Wyciekły dane 560 tys. kont. Zawinił recykling haseł
Doszło do kolejnego wycieku danych z usługi streamingowej Roku. Już w kwietniu donoszono o incydencie w bezpieczeństwie informacji o relatywnie niewielkiej skali, a teraz administracja usługi donosi o kolejnym. Tym razem wyciekły dane setek tysięcy kont.
Dane użytkowników Roku w darknecie
Roku to popularna w Wielkiej Brytanii, ale też dostępna w Wielkiej Brytanii, Kanadzie i Meksyku, usługa streamingowa . Oglądać można dzięki niej oryginalne i wyprodukowane zewnętrznie seriale i filmy oraz stacje telewizyjne. Korzystać można z niej na SmartTV, tabletach i smartfonach, z czego aktywnie korzysta około 80 mln użytkowników.
Administracja serwisu w kwietniu poinformowała, że doszło do wycieku danych klientów Roku. Do sieci miały trafić dane 15 tys. kont. Ten incydent to jednak nic w porównaniu z doniesieniami o kolejnym, nowym wycieku.
Wyciekły dane 560 tys. kont
Jak czytamy w komunikacie, ujawnienie pierwszego incydentu zapoczątkowało monitoring darknetu przed administrację. To poskutkowało odnalezieniem kolejnej bazy, tym razem składającej się z około 567 tys. kont. Co ważne, w obu przypadkach to nie Roku jest źródłem wycieku .
Doszło bowiem do wykorzystania przez napastników mechanizmu credential stuffing. Oznacza to, że dane wyciekłe z innych źródeł zostały skompilowane, a przez to, że użytkownicy korzystali z tych samych haseł w wielu usługach, można dzięki nim włamać się także do Roku . W ten sposób, mimo że nie doszło do włamania na serwery Roku, to dane wykradzione z innych usług mogą służyć do włamań także do popularnego streamingu.
Ponadto administracja potwierdziła, że około 400 razy doszło do incydentów, w których wyciekłe dane posłużyły już do włamania . Napastnicy logowali się na cudze konta i dokonywali zakupów w usłudze z użyciem przypisanych do konta środków płatności. Właściciele kont opłacali w ten sposób seanse osób, które włamały się na ich konto.
Roku podejmuje kroki
W odpowiedzi na wyciek Roku zdecydowało się zresetować hasła do kont, których dane wyciekły i poinformować o incydencie ich właścicieli. Ponadto we wszystkich kontach wymuszono włączenie uwierzytelniania dwuskładnikowego . Dla nas może to być z kolei nauczka, by raz na zawsze zerwać z nawykiem wykorzystywania tych samych haseł w wielu usługach.
