Το Gaana.com — Μια από τις πιο δημοφιλείς υπηρεσίες music streaming της Ινδίας με περισσότερους από 10 εκατομμύρια εγγραμμένους χρήστες και 7.5 εκατομμύρια μηνιαίους επισκέπτες – έγινε hacked σύμφωνα με πληροφορίες που δημοσιεύθηκαν μερικές μέρες πριν, εκθέτοντας τη βάση δεδομένων του site με τα στοιχεία των χρηστών.
Ένας πακιστανικός χάκερ, που ανέλαβε την ευθύνη για το hack, υποστηρίζει ότι τα στοιχεία πάνω από 10 εκατομμύρια χρηστών της υπηρεσίας Gaana συμπεριλαμβανομένων των username, email addresses, MD5-encrypted password, ημερομηνίες γέννησης, και άλλες προσωπικές πληροφορίες έχουν κλαπεί και αποτέλεσαν μια πολύ ενδιαφέρουσα βάση δεδομένων.
Πριν μερικές μέρες το Gaana website ήταν κάτω για συντήρηση, χωρίς να υπάρξει κάποια επίσημη ανακοίνωση. Υπήρχε απλά το μήνυμα: «Site is down due to server maintenance. We will be back shortly. Kindly bear with us till then».
Λεπτομέρειες 10 εκατομμύριων χρηστών είναι διαθέσιμα σε μια βάση δεδομένων:
Ο χάκερ, με το nickname Mak Man Mak, πόσταρε έναν σύνδεσμο σε μια searchable database των λεπτομεριών χρηστών της Gaana στη σελίδα Facebook του, με εικόνες από το service’s admin panel.
Εκμεταλλευόμενος μια ευπάθεια SQL injection στο Gaana website, ο Mak Man κατόρθωσε να αποκτήσει πρόσβαση στις λεπτομέρειες των 10 εκατομμύριων χρηστών του. Ο χάκερ πόσταρε επίσης στο Facebook του ένα screenshot του SQL exploit που εκμεταλλεύθηκε για να αποκτήσει πρόσβαση στα στοιχεία.
Ο Mak Man υποστήριξε ότι είχε ανακαλύψει την ευπάθεια της ιστοσελίδας στο παρελθόν, δημοσιοποιώντας κάθε λεπτομέρεια του ελαττώματος του Gaana.com. Παρόλο αυτά, η εταιρεία δεν αποκρίθηκε στην έκθεσή του, αγνοήθηκε από τους ιθύνοντες ασφαλείας, γεγονός που τον οδήγησε εντέλει στην παραβίαση των αθώων χρηστών της υπηρεσίας, εκθέντοντας τις προσωπικές τους πληροφορίες.
Το ελάττωμα είχε γνωστοποιηθεί στην εταιρεία, αλλά αγνοήθηκε:
Είναι πραγματικά παράξενο ότι η Gaana, η οποία είναι μια από τις μεγαλύτερες επιχειρήσεις Διαδικτύου της Ινδίας, Times Internet Limited, είναι τρωτή σε τέτοιες επιθέσεις. Και ακόμα πιο παράξενο είναι ότι αγνόησε τις ευπάθειες που της γνωστοποιήθηκαν, βάζοντας έτσι σε κίνδυνο τα εκατομμύρια των χρηστών της.
Οι περισσότερες από τις παραβιάσεις στοιχείων εμφανίζονται λόγω τέτοιας συμπεριφοράς από την μεριά των επιχειρήσεων, όταν δηλαδή hackers και bug hunters εκθέτουν υπεύθυνα τα ελαττώματα που ανακαλύπτουν, αλλά οι ίδιες αγνοούν τα ζητήματα, ενθαρρύνοντας έτσι τους χάκερς να δημοσιεύσουν τα προσωπικά στοιχεία των πελατών τους.
Ο CEO της εταιρείας Τimes Internet, κύριος Satyan Gajwani, απάντησε στο ποστ του χάκερ στο Facebook αργότερα, και απολογήθηκε επειδή η επιχείρηση δεν είχε αποκριθεί στα προβλήματα ασφαλείας που εντοπίστηκαν από τον Mak Man.
«Δεν θεωρώ πως η πρόθεσή ότι σας είναι να εκθέσετε τα προσωπικά δεδομένα των χρηστών του Gaana, αλλά να δώσετε έμφαση σε μια ευπάθεια,» ο κύριος Gajwani πρόσθεσε. «Μπορείτε να είστε σίγουρος ότι το πετύχατε. Μπορώ να ζητήσω να ανεραίσετε την πρόσβαση στα στοιχεία, και να τα διαγράψετε οριστικά;»
Ο Gajwani στο Twitter δημοσίευσε ότι η επιχείρηση θεωρεί το ζήτημα σοβαρό και λαμβάνει μέτρα να το διορθώσει. Δήλωσε επίσης ότι δεν έχει διαρρεύσει κανένα οικονομικό ή άλλο ευαίσθητο στοιχείο των χρηστών. Ενθαρρύνει επίσης όλους τους πελάτες να αλλάξουν τους κωδικούς πρόσβασής τους το συντομότερο δυνατό.
Παρόλο αυτά, αν απλά αλλάξετε τον κωδικό πρόσβασης στον λογαριασμό σας στο Gaana δε θα λύσει το πρόβλημα, δεδομένου ότι θα ενημερωθούν αυτόματα και στο leaked database.
Καλό θα ήταν να απενεργοποιήσετε το λογαριασμό σας έως ότου επιλυθεί το ζήτημα. Εκτός αυτού, αλλάξτε τους κωδικούς πρόσβασής σας στο email, Facebook και Twitter εάν χρησιμοποιείτε τους ίδιους όπως στο Gaana.