Reddit-Systeme gehackt, alte persönliche Informationen gestohlen

Bist du ein Reddit-Nutzer? Wie lange nutzt du es schon? Hast du es 2007 genutzt? Es ist schwer sich daran zu erinnern, oder? Wenn du es herausfindest und du es vor mehr als einem Jahrzehnt, 2007, genutzt hast, könnten deine persönlichen Informationen gestohlen worden sein. Hacker haben die Systeme von Reddit aufgebrochen und einen Cache von Benutzerdaten gestohlen, aber es handelt sich um Daten, die elf Jahre alt sind.

Der Vorfall

Sicher, Reddit ist ein großartiger Ort, wenn du gerne Nachrichten liest und darüber diskutierst. Das war es schon immer, seit 2005. Du musst dich nicht einmal registrieren, um die Inhalte dort zu lesen, aber wenn du deine eigenen Nachrichten einreichen, über andere abstimmen oder diskutieren möchtest, was du liest, benötigst du ein Konto.

Die Systeme von Reddit wurden Mitte Juni gehackt, wobei dies am 19. Juni entdeckt wurde. Die gestohlenen persönlichen Informationen umfassten aktuelle E-Mail-Adressen und Passwörter aus dem Jahr 2007.

„ Seitdem führen wir eine mühsame Untersuchung durch, um herauszufinden, was genau zugegriffen wurde und um unsere Systeme und Prozesse zu verbessern, um zu verhindern, dass dies erneut passiert, “ sagte Christopher Slowe, Chief Technology Officer und Mitbegründer von Reddit, in einem Beitrag auf Reddit.

Das Problem mit der SMS-basierten Authentifizierung

Was den Vorfall möglich machte, war, dass Reddit eine veraltete Form der Zwei-Faktor-Authentifizierung für die Mitarbeiterkonten verwendete, so Slowe. Wenn sich ein Mitarbeiter anmeldete, erhielt er eine SMS mit einem einmaligen Code, den er nach seinem Passwort eingeben musste. Aber dieses System gilt nicht mehr als sicher, da es Angreifern zu leicht fällt, die Codes aus den SMS abzufangen.

„ Wir haben gelernt, dass SMS-basierte Authentifizierung nicht annähernd so sicher ist, wie wir hoffen würden, und der Hauptangriff erfolgte über den SMS-Abfang, “ erklärte Slowe. Glücklicherweise ändern sie ihr Mitarbeitereinlogsystem, damit so etwas nicht wieder passiert.

Die gestohlenen Passwörter waren gehasht, was bedeutet, dass sie durch einen Verschlüsselungsprozess geschickt wurden, um sie in eine lange Zeichenkette zufälliger Zeichen zu verwandeln, um es schwieriger zu machen, sie wieder zusammenzusetzen. Aber das Hashing hat sich im letzten Jahrzehnt verbessert, und diese älteren Techniken gelten nun als leicht angreifbar.

Das US-amerikanische National Institute of Standards and Technology sagte 2016, dass es in Zukunft keine SMS-basierte Authentifizierung empfehlen würde. Ein Jahr später veröffentlichten sie einen offiziellen Leitfaden, der die Risiken aufzeigte, die mit der Verwendung von SMS-basierter Authentifizierung zur Sicherung der Systeme einer Organisation verbunden sind.

Slowe gab zu, dass sie nicht immer in der Lage waren, SMS-basierte Authentifizierung zu vermeiden, aufgrund der von ihnen verwendeten Drittanbieter-Software. Slowe berichtet jedoch, dass sie „dies seitdem gelöst haben“. Er fügte hinzu: „Wir weisen darauf hin, um jeden hier zu ermutigen, auf tokenbasierte Zwei-Faktor-Authentifizierung umzusteigen.“

Ausblick

Machst du dir Sorgen, dass du dein Reddit-Passwort seit 2007 nicht geändert hast? Slowe sagte, sie werden dich kontaktieren, wenn du von diesem Vorfall betroffen warst. Wenn dein Passwort betroffen war und du es immer noch verwendest, wirst du gezwungen sein, es zurückzusetzen. Aber ganz ehrlich, in diesem Punkt bin ich mir nicht sicher, warum du es nicht zurücksetzen wollen würdest.

„Egal, ob Reddit dich auffordert, dein Passwort zu ändern,“ fügte Slowe hinzu, „denk darüber nach, ob du das Passwort, das du vor elf Jahren auf Reddit verwendet hast, heute auf anderen Seiten noch verwendest.“

Machst du dir Sorgen, dass dein Passwort von 2007 betroffen war? Hast du Reddit damals genutzt und alles darüber vergessen, wodurch dein Passwort gefährdet wurde? Lass uns wissen, wo du mit diesem Reddit-Vorfall stehst.