Af Rasmus Elm Rasmussen, Alt om Data
Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.
Ifølge en diskussionstråd på Flashback.org, Sveriges største webforum, har mere end en million registrerede brugere på pornositet YouPorns chatdel fået deres brugernavne og passwords gjort tilgængelige for offentligheden.
Den kompromitterede brugerdatabase omfatter konti, der daterer tilbage til november 2007.
Serveren, hvor login-oplysningerne var frit tilgængelige, fandtes på webadressen chat.youporn.com. Den blev dog taget offline i går. Det kan ikke desto mindre vise sig at blive en rigtig pinlig oplevelse for pornosurferne.
Visse brugere har været så hurtige på tasterne, at de kunne hente oplysningerne, mens de stadig var tilgængelige online. Ifølge webforummet Flashback blev de fulde logfiler delt via fildelingsnetværket BitTorrent. Filerne indeholder angiveligt omkring 1,3 millioner unikke e-mails, hvoriblandt mindst 700 er danske.
Eftersom mange i dag benytter internationale mailtjenester såsom Hotmail og Gmail, er der med stor sandsynlighed langt flere danskere, der må tage sig til hovedet.
Mere end omdømmet på spil
For visse brugere er omdømmet dog langtfra deres eneste bekymring.
Det skyldes, at en overraskende stor mængde internetsurfere benytter samme passwords til de internettjenester, de benytter – hvad enten det er Facebook, PayPal eller en helt tredje tjeneste.
Fra et it-sikkerhedsmæssigt perspektiv er det chokerende, hvordan webkodere, der arbejder med så følsomme data, som det her er tilfældet, er i stand til at begå en fejl af denne størrelsesorden.
»Hundredvis af megabyte personlige data kan være kapret af individer med lyssky intentioner. Cyberkriminelle kan systematisk afprøve e-mail-adresserne og de potentielt matchende passwords, indtil der er bid – og dermed få adgang til et stort antal e-mail-konti. Når de først har fået adgang, kan de sikre sig flere følsomme oplysninger, der kan benyttes til phishing-angreb, tyveri eller svindel,« siger Minna Vadsager, country manager hos Eurosecure, der er it-sikkerhedsfirmaet ESET’s nordiske distributør.
Skødesløs programmør
Ved nærmere eftersyn af de forliste data peger alt på, at en webudvikler – utilsigtet eller med vilje – har haft debug-logging aktiveret siden november 2007. Sagt på letforståeligt dansk betyder det, at udvikleren har efterladt en meget central logfil. Brugeroplysningerne har altså i praksis været tilgængelige siden da, men fælden er først klappet nu.
Fundet kan være gjort mere eller mindre tilfældigt i forbindelse med, at nogen har gennemsøgt websites for offentligt tilgængelige ”skjulte” mapper – på jagt efter porno eller andre følsomme oplysninger, som det her er tilfældet. Og så var der jackpot.
Ifølge forummet Flashback har hackere allerede gennemsøgt de omfangsrige lister og undersøgt, om brugere benytter samme password til deres e-mail- og Facebook-konti – og publiceret intime fotos, der er fundet i brugerens sendte og modtagne post.
»Det er sund fornuft at benytte forskellige sikre passwords til de enkelte webtjenester, man benytter – og som et minimum beskytte ens mailadresse med et unikt password. Hvis man har svært ved at huske ens passwords, kan man benytte gratis software til at administrere og kryptere dem,« afslutter Minna Vadsager.
