zabezpieczenie przejętych kont.

Podkreślić należy jednak, że nie doszło do wycieku bazy danych Wykopu. Atak na konta Wykopowiczów przeprowadzony był metodą brute force i dotyczył jedynie kont, które zabezpieczone były banalnie prostymi hasłami. Atak przeprowadzono w sposób, który nie powodował zauważalnego skoku w obciążeniu, co poniekąd niestety uśpiło naszą czujność.

Jak zauważyliście, przejęte konta zostały przez nas zbanowane, aż nie uzyskamy pewności, że dostęp do nich mają jedynie ich właściciele. Na kontach tych wymuszone zostanie również zresetowanie hasła do konta. Dodatkowo wprowadziliśmy captche, której wpisanie będzie konieczne przy błędnym podaniu hasła do konta. Rozważamy również wprowadzenie logowania nie za pomocą loginu, a za pomocą adresu mailowego i hasła. Metoda ta skutecznie utrudni podobne ataki, ale wymagać będzie to znajomości adresu mailowego przypisanego do swojego konta - a wiemy, że nie wszyscy o nich pamiętają :-)

Chcemy jednak przypomnieć, że nawet najlepsze metody nic nie dadzą, jeśli sami nie zadbacie o odpowiednią ochronę własnego konta. W tej aferze, konta, do których dostęp został przejęty, miały bardzo proste hasła, wręcz banalnie proste. Jeśli ktoś jeszcze ma ustawione jedno z popularniejszych haseł lub stosuje hasła podobne do nazw loginu - prosimy, zmieńcie je na trudniejsze. I koniecznie przejrzyjcie swoje aplikacje, by upewnić się, że nie ma wśród nich aplikacji niezaufanych - możecie to zrobić w ustawieniach profilu.

Atak przeprowadzony na konta użytkowników serwisu Wykop.pl zostanie zgłoszony odpowiednim organom.

#aferabotowa #wykop #oswiadczenie

[LostHighway]

@wykop:

[s.....i]

@wykop: dobrze, że sama nie pamietam mojego hasła (✌ ﾟ ∀ ﾟ)☞ nie będzie szans na dodanie mi aktywności na głównej!

Tylko Mirko!

[kvvach]

@RozowaSkarpetka: dzięki ;)
@wykop: imo #!$%@?ście TheMan bo śmiał krytykować was a szczególnie elfa który jak wiadomo po #aferazborzowa jest bardzo drażliwy.

[pyzdek]

Coś kręcisz. Do tej pory zgłoszony został tylko jeden atak, miał on miejsce kilka lat temu. Osoba ta nie zgłosiła się do nas wcześniej - a przejęła i opublikowała dane. To jest przestępstwo, dlatego normalne jest, ze takie rzeczy zgłaszamy. Poza tym jednym zgłoszeniem, nie było innych.

@wykop: W swoim AMA gość twierdził co innego:

Poinformowaliśmy adminów o luce, oni nam podziękowali, a jednak za naszymi plecami zlożyli na nas doniesienie

[MangoZjem]

@wykop troche offtop, jakis czas temu juz o tym pisalem, nie wiem czy widzieliscie ale apropo zabezpieczen to podczas rejestracji mozna zostawic puste pole powtorz haslo i tez sie rejestracja uda

[D.....a]

No dobra, mleko się już rozlało. Jakie działania podejmiecie aby uniknąć podobnej sytuacji w przyszłości? Bo z każdego zdarzenia człowiek wychodzi mądrzejszy... ( ͡° ͜ʖ ͡°)

@WuDwaKa: Będą się modlić do świętego serwera aby znowu do tego nie doszło ( ͡° ͜ʖ ͡°)

[rybsonk]

@RozowaSkarpetka: nanieprofesjonalnye

[Saper9]

Atak przeprowadzony na konta użytkowników serwisu Wykop.pl zostanie zgłoszony odpowiednim organom.

@wykop: tak jak wtedy, gdy na nocnej zaczęli CP tostować? ( ͡º ͜ʖ͡º)

[K.....z]

@MangoZjem: nie ma takiego pola jak powtórz hasło podczas rejestracji.

[w.....4]

W pierwszej kolejności skupiliśmy się na ustaleniu przyczyny problemu

@wykop to trzecia prawda. najpierw Michau polecielał do niebezpiecznika a potem moze cos wyjasnialiscie.

Szkoda ze ta odpowiedz pojawia sie dopiero po dwóch dniach od rozpoczęcia afery.

[I.....n]

nie ma takiego pola jak powtórz hasło podczas rejestracji.

@Koggz: pewnie dlatego przechodzi bez niego ( ͡° ͜ʖ ͡°)

[Singularity00]

Jeśli portal będzie tego wymagał to będzie tworzył. A wydaje mi się, że powinien.

@wdowapotedlarzu: nie, nie powinien bo to nie jest bank tylko zwykły portal.
Skończy się na tym, że ludzie albo stworzą hasło pokroju zxcvbnm@zxcvbnm i taka będzie z tego ochrona a nie jest w żaden sposób lepszy pass od sobie tylko znanego słowa bez cudowania.

Natomiast brak blokady logowania na x minut po kilku błędnych próbach to już

[HetmanPolnyKoronny]

Odpowiedzialność za słabe hasła ponoszą jedynie właściciele kont, które zostały przejęte. To nie inni mają dbać o Twoje hasła - to Ty masz o nie dbać, pilnować by były odpowiednio silne i nie przekazywać ich w niepowołane ręce. To podstawa w internecie - jako świadomy uczestnik powinieneś o tym wiedzieć.

@wykop: szczerze mówiąc to pokazuje waszą ignorancje i brak perspektywicznego myślenia. Tak użytkownik ustala hasło, ale w przypadku takiej akcji, żaden

[Kajakiem_przez_Tybet]

Atak na konta Wykopowiczów przeprowadzony był metodą brute force i dotyczył jedynie kont, które zabezpieczone były banalnie prostymi hasłami.

@wykop: powinniście z góry założyć, że użytkownik jest debilem i należy od niego wymagać mocniejszego hasła..

[MangoZjem]

@Koggz shit nie moge juz edytowax. Mialem na mysli powtorz email
@wykop

[dwa_koty_kastrowane]

1. Dlaczego nie został wystosowany mail do użytkowników, aby ci zmienili hasła? Lub jakikolwiek z informacjami o zaistniałej sytuacji.

2. Dlaczego pierwsze wyjaśnienia i wskazówki nie były skierowane do użytkowników wykopu, a przekazane do strony zewnętrznej (zaufanatrzeciastrona).
3. Dlaczego owe wyjaśnienia pojawiają się tak późno? Wszak konta zostały przejęte już w piątek.
4. Dlaczego twierdzicie, że nie było to zauważalne w logach, skoro prowadzone testy wskazywały inaczej?
5. Dlaczego nie ma szybkich

[K.....z]

@MangoZjem: niezły żartowniś z ciebie

[Morf]

Atak przeprowadzono w sposób, który nie powodował zauważalnego skoku w obciążeniu, co poniekąd niestety uśpiło naszą czujność.

przeprowadzony w taki sposób, że nie powodował skoku w obciążeniu

@wykop: Serio?! Bezpieczeństwo mierzycie tym jak bardzo się się serwer grzeje? Przecież to jakiś absurd jest. Wystarczy counter "nieudane logowania per X godzin" i "nieudane logowania od założenia konta" i przy przekroczeniu progu akcja w stylu captcha czy cokolwiek...

Pisanie o obciążeniu to