Több mint 15 ezer magyar Google-felhasználó neve és jelszava került ki az internetre – írta meg tegnap esti tudósításában az origo.hu. Egy észt fájlmegosztó portálon tették ki a listát szöveges formátumban. Tesztek során az adatok helyesnek bizonyultak, bár volt, akinek egy korábbi jelszava volt elérhető, és azóta már többször megváltoztatta. Az Origo az adatvédelmi hivatalnál tett bejelentést az ügyben.
Nem a Gmailt törték fel
Minden azzal kezdődött, hogy két-három napja a Spotify-fiókomat feltörték – mesélte az origo.hu-nak egy olvasójuk. „Akkor azonnal megtettem a szükséges intézkedéseket, a Spotify ügyfélszolgálatával is leveleztem, jelszót változtattam, minden helyreállt.”
Hirdetés
A gyanakvó olvasó ezek után ellenőrizte az összes fiókját: „Kíváncsi voltam, mennyire erős a védelem a személyes adataim felett, utánaolvastam, és több fióknál is jelszót változtattam.” Utolsó lépésként még beütötte a Gmail-címét a Google keresőjébe. Legnagyobb meglepetésére kidobott egy oldalt, ahol nemcsak a felhasználónév, de egy jelszó is ott csücsült. Valós jelszó volt, de nem a Google-fiókhoz tartozott, hanem egy másik oldalnál használt kód volt. Mint az olvasó elmondta, egy-két, a listán szereplő barátjával ők is ellenőrizték, és helyesek voltak az adatok. A fiókok, jelszavak stimmeltek, bár volt, aki már megváltoztatta a listán szereplő verziót, de akadt olyan is, akinek más apphoz, oldalhoz tartozó jelszava volt látható.
„Ezek után rákerestem az észt fájlmegosztó oldal felhasználójára, aki a listát feltöltötte” – mondta az áldozat. Olyan közösségi oldalakat talált, amelyeken feltört oldalakról származó felhasználónév-jelszó kombinációkat osztottak meg egymással a bűnözök. Sőt, programokat és módszereket is ajánlottak, hogy a különböző appokat, oldalakat hogyan lehet meghekkelni.”
Az elmondottak alapján feltételezhető volt, hogy nem magát a Gmail-fiókot törték fel, hanem egy másik oldalon, appon keresztül szerezhették meg a felhasználók adatait. A problémát tehát az jelenti, amikor valaki ugyanazt a fiókot és jelszót használja több helyen is, és ezáltal a bűnözők rögtön mindegyikhez hozzáférnek.
Futók kerültek veszélybe
Végül kiderült, hogy a Budapest Sportiroda (BSI) oldalát törték fel hackerek. E-mailben meg is erősítették a támadás tényét, és a kicsit több, mint 15 ezer fős létszám is stimmel az adatok alapján. Mint fogalmaztak, a BSI nevezési rendszerébe törtek be illetéktelenek, „jelen tudomásunk szerint ázsiai IP-címekről”, ahol a profilhoz tartozó adatokhoz is hozzáfértek.
A futóversenyeket szervező iroda jelenleg még vizsgálja a támadás mértékét és az esetlegesen ellopott adatok körét. Mint közölték, bankkártya- és fizetési információkat nem tárolnak. Nevezéskor a felhasználót az OTP Bank biztonságos, háromlépcsős fizetési felületére irányítják át, így ilyen adatok nem kerültek a birtokukba, a támadás ezeket nem érinti.
Az online nevezési rendszert a biztonsági rés befoltozásáig leállította a BSI. A korábban használt jelszavakat egy véletlenszerűen generált jelszóra változtatták. Ha újraindul a nevezés, egy jelszó-emlékeztető kérésével tudják majd a felhasználók megváltoztatni a jelszavukat.
Felhívták az érintettek figyelmét, ha az adott e-mail-cím és jelszó kombinációt más felületen is használják, akkor haladéktalanul módosítsák.
A fejleményekről ezen a linken adnak majd további tájékoztatást.
