Były haker komentuje atak na PlayStation Network
- IDG News Service,
-
- 18.05.2011, godz. 12:00
PlayStation Network i inne usługi Sony powoli wracają do życia. Firma musi jednak wyjaśnić, dlaczego i w jaki sposób hakerom udało się dostać do bazy danych.
Włamywacze ukradli z sieci PlayStation Network informacje osobowe i kontaktowe, loginy, hasła i dane kart kredytowych użytkowników. Zagrożonych jest ok. 77 milionów kont.
Polecamy:
- Wielkie tech-skandale. Jak giganci IT tuszowali potknięcia
- PlayStation Network - jedna z największych kradzieży danych w historii
Zobacz także:
- Sony przeprasza użytkowników PlayStation Network. W japońskim stylu
- Kolejny cios w Sony, znów wyciek danych
- Wiadomość od Sony: "walczyliście z niewłaściwym typem hakerów
- Jak zminimalizować skutki kradzieży danych
- Hacktywizm, czyli bunt internautów
Przyczyną ataku była przestarzała wersja Wordpressa na blogu PlayStation - uważa Kyle Adams.
Czy atak przebiegał przez PlayStation Blog?
Prawdopodobnie hakerzy uzyskali dostęp do sewera, wykorzystując atak SQL injection. Polega on na wstawieniu specjalnie spreparowanego ciągu znaków w polu formularza aplikacji (na przykład w polu "nazwa użytkownika" na stronie logowania). Wprowadzone w ten sposób dane nie są wykrywane przez aplikację, lecz przesyłane bezpośrednio do bazy danych, co umożliwia atakującemu wysyłanie poleceń do bazy przy wykorzystaniu aplikacji.
Adams uważa, że atakujący mogli przedostać się do serwera poprzez stronę internetową PlayStation Blog, która korzystała z przestarzałej wersji Wordpressa. Wersji, która zawiera znaną lukę w kodzie, pozwalającą na użycie SQL injection.
- Wydaje mi się, że Sony zostało zaatakowane z wykorzystaniem błędu w stronie internetowej, być może na blogu PlayStation, co pozwoliło otworzyć drogę do pozostałych serwerów firmy - mówi nasz rozmówca.
Wiedzieli czego chcą, to nie Anonymous
Ataki tego typu mogą trwać kilka tygodni lub nawet miesięcy bez zdemaskowania i łączą się zwykle z próbą pozyskania cennych danych. Adams podpowiada, że cyberprzestępcy dobrze wiedzieli, jakich danych szukają, a Sony udostępniało ich w bazie całe mnóstwo.
Nasz rozmówca podkreślił, że nie wierzy, aby grupa Anonymous miała coś wspólnego z atakiem. Anonimowi nigdy wcześniej nie włamywali się w celu uzyskania danych osobowych.