Sanal evcil hayvan web sitesi Neopets, kaynak kodunun çalınmasına ve 69 milyondan fazla üyenin kişisel bilgilerini içeren bir veritabanına yol açan bir veri ihlali yaşadı.
Neopets, üyelerin sanal evcil hayvanlarıyla oyun sahibi olabileceği, yükseltebileceği ve oynayabileceği popüler bir web sitesidir. Neopets kısa bir süre önce çevrimiçi bir metaverse oyununun bir parçası olarak kullanılacak NFT'leri başlattı.
Salı günü, 'Tartarx' olarak bilinen bir hacker, bugünkü fiyatlarda yaklaşık 94.000 dolar değerinde NeoPets.com web sitesi için Dört Bitcoin için kaynak kodu ve veritabanını satmaya başladı.
BleepingComputer ile yapılan bir konuşmada Tartarx, NeoPets.com web sitesi için veritabanını ve kaynak kodunun yaklaşık 460MB'si (sıkıştırılmış) çaldıklarını söylüyor.
Satıcı, bu veritabanının 69 milyondan fazla üyenin hesap bilgilerini içerdiğini ve BleepingComputer ile paylaşılan bir ekran görüntüsünde, verilerin üyelerin kullanıcı adları, adları, e -posta adresleri, posta kodu, doğum tarihi, cinsiyet, ülke, vb. İlk kayıt e-postası ve diğer site/oyunla ilgili bilgiler.
Hacker, web sitesine nasıl erişim kazandıklarını açıklamasa da, bize neopetlerin sahipleri olan Jumpstart için verileri fidye yapmadıklarını, ancak potansiyel alıcılardan ilgi aldıklarını söylediler.
Şu anda, BleepingComputer veritabanının gerçekliğini bağımsız olarak doğrulayamamıştır. Ancak, Breached.co Hacking Forumunun sahibi Pompompurin, neoPets.com'a bir hesap kaydederek ve yeni oluşturulan kayıtlarını veritabanından göndererek bilgisayar korsanının iddialarını doğruladı.
"Vouch, web sitesinde bir hesap kaydettim ve tam girişi gönderdi," diye gönderdi Pompompurin Breached.co forumlarına.
Ayrıca, bu doğrulama, Tartarx'ın verileri satmaya başladıklarında bile NeoPets.com sitesine erişmeye devam ettiğini gösterdi.
Çevrimiçi olarak yayılma haberi sonrasında, TNT kısaltması tarafından belirlenen Neopets ekibi, resmi olmayan Neopets Discord sunucusunda güvenlik olayının farkında olduklarını ve çözülmeye çalıştıklarını doğruladı.
Gönüllü anlaşmazlık moderatörleri, saldırganların hala sunucularına erişimi varsa, neopetlerdeki şifreleri değiştirmenin hesabınızı güvence altına almaya yardımcı olmayabileceğini uyarıyor.
Neopets Discord Server'da bir duyuru, "Neopets şifrenizi değiştirmenin etkinliğinin, bilgisayar korsanlarının veritabanına canlı erişimi olduğu sürece, yeni şifrenizin ne olduğunu kontrol edebildikleri için tartışmalı olduğunu belirtmeliyiz."
Diyerek şöyle devam etti: "Bu nedenle, koşullar göz önüne alındığında size en iyi hareket tarzı konusunda kesinlikle tavsiye edemeyiz."
Ancak, diğer sitelerde aynı Neopets şifresini kullanıyorsanız, bu sitelerdeki şifrenizi farklı bir siteye değiştirmeniz şiddetle tavsiye edilir.
NeoPets üyeleri, neopetler yardım sitesi Jelleyneo veya Jelleyneo Twitter hesabı ile ilgili bir konuyu izleyebilir ve burada diğer üyeler Neopets personelinden resmi güncellemeleri takip eder.
Bu, Neopets için ilk veri ihlali değildir, üye verileri 2016'da 2012'de meydana gelen bir ihlalden daha önce çevrimiçi olarak dolaşır.
BleepingComputer, ihlal hakkında Jumpstart ile temasa geçti, ancak şu anda bir cevap almadı.
Bu ihlal yeni görünse de, Neopets sistemlerine yetkisiz bir erişim geçmişine sahiptir.
Neo_truths adlı bir Reddit kullanıcısı, BleepingComputer'a, sitenin sızdırılan kaynak kodunda istismar bulduktan sonra en az bir yıl boyunca veritabanına erişim "okuduklarını" söyledi.
Neo_truths, Reddit'teki oyun mekaniği hakkında bilgi analiz etmek ve paylaşmak için bu erişimi kullandıklarını söyledi.
Bununla birlikte, Neo_Truths, oyunu bir April Fools şakası olarak değiştirmek için bir PHP değerlendirme () işlevine kod enjekte etmek için başka birinin istismarını kullandıklarını söyledi.
Ne yazık ki, Neo_truths, kodun çok büyük olduğunu ve birçok sunucuya yayıldığını ve bunu yönetmek için sadece birkaç geliştiricinin yayıldığını söylüyor. Bu personel eksikliği, geçmişte birden fazla kişi tarafından çok sayıda ihlale yol açmıştır ve sonuçta sabitleyen geliştiricilere aktif olarak kullanılan bir istismar bildirilmiştir.
"Neo, ihlallerle doludur ve birden fazla insan yıllardır erişime sahiptir (ve belki de hala var). Tek fark onu özel olarak kullanmalarıdır (çoğunlukla saha dışı bir şekilde satmak ve satmak için) ve gerçek verilerle bilinen bazı sorunları ele almaya çalışıyorum," diye açıklıyor. Neo_truths Reddit hakkında bir yorumda.
"Zaten diğer insanların kullandığı DB erişimine izin veren 2 istismar bildirmiştim (bunlardan biri aylar/yıllar boyunca anlatması çok zor). Kendime erişim olmasaydım onları bulamazdım.
"Her zaman kendi yöntemimi açığa çıkarmayı seçebilirim, böylece doğru şey olacak erişimi kaybedebilirim, ancak aynı zamanda diğerlerinin serbest kalmasına izin verecek. Ama evet, bir kullanıcı perspektifinden çok endişe verici birisinin keyfi olarak erişebileceğini anlıyorum. veri."
Neo_truths bir süredir Neopets veritabanına erişebilse de, BleepingComputer'a bu son ihlalde yer almadıklarını ve tehdit aktörlerinin Neopets kodu ile ilgisiz bir kusur kullanarak erişim kazandığına inanıyorlar.
Neo_truths, BleepingComputer'a verdiği demeçte, "Bu sefer istismar NEO kodu ile ilgisi yok, sadece birçok web sitesinin sahip olduğu genel bir istismar." Dedi.
GÜNCELLEME 7/20/22 23:07 EST: Discord sunucusunun gayri resmi bir Neopets sunucusu olduğunu ve duyurunun gönüllü moderatörlerden olduğunu açıkladı. Neo_truths hakkında bilgi eklendi.
Mangatoon veri ihlali 23 milyon hesaptan verileri ortaya çıkarır
Flagstar Bank, 1,5 milyon müşteriyi etkileyen veri ihlalini açıklıyor
Kalkanlar Sağlık Grubu Veri ihlali 2 milyon hastayı etkiler
General Motors Kimlik Bilgi Dolunma Saldırısı Araba Sahipleri Bilgilerini Ortaya Çıkarıyor
Kuantum Fidye Yazılımı Saldırısı 657 Sağlık Hizmetleri Orgs'u Etkiler
Kaynak: Bleeping Computer