PlayStation Network i inne usługi Sony powoli wracają do życia. Firma musi jednak wyjaśnić, dlaczego i w jaki sposób hakerom udało się dostać do bazy danych.
Włamywacze ukradli z sieci PlayStation Network informacje osobowe i kontaktowe, loginy, hasła i dane kart kredytowych użytkowników. Zagrożonych jest ok. 77 milionów kont.
Polecamy:
Zobacz także:
Przyczyną ataku była przestarzała wersja Wordpressa na blogu PlayStation - uważa Kyle Adams.Były haker i główny projektant w firmie Mykonos Software,
Kyle Adams, rozmawiał z PC Worldem o tym, co pozwoliło cyberprzestępcom na złamanie zabezpieczeń. Jego zdaniem, Sony pozostawiło uchylone drzwi do swojego serwera, ponieważ korzystało z
przestarzałych wersji oprogramowania.
Czy atak przebiegał przez PlayStation Blog?
Prawdopodobnie hakerzy uzyskali dostęp do sewera, wykorzystując atak
SQL injection. Polega on na wstawieniu specjalnie spreparowanego ciągu znaków w polu formularza aplikacji (na przykład w polu "nazwa użytkownika" na stronie logowania). Wprowadzone w ten sposób dane nie są wykrywane przez aplikację, lecz przesyłane bezpośrednio do bazy danych, co umożliwia atakującemu wysyłanie poleceń do bazy przy wykorzystaniu aplikacji.
Adams uważa, że atakujący mogli przedostać się do serwera poprzez stronę internetową
PlayStation Blog, która korzystała z przestarzałej wersji Wordpressa. Wersji, która zawiera znaną lukę w kodzie, pozwalającą na użycie
SQL injection.
- Wydaje mi się, że Sony zostało zaatakowane z wykorzystaniem błędu w stronie internetowej, być może na
blogu PlayStation, co pozwoliło otworzyć drogę do pozostałych serwerów firmy - mówi nasz rozmówca.
Wiedzieli czego chcą, to nie Anonymous
Ataki tego typu mogą trwać kilka tygodni lub nawet miesięcy bez zdemaskowania i łączą się zwykle z
próbą pozyskania cennych danych. Adams podpowiada, że cyberprzestępcy dobrze wiedzieli, jakich danych szukają, a Sony udostępniało ich w bazie całe mnóstwo.
Nasz rozmówca podkreślił, że nie wierzy, aby
grupa Anonymous miała coś wspólnego z atakiem. Anonimowi nigdy wcześniej nie włamywali się w celu uzyskania danych osobowych.
