il «più grande» furto di dati online: raccolti 773 milioni di mail e pass...

[Pingus]

test con una mail a caso

info@facebook.com

Oh no — pwned! Pwned on 16 breached sites and found 3 pastes (subscribe to search sensitive breaches)

https://imgur.com/Cf4JTbr

[Pingus]

altri test improbabili

info@poste.it
Oh no — pwned!
Pwned on 5 breached sites and found no pastes (subscribe to search sensitive breaches)

noreply@intesasanpaolo.com
Oh no — pwned!
Pwned on 1 breached site and found no pastes (subscribe to search sensitive breaches)

contact@nsa.gov
Oh no — pwned!
Not pwned on any breached sites, but found 10 pastes (subscribe to search sensitive breaches)

etc... etc...

[Pingus]

con questo ci facciamo una bella risata poi la finisco qui promesso


noreply@youtube.com
Oh no — pwned!
Pwned on 25 breached sites and found 29 pastes (subscribe to search sensitive breaches)

[giammyboy]

Sinceramente un sito che in pochissimo tempo ti dice se è stato bucata la tua mail...
Inoltre questa tecnica mi ricorda tanto il sito che segnala 3 virus nel computer!

Per ultimo c'è il link all'app 1Password... sarà un caso?

[Jethro]

Io non lo so se la segnalazione di e-mail "bucata" o meno su quel sito sia veritiera e loro possono essere "seri" quanto volete, ma sinceramente mi viene la curiosità di vedere se dopo aver dato il proprio indirizzo e-mail in pasto al sito haveibeenpwned.com la percentuale di mail di spam e pubblicità ricevuta aumenti e di quanto.

[mauripucci]

La questione è stata "trattata" anche da un sito "tecnico" tra i più affidabili come ArsTechnica:

"Monster 773 million-record breach list contains plaintext passwords"

https://arstechnica.com/information-tec ... passwords/

[giammyboy]

Ho trovato la notizia anche nel giornalino della scuola materna vicino a casa mia.

[faxus]

con questo ci facciamo una bella risata poi la finisco qui promesso...

L'avevi postato anche quando hai creato il secondo account...

[Pingus]

La questione è stata "trattata" anche da un sito "tecnico" tra i più affidabili come ArsTechnica:
"Monster 773 million-record breach list contains plaintext passwords"
https://arstechnica.com/information-tec ... passwords/

Che siano stati attaccati milioni di siti, di servizi online, di router, etc... negli ultimi anni, è stato confermato anche da chi è stato attaccato e dalle pubblicazioni degli aggiornamenti di sicurezza e dei relativi problemi.
Che ci siano milioni di indirizzi email e password, relativi agli attacchi degli ultimi anni, nelle mani sbagliate è credo appurato anche dai fatti.

Quello che intendo è che non mi fido di quel tizio e del sito per il controllo del proprio indirizzo email.
Anche perché non sarebbero autorizzati a collezionare indirizzi email e password di altri, avuti attraverso attacchi a siti e servizi non adeguatamente protetti.

Poi intendevo anche che la password è un problema relativo.
Gli attacchi avvengono quasi sempre sul codice (php, asp, etc), sui db (sql etc) su tutti i componenti che pubblicamente sono riconosciuti come attaccabili perché contengono dei bachi di programmazione e sicurezza. Nessun malintenzionato si metterebbe a provare la coppia user/password a mano o cercare in rete l'accoppiata. Tenterebbe un attacco indiretto con le mille pratiche che conosce o che trova nel web.

Quindi ritengo la notizia metà vera e metà fake.

[faxus]

... non mi fido di quel tizio e del sito per il controllo del proprio indirizzo email...

Il tizio, con i contatti e con 1Password, ha guadagnato milioni di dollari

[Pingus]

Per fare un esempio di come lavorano gli attacchi e come si difendono gli hosting
(genericamente parlando visto che ormai parliamo di applicazioni web ovunque per tutti i tipi di servizi).

https://www.a2hosting.com/kb/cpanel/adv ... s/patchman

È un software installato su uno dei piani reseller che gestisco.
L'applicazione fa una scansione (continua) del software installato sul piano hosting.
Per capirci dei vari CMS tipo Drupal, Joomla, Wordpress, Magento, OpenCart, ownCloud, etc...
E tutto il resto, quali applicazioni in php ed altro.
Se rileva un problema di sicurezza, avvisa di procedere all'aggiornamento del software (CMS) in questione (plugin, estensioni, etc).
Se non si procede all'aggiornamento dopo pochi giorni le parti incriminate vengono aggiornate automaticamente per impostazione predefinita (ed imposizione).
Per garantire la sicurezza dell'hosting. E nel caso di hosting shared, anche degli altri clienti presenti su quel piano hosting ad esempio.
E naturalmente per la sicurezza di chi naviga il sito (servizio, cloud, etc) ospitato.

Se qualcuno decidesse di attaccare per esempio un'installazione recente di Wordpress, andrebbe a guardarsi gli aggiornamenti ed i bollettini di sicurezza più recenti e proverebbe uno di questi (esempio di parte di email ricevuta):

It appears patches are available for application(s) installed in the following path(s):

Incorrect permissions vulnerability in WordPress
/home/NomeUtente/public_html/wp-admin/post.php

XSS vulnerability in WordPress
/home/NomeUtente/public_html/wp-includes/functions.php

Code injection vulnerability in WordPress
/home/NomeUtente/public_html/wp-admin/includes/ajax-actions.php

Code injection vulnerability in WordPress
/home/NomeUtente/public_html/wp-admin/includes/post.php

Information disclosure vulnerability in WordPress
/home/NomeUtente/public_html/wp-login.php

Information disclosure vulnerability in WordPress
/home/NomeUtente/public_html/wp-admin/includes/class-wp-screen.php

Information disclosure vulnerability in WordPress
/home/NomeUtente/public_html/wp-includes/ms-deprecated.php

Information disclosure vulnerability in WordPress
/home/NomeUtente/public_html/wp-includes/general-template.php

Information disclosure vulnerability in WordPress
/home/NomeUtente/public_html/wp-includes/class-wp.php

Information disclosure vulnerability in WordPress
/home/NomeUtente/public_html/wp-activate.php


Non ha bisogno né di utente né di password per attaccare, per installare malware, virus, fare phishing e tutto il resto.
In maniera silente senza disturbare il login e gli accessi utente.

[mauripucci]

La questione è stata "trattata" anche da un sito "tecnico" tra i più affidabili come ArsTechnica:
"Monster 773 million-record breach list contains plaintext passwords"
https://arstechnica.com/information-tec ... passwords/

... intendevo anche che la password è un problema relativo.
Gli attacchi avvengono quasi sempre sul codice (php, asp, etc), sui db (sql etc) su tutti i componenti che pubblicamente sono riconosciuti come attaccabili perché contengono dei bachi di programmazione e sicurezza. Nessun malintenzionato si metterebbe a provare la coppia user/password a mano o cercare in rete l'accoppiata. Tenterebbe un attacco indiretto con le mille pratiche che conosce o che trova nel web.
Quindi ritengo la notizia metà vera e metà fake.

Nell'articolo di ArsTechnica:

" the aggregated data was likely scraped together to serve as a master list that hackers could use in credential stuffing attacks.
These attacks use automated scripts to inject credentials from one breached website into a different website in hopes the holders reused the same passwords…".

Questo dovrebbe essere un monito -al di là di come avvengano gli "attacchi" e se sia o meno una fake- per chi utilizza la stessa pass su più siti e servizi!

[Pingus]

Questo dovrebbe essere un monito [...] per chi utilizza la stessa pass su più siti e servizi!

Ah sì certo! Assolutamente d'accordo! Questo andrebbe ben valutato e tenuto in considerazione da chiunque. Sempre!

[mauripucci]

Riesumo la questione a seguito di una nuova notizia:
2,2 miliardi di nomi utente e password rubati, controllate se siete fra le vittime
https://www.ilfattoquotidiano.it/2019/0 ... e/4937995/

In questo caso si fornisce altro indirizzo, che risponde via email... ho provato con una vecchio "indirizzo" (che non utilizzo più per un "servizio" su altro computer) e questo sono i risultati:

https://sec.hpi.uni-potsdam.de/ilc/search?lang=en

Rimane il problema sollevato: è conveniente fornire il proprio indirizzo a questi siti?

[mattleega]

Certamente!

Così se non l'avevano prima, ora lo hanno.