Milhares de credenciais para contas associadas ao serviço Mega de armazenamento de arquivos baseado na Nova Zelândia foram publicadas on-line, segundo o ZDNet .
O arquivo de texto contém mais de 15.500 nomes de usuários, senhas e nomes de arquivos, indicando que cada conta foi acessada incorretamente e os nomes dos arquivos foram raspados.
Patrick Wardle, diretor de pesquisa e co-fundador da Digita Security , encontrou o arquivo de texto em junho depois de ter sido enviado para o site de análise de malware VirusTotal alguns meses antes por um usuário supostamente no Vietnã.
Wardle passou os dados para o ZDNet .
Verificamos que os dados pertenciam ao Mega, o site de compartilhamento de arquivos de propriedade do empresário de internet Kim Dotcom , contatando vários usuários, que confirmaram que o endereço de e-mail, senha e alguns dos arquivos que mostramos foram usados no Mega. (Você pode ler mais aqui sobre como verificamos violações de dados .)
As listagens datam da estreia do serviço em nuvem em 2013 e, recentemente, em janeiro.
Enviamos os dados para Troy Hunt , que administra o site de notificação de violação de dados Have I Been Pwned , para analisar. Sua análise apontou para recheio de credenciais - onde nomes de usuários e senhas são roubados de outros sites e correu contra outros sites - ao invés de uma violação direta dos sistemas da Mega. Ele disse que 98% dos endereços de e-mail no arquivo já estavam em uma violação anterior coletada em seu banco de dados.
Cerca de 87 por cento das contas no arquivo Mega foram encontradas em uma enorme coleção de 2.844 violações de dados que ele enviou para o serviço em fevereiro, disse Hunt.
Dos que contatamos, cinco disseram que usaram a mesma senha em sites diferentes.
Quando alcançado, o presidente da Mega, Stephen Hall, também disse que as credenciais expostas apontavam para o preenchimento de credenciais, e não uma violação.
Ele disse em um e-mail que a lista é "apenas 0,0001% de nossos 115 milhões de usuários registrados".
Não se sabe quem compilou a lista ou como os dados foram raspados. Embora o site alega oferecer criptografia de ponta a ponta para que até mesmo a empresa não possa ver o que é carregado, o site não permite a autenticação de dois fatores - o que torna mais fácil invadir contas quando a conta de um usuário vazamentos de senha. Um invasor só precisa usar as credenciais para efetuar login em cada conta para confirmar que elas funcionam e para descartar os nomes dos arquivos.
Hall disse que a empresa planeja introduzir a autenticação de dois fatores "em breve", mas não disse quando.
Mega mantém um registro do endereço IP de cada usuário que faz login em uma conta. Três usuários disseram ter visto logins suspeitos acessando suas contas de países da Europa Oriental, Rússia e América do Sul nos últimos meses desde que o arquivo de credenciais foi carregado.
Uma das contas no arquivo continha listagens de arquivos para o que parecia descrever o conteúdo de abuso infantil. Dada a natureza do conteúdo da conta, a ZDNet informou as autoridades.
Em resposta ao nosso e-mail, Hall disse que "não está claro" se o conteúdo de abuso infantil foi enviado pelo proprietário da conta original ou se foi enviado por outra pessoa usando a conta como uma caixa suspensa anônima.
Mas o conteúdo ilegal foi enviado anos antes, de acordo com as datas de upload na listagem de arquivos, tornando improvável qualquer envolvimento recente de terceiros.
"Mega tem tolerância zero para materiais de abuso sexual infantil", disse Hall. "Qualquer relatório faz com que os links sejam desativados imediatamente, a conta do usuário é fechada e os detalhes são fornecidos às autoridades."
"Mega não pode atuar como censor ao examinar o conteúdo, pois ele é criptografado no dispositivo do usuário antes de ser transferido para o Mega", disse ele. "Além de tecnicamente impossível, também é praticamente inviável para Mega e outros grandes provedores de armazenamento em nuvem, com centenas de arquivos sendo carregados a cada segundo".
Não é a primeira vez que o Mega enfrenta problemas de segurança. Em 2016, hackers alegaram obter documentos internos do Mega. Hall disse no momento que nenhum dado do usuário foi comprometido.
FONTE:ZDNET
Comentários
Postar um comentário