Sony hackade IGEN – en miljon konton stulna

Skribent: Tommy k Johansson, 2011-06-03 - 12:47
Kategorier: Säkerhet

Något man inte vill ha på sitt CV idag är ”säkerhetsansvarig på Sony”… Gång på gång har företaget de senaste veckorna utsatts för hackerangrepp, och varje gång har hackarna kommit över massor av personlig information om Sonys användare på sina olika tjänster.

Nu har en hackergrupp vid namn Lulzsec meddelat att man gjort ett intrång hos Sony Pictures och kommit över fler än en miljon användarkonton med personliga uppgifter, skriver IDG.

Det värsta är inte att det har varit så lätt att hacka Sonys tjänster, utan att företaget uppenbarligen inte haft något som helst säkerhet på sina servrar. De har till exempel lagrat inloggningsnamn och lösenord helt okrypterade.

Alla som har minsta lilla grundläggande kunskaper om hur SQL-servrar fungrar vet att det är väldigt enkelt att se till att databasfält med lösenord per automatik krypteras. Det finns ingen ursäkt till att lagra lösenord okrypterade, bortsett från total inkompetens.

Vanlig SQL-attack och okrypterade lösenord

Lulzsec har inte använt några komplicerade metoder för att komma åt databaserna med personuppgifter. De lyckades nämligen genom en helt vanlig SQL-attack. Det är det vanligaste säkerhetshålet, som – återigen – alla utvecklare med minsta lilla grundläggande kunskaper vet hur man förebygger.

– Vi hackade Sonypictures.com med hjälp av en enkel sql-attack, som de flesta vet är ett av de mest välkända säkerhetshålen. Med endast en sql-attack fick vi tillgång till all information på Sony Pictures servrar, skriver hackargruppen i sitt uttalande.

– Sony lagrade över en miljon lösenord som ren text, utan kryptering. Det var bara att gå in och ta uppgifterna, skriver hackargruppen Lulzsec i sitt uttalande. [IDG]

I mitten av april upptäckte Sony, med hjälp av inhyrda säkerhetskonsulter, att Sony Playstation Network hackats och att 77 miljoner användarkonton stulits. Lite senare uppdagades att även Sony Online Entertainment hackats, och 25 miljoner nya konton stulits. I och med det hacket kom det fram att Sony på servrarna haft en gammal osäkrad databas från 2007 med uppgifter om 23000 kunders kontokort.

Sonys chefer i Japan gick efter dessa två hack ut och bad om ursäkt och bugade inför media. Frågan är hur många gånger de kommer att behöva buga sig framöver. Det här nya hacket lär knappast vara det sista. Jag skulle tippa på att det finns gott om hackergrupper som letar nya säkerhetshål på Sonys sajter.

Hos PCWorld framgår det att Lulzsec utöver användaruppgifterna även kom över lösenord till administratörskonton på servrarna, samt bland annat 3,5 miljoner rabattkuponger på musik. Lulzsec publicerade på en sajt en länk med SQL-attacken, så att vem som helst kunde klicka sig in på Sonys servrar och exempelvis hämta rabattkupongerna…

---

Följ @tkj