Foto gratis, sito di grafica Freepik rivela una violazione dei dati che colpisce 8,3 milioni di utenti

ZDNet consiglia

Miglior chiave di sicurezza 2021

Mentre le password robuste fanno molto per proteggere i tuoi preziosi account online, l’autenticazione a due fattori basata su hardware porta quella sicurezza a un livello superiore.

Per saperne di più

Freepik, un sito Web dedicato a fornire l’accesso a foto gratuite di alta qualità e grafica di design, ha rivelato a grave violazione della sicurezza.

La società lo ha reso ufficiale dopo che gli utenti hanno iniziato a lamentarsi sui social media questa settimana per aver ricevuto e-mail di notifica di violazione dall’aspetto losco nelle loro caselle di posta.

ZDNetha contattato la società Freepik il 20 agosto e, sebbene non abbiamo ricevuto risposta prima della pubblicazione di questo articolo, la società ha formalmente divulgato una violazione della sicurezza venerdì, confermando l’autenticità delle e-mail che ha inviato agli utenti registrati negli ultimi giorni.

L’hacker ha utilizzato un’iniezione SQL per entrare

Secondo la dichiarazione ufficiale dell’azienda, la violazione della sicurezza si è verificata dopo che uno o più hacker hanno utilizzato una vulnerabilità di iniezione SQL per ottenere l’accesso a uno dei suoi database in cui sono archiviati i dati degli utenti.

Freepik ha affermato che l’hacker ha ottenuto nomi utente e password per gli 8,3 milioni di utenti più vecchi registrati sui suoi siti Web Freepik e Flaticon.

Freepik non ha detto quando è avvenuta la violazione, o quando ne è venuto a conoscenza. Tuttavia, la società afferma di aver informato le autorità non appena ha appreso dell’incidente e ha iniziato a indagare sulla violazione e su ciò a cui l’hacker aveva avuto accesso.

Milioni di hash di password sono stati rubati

Per quanto riguarda ciò che è stato preso, Freepik ha affermato che non tutti gli utenti avevano password associate ai loro account e che l’hacker ha preso le email degli utenti solo per alcuni.

La società stima questo numero a 4,5 milioni, che rappresentano gli utenti che hanno utilizzato accessi federati (Google, Facebook o Twitter) per accedere ai propri account.

“Per i restanti 3,77 milioni di utenti, l’attaccante ha ottenuto il proprio indirizzo e-mail e un hash della password”, ha aggiunto la società. “Per 3,55 milioni di questi utenti, il metodo per eseguire l’hash della password è bcrypt e per i restanti 229.000 utenti il ​​metodo è stato salato MD5. Da allora abbiamo aggiornato l’hash di tutti gli utenti in bcrypt.”

In fase di notifica agli utenti

La società ha affermato che ora sta notificando a tutti gli utenti interessati con e-mail personalizzate, a seconda di ciò che è stato preso. Queste e-mail vengono inviate agli utenti di Freepik e Flaticon, a seconda del servizio su cui si erano registrati gli utenti. Di seguito sono riportati alcuni di questi messaggi, come abbiamo ricevuto dai nostri lettori.

“Coloro che avevano una password con hash con salted MD5 hanno ricevuto la loro password cancellata e hanno ricevuto un’e-mail per invitarli a scegliere una nuova password e a cambiarla se fosse stata condivisa con qualsiasi altro sito (una pratica fortemente sconsigliata)” disse Freepik. “Gli utenti a cui è stato eseguito l’hashing della password con bcrypt hanno ricevuto un’e-mail in cui si suggeriva loro di cambiare la password, soprattutto se era una password facile da indovinare. Gli utenti a cui era solo trapelata la propria e-mail sono stati avvisati, ma non è richiesta alcuna azione speciale da parte loro”.

Freepik è uno dei siti più popolari su Internet, attualmente classificato al 97° posto nell’elenco dei 100 migliori siti di Alexa. Flaticon non è da meno, al 668° posto.

Quando EQT ha acquisito la società Freepik alla fine di maggio di quest’anno, la società ha affermato che il servizio Freepik ha una comunità di oltre 20 milioni di utenti registrati.

Gli utenti registrati su Slidesgo, un altro dei siti Web della società Freepik, non sembrano essere stati interessati.

Fughe di dati: le fonti più comuni VEDI LA GALLERIA COMPLETA

1 – 5 di 14 PROSSIMO PREC

Sicurezza

• Quando la tua VPN è una questione di vita o di morte, non fare affidamento sulle recensioni
• Le bande di ransomware si lamentano del fatto che altri truffatori stiano rubando i loro riscatti
• Il CEO di Bandwidth conferma le interruzioni causate da attacchi DDoS
• Questi sistemi affrontano miliardi di attacchi ogni mese mentre gli hacker cercano di indovinare le password
• Come ottenere un lavoro ben retribuito nella sicurezza informatica
• Cybersecurity 101: proteggi la tua privacy da hacker, spie e governo