[wykop]

Wykopowicze,

przede wszystkim należą Wam się przeprosiny, że tak długo musieliście czekać na wyjaśnienie. W pierwszej kolejności skupiliśmy się na ustaleniu przyczyny problemu, a gdy ten był nam już znany, priorytetem stało się zabezpieczenie przejętych kont.

Podkreślić należy jednak, że nie doszło do wycieku bazy danych Wykopu. Atak na konta Wykopowiczów przeprowadzony był metodą brute force i dotyczył jedynie kont, które zabezpieczone były banalnie prostymi hasłami. Atak przeprowadzono w sposób, który nie powodował zauważalnego skoku w obciążeniu, co poniekąd niestety uśpiło naszą czujność.

Jak zauważyliście, przejęte konta zostały przez nas zbanowane, aż nie uzyskamy pewności, że dostęp do nich mają jedynie ich właściciele. Na kontach tych wymuszone zostanie również zresetowanie hasła do konta. Dodatkowo wprowadziliśmy captche, której wpisanie będzie konieczne przy błędnym podaniu hasła do konta. Rozważamy również wprowadzenie logowania nie za pomocą loginu, a za pomocą adresu mailowego i hasła. Metoda ta skutecznie utrudni podobne ataki, ale wymagać będzie to znajomości adresu mailowego przypisanego do swojego konta - a wiemy, że nie wszyscy o nich pamiętają :-)

Chcemy jednak przypomnieć, że nawet najlepsze metody nic nie dadzą, jeśli sami nie zadbacie o odpowiednią ochronę własnego konta. W tej aferze, konta, do których dostęp został przejęty, miały bardzo proste hasła, wręcz banalnie proste. Jeśli ktoś jeszcze ma ustawione jedno z popularniejszych haseł lub stosuje hasła podobne do nazw loginu - prosimy, zmieńcie je na trudniejsze. I koniecznie przejrzyjcie swoje aplikacje, by upewnić się, że nie ma wśród nich aplikacji niezaufanych - możecie to zrobić w ustawieniach profilu.

Atak przeprowadzony na konta użytkowników serwisu Wykop.pl zostanie zgłoszony odpowiednim organom.

#aferabotowa #wykop #oswiadczenie

[tommit]

@misiosisio: Teraz pewnie dostaniesz bana na oba konta, za multikonto(｡◕‿◕｡)

[D.....k]

@wykop: Nie zabezpieczyliscie ilosci logowan na konto. Nie zabezlieczyliscie ilosci user/pass na sekunde, 80k to sporo. 2 dni nie dawaliscie znac, poza nieoficjalnym komunikatem od @a__s, ktora jako jedyna po tej aferze z Was szanuje.
Ba, pewnie dalej nie naprawiliscie bledow. HTTPS dalej nie ma.
Ze wzgledu na to, ze zaniedbaliscie serwis, uzytkownicy stracili konta. Wasza reakcja? Bany. No prosze Was.... Damage control? 2 dni udajemy, ze nic sie nie

[wykop]

80k requestów/min

@Dilinus: To akurat jest bzdura. Nie będziemy opisywać szczegółowo ataku, ale był on przeprowadzony w taki sposób, że nie powodował skoku w obciążeniu. Taki skok dałoby się łatwo wychwycić.

[h.....s]

@wykop kiedy tagi

[13gugu13]

@wykop: Jak wprowadzicie logowanie z maila to będzie bye bye z wykopem. Nie po to mam konto z #10minutemail żeby musieć o nim pamiętać.

[misiosisio]

@tommit: znając moderacje to pewnie tak

[antros]

@WuDwaKa:

Tylko spóźnione o jakieś 24 godziny

pierwsze znalezisko botami wykopano 51 h temu, a więc to i tak by było nie za szybko

[marianoitaliano]

kiedy tagi

@haha_benis: nigdy (⌐ ͡■ ͜ʖ ͡■)

[kacpi2442]

@wykop:

[t.....u]

@wykop: Kiedy macie zamiar odpisywać na e-maile w sprawie odbanowania niesłusznie zbanowanego konta?

[wykop]

Piękne polskie podejście. Takiego człowieka trzeba prosić o pomoc a nie ścigać. Pokazał wam gdzie jest Wasz błąd nie robiąc większych zniszczeń.

@galonim: Gdyby chodziło tu o pokazanie nam błędu, osoba ta odezwałaby się do nas, bez przejmowania dostępu do Waszych kont.

[W.....2]

@wykop: a https kiedy?

[Dilinus]

@galonim: to nie był błąd, to była głupota i myślenie że nikt nie będzie robił bruteforca na portalu ze śmiesznymi obrazkami.

[WuDwaKa]

@galonim: Gdyby chodziło tu o pokazanie nam błędu, osoba ta odezwałaby się do nas, bez przejmowania dostępu do Waszych kont.

@wykop: A wy byście go olali i ewentualnie straszyli sądem i prokuratorem (⌐ ͡■ ͜ʖ ͡■)

[Dezynwoltura]

@wykop: A co jeśli ten wyciek doprowadzi do wybuchu kolejnej wojny na świecie ?

[r.....7]

Atak przeprowadzono w sposób, który nie powodował zauważalnego skoku w obciążeniu, co poniekąd niestety uśpiło naszą czujność.

@wykop: nie, wcale w ostatnich dniach wypok nie mulił a powiadomienia z tagów nie dochodziły po kilku godzinach. xD

[wonsz_smieszek]

Nie będziemy opisywać szczegółowo ataku

@wykop: a dlaczego nie? To właśnie jest rzecz, którą warto zrobić, żebyśmy my - użytkownicy, jak również resta społeczności internetowej i administratorzy innych serwisów, dowiedzieli się jak takim atakom zapobiegać.

Analiza incydentu pomoże poprawić bezpieczeństwo wszystkim. Nikt poza Wami nie ma danych, które umożliwiłyby jej przygotowanie.

Przecież usunęliście już tę podatność, która naraziła Wykop na atak, prawda?

[R.....j]

Ej, powaga na czacie.


#nadtag