Новости и события

В компании заявили, что уже исправили проблему, и отрицают возможность утечки, однако рекомендуют принять защитные меры.

Пользователи Twitter начали получать уведомления с просьбой изменить пароль в связи со сбоем в работе сервиса 3 мая. Как сообщается в блоге компании, в результате инцидента пароли аккаунтов попали во внутренний журнал до процесса хеширования.

Специалисты социальной сети самостоятельно обнаружили проблему и удалили все незашифрованные данные. Представитель Twitter заверил, что служба безопасности не зафиксировала утечек. В компании не уточняют количество учетных записей, пострадавших во время сбоя, однако Reuters заявляет о 330 млн пользователей, получивших просьбу сменить пароль.

Принцип работы сервиса с данными пользователей основан на создании маски пароля путем их хеширования. Эта операция заключается в замене всех символов случайным набором цифр и букв и переносе их во внутренний журнал. Сбой в работе системы привел к записи необходимых для аутентификации данных в незашифрованном виде.

В компании объясняют массовую рассылку предупреждений необходимостью предоставить каждому пользователю возможность сделать осознанный выбор в принятии защитных мер.

Эксперт по безопасности Трой Хант (Troy Hunt) согласен с представителями социальной сети и призывает сохранять спокойствие: «Я понимаю, как это могло случиться, — журналы записи в основном автоматизированы, но их работа строго контролируется. Если проблема выражается в том, что пароли отправились во внутренний журнал, то они не остались без защиты и впоследствии будут удалены».

Компания уже сталкивалась с масштабной утечкой данных, после которой более 32 млн аккаунтов выставили на продажу в подпольных интернет-магазинах. Позднее выяснилось, что атаки на социальную сеть проводились с помощью RAT-трояна и продолжались несколько недель.

Изучив опыт этого и нескольких других взломов, в Twitter ввели практику рассылки уведомлений. Помимо этого служба поддержки сервиса рекомендует пользователям внимательнее относиться к защите, в частности не использовать одни и те же данные для аутентификации в разных приложениях.