אחרי לא מעט המתנה, שירות הסטרימינג של דיסני, +Disney, הושק בארצות הברית ובקנדה, ונראה שהקהל חיכה לו בקוצר רוח לאחר ש-10 מיליון לקוחות נרשמו אליו ב-24 השעות הראשונות לחייו. אולם, לא רק קהל המעריצים של דיסני, מארוול וסטאר וורס חיכה לשירות, אלא גם האקרים, שעושים כאב ראש לא קטן לדיסני וללקוחות שלה.
על פי הדיווח של ZDNet, רק שעות ספורות לאחר עליית דיסני+ לאוויר, משתמשים רבים החלו להתלונן ברשתות החברתיות כי הם קיבלו התראה במייל על שינוי סיסמתם ואף שינוי האימייל המקושר לחשבון שהם יצרו זה עתה, וחלקם גילו בהפתעה כי הם פשוט ננעלו מחוץ לחשבון. התופעה הלכה והתרחבה ככל שעברו הימים, וכעת מעריכים באתר כי אלפי חשבונות כבר הספיקו להיפרץ.
במקרים קיצוניים מדובר בחשבונות של לקוחות אשר שילמו מראש על מינוי למשך לא פחות מ-3 שנים. לפי הטענות אשר עלו ברשתות החברתיות, שירות הלקוחות של דיסני+ לא עומד בעומסי הפניות, ולקוחות ממתינים לעיתים יותר משעתיים על הקו למענה. החשבונות אשר נפרצו הוצעו למכירה שעות ספורות לאחר עליית השירות לאוויר במחירים נמוכים של בין 3-11 דולר, ככל הנראה גם לחשבונות משולבים עם Hulu ו-ESPN. בין היתר אף הוצעו חשבונות בחינם לחלוקה בין האקרים בדארקנט.
חלק מהמשתמשים שחשבונותיהם נפרצו הודו כי הם השתמשו בסיסמה אשר נעשה בה שימוש בעבר, מה שכמובן מעיד על כך שההאקרים פשוט חיכו שהם ישתמשו בה שוב לאחר שדלפה בעבר. עם זאת, חלקם טוענים כי השתמשו בסיסמה ייחודית, מה שעשוי להעיד על כך שעל המחשב שלהם המתין כלי זדוני כלשהו שעקב אחרי נתוני ההקלדות שלהם, או מעיד על שימוש במתקפת Brute-Force שיתכן ולדיסני אין מנגנון ראוי נגדה.
ZDNet פנה לדיסני לתגובה, ככל הנראה כדי לנסות להבין מדוע דיסני לא משתמשת במנגנון אימות דו-שלבי שהיה מונע השתלטויות רבות על חשבונות, אך לא קיבל מענה. נקווה שעד ההשקה המיוחלת בישראל, דיסני תאמץ מנגנוני אבטחה ראויים כדי להגן על החשבונות של המשתמשים. בפעם הבאה שאתם רואים חשבון נטפליקס, ספוטיפיי או כל שירות אחר שמוצע במחיר יותר מדי מוזל ברחבי הרשת, קחו בחשבון שיכול להיות שמדובר במינוי שנגנב.
14 תגובות על "רק הושק וכבר אלפי חשבונות +Disney נפרצו ומוצעים למכירה ברשת"
די לכתוב “מינוי”!
זה “מנוי”, לא “מינוי”.
מינוי זה של אדם לתפקיד.
מנוי זה subscription.
חחחח איזה תגובה של אפס.
אתה בטח גם רושם כע, לע ואנלודע בהודעות שלך….
ואם אני רושם ומבינים למי בדיוק אכפת? פתאום שאתה מגיע לדקדוק אתה הופך לחרדי קיצוני שלא סר מתורת הדקדוק ימין ושמאל? אתה גלגלול של אליעזר בן יהודה? האנשים האלו שמתקנים לכולם את הדקדוק יש להם גם מילה בעברית, קרציה.
ואלמלא היינו מתקנים לאנשים את העברית, הם היו ממשיכים לכתוב “ש” במקום “כש” (אהמממ), “שתי שקל”, “חמידות”, “שולטטטתתת!!!1” ועוד.
בפרט כשהטעות היא בגוף הכתבה ולא בטוקבק. זה מביך.
אני מנחש שלא פרצו לדיסני אלא לחשבונות.
כשמילוני אנשים נרשמים לשירות, וסביר שאלו משתמשים תמימים ולא טקיים – קל לראות איך חלק מהם קיבלו לינק ״שחזור סיסמא״ מזוייף שביקש מהם להזין סיסמא ואימייל.
אם האקרים אכן היו נכנסים לשרתים של דיסני, אז היו דולפים החוצה מליוני סיסמאות וחשבונות. במקרה כזה דיסני היתה מאפסת את הכל ומזכה את כולם על החודש בתשלום הראשון.
לא בהכרח. יש מקרים בהם יש לתוקף גישה לשרת אך הוא עדיין משיג רק נתונים חלקיים. לדוגמא, אם השרת שנפרץ מכיל רק חתך לקוחות ספציפי, או אם החשבונות שניתן לפרוץ הם רק כאלה עם מאפיין מסויים (למשל כל מי שעדכן תמונה).
יש עוד הרבה דוגמאות דומות.
זה מה שקורה שלוחצים על שחרור מוצר שהוא לא מוכן.
כנראה שתהליך QA נורמלי היה עולה על הבעיות האלה.
או שאפילו יותר גרוע, הם ידעו על זה, שמו את זה בto do list שלהם אבל עדיין לא ביצעו ובכל זאת שחררו את המוצר ככה.
ככלל אצבע אף תהליך בעולם לא יעלה על כל החולשות, תמיד יהיו דרכים לתקוף בלי קשר לכמה נורמלי תהליך הQA.
אתה צודק אבל יש באגים או תקלות במוצר קריטיות ויש כאלה פחות קריטיות.
מה שקרה פה זה כנראה מנגנון שחזור סיסמא שבור שמאפשר לכל אחד לבקש שחזור סיסמה לחשבון שהוא לא שלו.