Sono state trafugate ed esposte circa 800.000 password del popolare sito porno Brazzers. Anche se i dati sono stati estratti dal forum dell’azienda, anche gli utenti che non si sono mai iscritti al forum hanno trovato i loro dati inclusi nel dump.
Motherboard ha ottenuto una copia del dataset grazie al sito per monitoraggio brecce Vigilante.pw al fine di verificarne la veridicità. I dati contengono 790.724 indirizzi email unici e includono anche nickname e password mostrate in chiaro. (In totale ci sono 928.072 voci, ma molte sono duplicate.)
Videos by VICE
Troy Hunt, un ricercatore in ambito security e proprietario del sito Have I Been Pwned? ha aiutato a verificare il dataset contattando alcuni iscritti al suo sito, che hanno confermato una serie di dettagli relativi ai dati.
“Per ovvi motivi usavo un nickname e una password usa e getta.”
“Sfortunatamente anche le mie informazioni sono state incluse nel dump, ma questo è il rischio da correre quando apri un account in un qualunque sito web,” ha spiegato a Motherboard un utente di Brazzers, che ha chiesto di rimanere anonimo.
Un altro utente, la cui email è stata inclusa nei dati, chiamato John ha scritto, “Usavo password e nick usa e getta proprio per questo motivo.”
Matt Stevens, public relation manager di Brazzer, ha spiegato a Motherboard per email, “Questi dati corrispondono ad un incidente verificatosi nel 2012 nel nostro ‘Brazzersforum’, che è gestito da una terza parte. L’incidente si è verificato a causa di una vulnerabilità del software di questa terza parte, vBulletin, e non del sito di Brazzers.”
“Ciò detto, gli account degli utenti erano condivisi tra Brazzers e il Brazzersforum, che era stato creato per fornire un punto di ritrovo alla community. Questo incidente è risultato nella fuoriuscita di una piccola porzione di dati dei nostri utenti—Nei giorni successivi all’incidente abbiamo adottato misure correttivi per proteggere i nostri utenti,” ha aggiunto Stevens.
A conferma, entrambi gli utenti Brazzers che hanno parlato con Motherboard hanno dichiarato di non aver mai usato il Brazzersforum.
Sul forum, che è ospitato su un URL diverso dal sito principale, gli utenti potevano discutere le varie scene e le varie star dei porno, oppure richiedere che una determinata scena venisse girata nelle future produzioni Brazzers.
Al momento della stesura di questo articolo, il Brazzersforum presenta la scritta “Manutenzione” e non è disponibile agli utenti.
“È da sottolineare il fatto che il dump di dati contiene molti duplicati e molti account non più in funzione. Abbiamo bannato tutti gli account inattivi in quella lista, nel caso in cui quei nick e quelle password venissero ri-utilizzate in futuro,” ha aggiunto Stevens di Brazzers.
“Brazzers considera la privacy e la sicurezza dei propri utenti con grande serietà,” ha aggiunto.
“Abbiamo assistito a una vera ondata di brecce di vBulletin, nei casi in cui il software non è stato aggiornato o curato a dovere.”
Hunt ha detto che, visto che molti account erano legati al forum, questa breccia ha reso i dati decisamente più sensibili di quelli che normalmente si potrebbero trovare su un sito porno classico.
“In un sito normale una breccia può solamente dirti che una certa persona ha un account su un sito per adult, ma ciò non ti dice granché su quella persone. Se però riesci a collegare una persona ad un account su un forum, a questo punto puoi scoprire cose davvero intime riguardo questo individuo. Sappiamo anche che spesso le brecce nei forum non includono soltanto le credenziali degli utenti, ma anche i loro messaggi privati, che, insomma, sono decisamente sensibili,” ha scritto in una mail. Hunt ha aggiunto i dati a Have I Been Pwned? lunedì.
“Abbiamo assistito a una vera ondata di brecce di vBulletin, nei casi in cui il software non è stato aggiornato o curato a dovere,” ha aggiunto. “Le vulnerabilità sono state rilevate e sono state riparate, ma se gli admin non aggiornano il software in loro possesso possono generarsi eventi come questo.”
Una recente breccia su un fan site di Grand Theft Auto ha avuto origine da una vulnerabilità di vBulletin, e il software è stato coinvolto in molte altre brecce. Spesso, il problema è che i siti che usano vBulletin sono privi di manutenzione, e ciò permette agli hacker di sfruttare vulnerabilità note e recuperare i dati degli utenti.
L’utente anonimo di Brazzers ha spiegato a Motherboard, “L’unico modo per cambiare le cose è sensibilizzare l’opinione pubblica sul tema, così che le aziende rispettino i nostri dati e curino al massimo gli apparati che possono metterli a rischio.”
La lezione: Come ha fatto John, ogni volta che vi iscrivete a un sito, considerate la possibilità di usare una mail usa e getta, specie se si tratta di un sito che ritenete particolarmente sensibile. Così facendo, caso mai i vostri dati venissero inclusi in un dump, la vostra identità non sarebbe a rischio.
