[D.....k]

Nowa lista nickow z dzisiejszej #aferabotowa
http://www.wykop.pl/link/3708333/lubelskie-dni-informatyki-2017/#voters
#afera #moderacjacontent #moderacja

[zielonek1000]

@darosoldier: @PyraPrzeznaczenia: @Dorrek:
Ale że Bordowi trafili do botnetu ...

[P.....a]

@zielonek1000 nooo i np taki metaxy nawet tam był
A z takich mi znanych osób to wuja też

[marianoitaliano]

ej @metaxy #hakujo

[zielonek1000]

@marianoitaliano:
Maniek Ty tam uważaj bo jestes u mnie podejrzany jako bot :)
zakopujesz czasami prawie 1000 znalezisk w miesiąc
Ja zakopałem 154 przez 2 lata

[marianoitaliano]

@zielonek1000 (⌐ ͡■ ͜ʖ ͡■)

[zielonek1000]

@marianoitaliano:
śmiej sie śmiej ale Maniuś jestes w top10 grabarzy wypoku
:D

[a__s]

Pomysl nie glupi, ale ja raczej obstawialbym cos z API wypoku.

@Dorrek: Problem z API wykluczyliśmy, z całą pewnością nie jest to również wyciek bazy. Obecnie wspólnym mianownikiem wszystkich przejętych kont są banalnie proste hasła - od rana przepytujemy właścicieli kont. Dlatego przypominam, że hasła w stylu "dupa123", "qwerty" czy hasła, które podobne są do loginu konta, to nie jest dobry pomysł - niezależnie od serwisu, w którym je stosujecie. Nawet

[D.....k]

@a__s: Pare osob na mirko mowilo, ze mialo mocne, pseudolosowe hasla a i tak padli ofiara. Dzieki za jakiekolwiek informacje!

[MarianoaItaliano]

@a__s: No wreszcie jakaś odpowiedź. Profilaktycznie pozmienialem wszystko, nawet mejla mimo że mnie nie dotyczył ten problem.

[D.....k]

@WuDwaKa @PyraPrzeznaczenia @strumienzgor @pyzdek @decentralizacja Wolam, bo mamy stanowisko administracji

[WuDwaKa]

@a__s: To może jakieś oficjalne info na główne czy coś aby każdy użytkownik sobie sprawdził konto...

[P.....a]

@a__s: jakby było coś jeszcze wiadomo to napiszcie gdzieś o tym plis, bo jest kilka osób mocno zainteresowanych tym wszystkim

no i też jest tak, jak @Dorrek pisze, niektórzy mieli niezłe hasła, a i tak padli ofiarami
no i co innego jakby ktoś obcy zalogował się na 5 kont ze słabym hasłem, ale to wszystko dzieje się na dużą skalę i tych kont jest bardzo dużo, niektóre rzadko używane, więc żeby

[metaxy]

@marianoitaliano dzięki, ale już hasło zmienione

[a__s]

mam nadzieję, że to jest tak, że użytkownicy widzą niewiele działań administracji, ale że tak naprawdę siedzicie przy okrągłym stole, naradzacie się, zdenerwowany Michau rzuca papierami, pijecie energetyki, postanawiacie zarywać noce w weekend

@PyraPrzeznaczenia: Okrągłego stołu nie mamy, jest owalny. Ale pozostałe rzeczy się zgadzają ;-)

[D.....s]

@a__s: dlaczego tak późno reagujecie, mogliście napisać chociaż głupie "identyfikujemy problem", "u nas działa", "sernik z rodzynkami", cokolwiek ( ͡° ʖ̯ ͡°)

[safehouse]

@a__s: wezwiecie w końcu członków teamu tego "poważnego portalu", którzy mają statystyki seksowność/INT rozdane odwrotnie do Twoich? ( ͡° ͜ʖ ͡°)
To miło że fajna laska z teamu jest w weekend, ale gdzie sysops? Macie w ogóle taki dział?

24 godziny reakcji admina to jakiś smutny żart albo strona klasy w gimnazjum, a nie portal udający przodujący w Polsce.

Dalej masa kont jest przejętych, dalej są masowe

[safehouse]

Obecnie wspólnym mianownikiem wszystkich przejętych kont są banalnie proste hasła - od rana przepytujemy właścicieli kont.

@a__s:

1) to w sumie też wasza wina że wasz #programista1k nie założył blokady na takie hasła

2) oraz tym bardziej że nie macie jakiegoś rate-limiting. Po 20 nieudanych próbach logowania bez udanej próby z danego IP, powinno zacząć wymagać captcha, plus ograniczyć i tak do np 30 prób na godzinę.
W razie 1000 nieudanych

[a__s]

24 gdoziny reakcji admina to jakiś smutny żart

@safehouse: Pierwsza reakcja miała miejsce już wczoraj. Od wczoraj też rozmawiamy z właścicielami przejętych kont i ustalamy wszelkie przydatne informacje.

[safehouse]

@safehouse: Pierwsza reakcja miała miejsce już wczoraj. Od wczoraj też rozmawiamy z właścicielami przejętych kont i ustalamy wszelkie przydatne informacje.

@a__s: i nikt z was nie wpadł na pomysł aby przykleić taką wiadomość?

nie macie mechanizmu "sticky" na cały portal? to weźcie skina z prażubra, wywalcie żubra i dajcie warning o hakowaniu.

"Nawet najlepsze zabezpieczenia nic nie dadzą przy tego typu hasłach... "

@a__s: dadzą te co podałem wyżej.

[Reepo]

@a__s: Mam nadzieję, że szybko namierzycie problem. Jako, że póki co najbardziej prawdopodobny jest bruteforce moglibyście zabezpieczyć stronę z logowaniem? Nie wiem - po 5 próbach ze złym hasłem dawać captchę czy coś?