بزرگترین حملات سایبری وب‌سایت‌ها

 

همچنان حملاتی که باعث می‌شوند اطلاعات صدها میلیون یا حتی میلیاردها نفر تحت تأثیر قرار گیرد رو به افزایش است. حدود 3.5 میلیارد نفر فقط در 15 مورد از بزرگترین حملات سایبری وب‌سایت‌ها این قرن، داده‌های خود را از دست داده‌اند. کوچکترین حادثه در این لیست شامل اطلاعات مربوط به 134 میلیون نفر است.

CSO با استفاده از معیارهایی ساده لیستی از بزرگترین حملات سایبری وب‌سایت‌ها را در قرن 21 را شامل تعداد افرادی که داده‌های آن‌ها به خطر افتاده است را تهیه کرده است. همچنین بین وقایعی که داده‌ها به سرقت رفته‌اند و مواردی که سازمانی ناخواسته داده‌ها را بدون محافظت و در معرض دید قرار داده است، تمایز قائل شده است. به عنوان مثال توییتر رمزهای ورود 330 میلیون کاربر خود را در یک لیست بدون حفاظ قرار داد اما هیچ مدرکی مبنی بر سوء استفاده وجود نداشت.

در این لیست ما 15 مورد از بزرگترین حملات سایبری وب‌سایت‌ها را برای شما آماده کرده ایم،  که  در اینجا هر کدام را به طور کامل شرح می‌دهیم.

بزرگترین حملات سایبری وب‌سایت‌ها

1. Adobe
2. Adult Friend Finder
3. Canva
4. Dubsmash
5. eBay
6. Equifax
7. Heartland Payment Systems
8. LinkedIn
9. Marriott International
10. My Fitness Pal
11. MySpace
12. NetEase
13. Sina Weibo
14. Yahoo
15. Zynga

خسارت‌های جهانی حملات سایبری

Adobe

تاریخ: اکتبر 2013
تأثیر: 153 میلیون حساب کاربری
Adobe اولین مورد از بزرگترین حملات سایبری وب‌سایت‌ها می‌باشد. همانطور که در اوایل اکتبر سال 2013 توسط برایان کربس، وبلاگ نویس امنیتی گزارش شده بود، Adobe در ابتدا گزارش داد که هکرها نزدیک به 3 میلیون پرونده کارت اعتباری رمزگذاری شده مشتری را به سرقت برده‌اند، به علاوه داده‌های ورودی برای تعداد نامشخصی از حساب‌های کاربری را نیز هک کرده‌اند.

در اواخر همان ماه، Adobe تخمین زد که شناسه و رمزهای عبور رمزگذاری شده برای 38 میلیون “کاربر فعال” است. Krebs گزارش داد، فایلی که فقط چند روز قبل ارسال شده است “به نظر می رسد شامل بیش از 150 میلیون نام کاربری و رمز عبور هش شده (hashed) از Adobe باشد.” هفته‌ها تحقیق نشان داد که این هک همچنین باعث افشای نام مشتری، شناسه، رمز ورود و اطلاعات کارت اعتباری شده است.

توافقی در آگوست سال 2015 انجام شد که Adobe درحدود 1.1 میلیون دلار هزینه و مبلغی نامشخص به کاربران بپردازد تا ادعاهای نقض قانون سوابق مشتری و شیوه‌های غیرمنصفانه تجارت را تسویه کند. در نوامبر 2016 مبلغ پرداختی به مشتریان 1 میلیون دلار گزارش شد.

 

Adult Friend Finder 

تاریخ: اکتبر 2016
تأثیر: 412.2 میلیون حساب
دومین مورد از بزرگترین حملات سایبری وب‌سایت‌ها در AFF رخ داد. این نقض به دلیل خدماتی که سایت ارائه می‌داد، برای دارندگان حساب بسیار حساس بود. شبکه FriendFinder، که شامل وب سایت‌های ارتباطی و محتوای بزرگسالان مانند Adult Friend Finder ،Penthouse.com بود. در اواسط اکتبر 2016 هک شد. داده‌های سرقت شده 20 سال در شش پایگاه داده گسترش یافت و شامل نام، آدرس ایمیل و رمزهای عبور بود.

الگوریتم رمزنگاری ضعیف SHA-1 از بسیاری از رمزهای عبور محافظت می‌کرد. زمانی که LeakedSource.com تجزیه و تحلیل مجموعه داده‌های خود را در 14 نوامبر 2016 منتشر کرد، تقریباً 99٪ از آن ها شکسته شده بود.

همانطور که CSO در آن زمان گزارش داد، “یك محقق كه با آیدی 1×0123 در توییتر و توسط Revolver در شبکه های دیگر حضور دارد، تصاویر صفحه ای را در Adult Friend Finder را منتشر كرده است (نشان می دهد که یک آسیب پذیری شامل پرونده محلی (LFI) در حال فعال شدن است) وی گفت که این آسیب پذیری، در یک ماژول در سرورهای مورد استفاده توسط Adult Friend Finder کشف شده است، که در حال هک کردن اطلاعات از آن بودند.

 

Canva

تاریخ: مه 2019
تأثیر: 137 میلیون حساب کاربری
در ماه مه 2019 وب سایت ابزار طراحی گرافیک استرالیا Canva دچار حمله‌ای شد که آدرس‌های ایمیل، نام کاربری، نام‌ها، شهرهای محل سکونت و رمزهای عبور bcrypt (برای کاربرانی که از شبکه های اجتماعی استفاده نمی کنند. حدود 61 میلیون نفر) از 137 میلیون کاربر را نشان می دهد. Canva می‌گوید که هکرها موفق به مشاهده و نه سرقت فایل‌هایی با کارت اعتباری جزئی شدند.

مجرمی معروف به Gnosticplayers – با ZDNet تماس گرفت تا در مورد این حادثه اتفاق افتاده صحبت کند؛ گفت که Canva حمله آن‌ها را شناسایی کرده و سرور نقض اطلاعات آن‌ها را بسته است. مهاجم همچنین ادعا کرد که نشانه های ورود به سیستم OAuth را برای کاربرانی که از طریق Google وارد سیستم شده اند به دست آورده است.

این شرکت حادثه را تأیید کرد و متعاقباً به کاربران اطلاع داد، آن‌ها را وادار به تغییر رمزهای عبور و تنظیم مجدد نشانه های OAuth کرد. با این حال، طبق پست بعدی Canva، لیستی از حدود 4 میلیون حساب Canva حاوی رمزهای عبور کاربر، سرقت شده و بعداً رمزگشایی شده، به صورت آنلاین به اشتراک گذاشت و این باعث شد که این شرکت گذرواژه های بدون تغییر را باطل کند و با پسووردهای رمزگذاری نشده در این لیست کاربران را مطلع کند.

 

eBay

تاریخ: مه 2014
تأثیر: 145 میلیون حساب کاربری
eBay یک حمله در لیست حساب 145 میلیون کاربر خود را در ماه مه 2014 گزارش داد، از جمله نام، آدرس، تاریخ تولد و پسووردهای رمزگذاری شده. این غول حراج آنلاین گفت که هکرها از اعتبار سه کارمند شرکتی برای دسترسی به شبکه آن ها استفاده کرده اند و به مدت 229 روز دسترسی کامل داشتند – زمان کافی برای به خطر انداختن پایگاه داده کاربران.

این شرکت از مشتریان خواست که رمزهای عبور خود را تغییر دهند. اطلاعات مالی، مانند شماره کارت اعتباری، به طور جداگانه ذخیره شده است و به خطر نیفتاده است. این شرکت  به دلیل عدم ارتباط با کاربران خود و اجرای ضعیف روند تمدید رمز عبور مورد انتقاد قرار گرفت.

 

Equifax

تاریخ: 29 جولای 2017
تأثیر: 147.9 میلیون مشتری
Equifax، یکی از بزرگترین دفاتر اعتباری در ایالات متحده، در 7 سپتامبر 2017 گفت که آسیب‌پذیری برنامه در یکی از وب سایت‌های آن‌ها منجر به یکی از بزرگترین حملات سایبری وب‌سایت‌ها شده است که هک شدن اطلاعات حدود 147.9 میلیون مشتری را نشان می‌دهد. این نقض در 29 ژوئیه کشف شد، اما این شرکت می گوید که احتمالاً از اواسط ماه مه آغاز شده است. این نقض اطلاعات شخصی (از جمله شماره های تأمین اجتماعی، تاریخ تولد، آدرس ها و در بعضی موارد شماره گواهینامه) 143 میلیون کاربر را به خطر انداخته است. همچنین 209،000 مشتری اطلاعات کارت اعتباری خود را از دست دادند. این تعداد در اکتبر 2017 به 147.9 میلیون نفر رسید.

Equifax به دلیل تعدادی از خطاهای امنیتی و پاسخگویی مقصر شناخته شده است. مهمترین آنها آسیب‌پذیری برنامه بود که به مهاجمان اجازه دسترسی بدون محافظت می‌داد. تقسیم بندی ناکافی سیستم باعث شد تا حرکات جانبی برای مهاجمان آسان‌تر باشد. Equifax نیز در گزارش تخلف، کند عمل کرد.

 

Dubsmash

تاریخ: دسامبر 2018
تأثیر: 162 میلیون حساب کاربری
 در دسامبر 2018، سرویس پیام ویدیویی Dubsmash مستقر در نیویورک دارای 162 میلیون آدرس ایمیل، نام کاربری، هش گذرواژه PBKDF2 و سایر اطلاعات شخصی مانند تاریخ تولد بود که به سرقت رفته و همه آن‌ها برای فروش در Dream Market قرار گرفتتند. بازار دارک وب در دسامبر بعدی. این اطلاعات به عنوان بخشی از اطلاعات جمع آوری شده، شامل مواردی مانند MyFitnessPal ، MyHeritage (92 میلیون نفر) ، ShareThis ، Armor Game و برنامه CoffeeMeetsBagel به فروش می‌رسد.

Dubsmash اذعان داشت که این نقض و فروش اطلاعات رخ داده است و در مورد تغییر رمز عبور، مشاوره ای ارائه داده است  اما نتوانست نحوه ورود مهاجمان یا اینکه چه تعداد کاربر آسیب دیده‌اند را مشخص کند.

 

Heartland Payment Systems

تاریخ: مارس 2008
تأثیر: 134 میلیون کارت اعتباری در معرض دید قرار گرفتند
در آن زمان هارتلند در حال پردازش 100 میلیون تراکنش کارت پرداخت در ماه برای 175000 بازرگان – عمدتا خرده فروشی‌های کوچک تا متوسط ​​بود. این نقض در ژانویه 2009 کشف شد، زمانی که ویزا و مسترکارت از حساب‌هایی که پردازش کرده بودند، هارتلند را از معاملات مشکوک مطلع کردند. مهاجمان از یک آسیب پذیری شناخته شده برای انجام حمله تزریق SQL استفاده کردند. تحلیلگران امنیتی چندین سال به خرده فروشان در مورد آسیب پذیری هشدار داده بودند و این امر تزریق SQL را به رایج ترین نوع حمله علیه وب سایت ها در آن زمان تبدیل کرد.

به دلیل این نقض، صنعت کارت پرداخت (PCI) Heartland را مطابق با استاندارد امنیت داده (DSS) خود دانسته و اجازه پردازش پرداخت‌های عمده ارائه دهندگان کارت اعتباری را به آن نمی‌دهد. این شرکت همچنین 145 میلیون دلار به عنوان غرامت پرداخت های جعلی، پرداخت کرده است.

نقض Heartland یک نمونه نادر بود که مقامات مهاجم را دستگیر کردند. یک هیئت منصفه عالی فدرال در سال 2009 آلبرت گونزالس و دو همکار روسی را متهم کرد. گونزالس، یک کوبایی آمریکایی، متهم شده بود که طی یک عملیات بین المللی اطلاعات کارت‌های اعتباری  را دزدیده است. وی در مارس 2010 به 20 سال زندان فدرال محکوم شد.

 

LinkedIn

تاریخ: 2012 (و 2016)
تأثیر: 165 میلیون حساب کاربری
LinkedIn به عنوان شبکه اصلی اجتماعی برای متخصصان تجارت، به پیشنهادی جذاب برای مهاجمینی تبدیل شده است که قصد انجام حملات مهندسی اجتماعی را دارند. با این وجود، در گذشته نیز linkedin قربانی نشت اطلاعات کاربران شده است.

در سال 2012 این شرکت اعلام کرد که 6.5 میلیون رمز عبور غیرمستقیم (هش SHA-1) توسط مهاجمان به سرقت رفته و در یک انجمن هکرهای روسی ارسال شده است. با این حال، تنها در سال 2016 بود که دامنه کامل این حادثه فاش شد. مشخص شد که همان هکر فروش داده‌های MySpace آدرس ایمیل و رمزهای عبور حدود 165 میلیون کاربر LinkedIn را فقط با 5 بیت کوین (در آن زمان حدود 2000 دلار) ارائه می‌دهد. LinkedIn اذعان کرد که از این تخلف آگاه شده است و گفت که رمز عبورهای حساب‌های آسیب دیده را مجدداً تنظیم کرده است.

 

Marriott International

تاریخ: 2014-18
تأثیر: 500 میلیون مشتری
ماریوت اینترنشنال در نوامبر 2018 اعلام کرد که مهاجمان اطلاعات مربوط به 500 میلیون مشتری را به سرقت برده‌اند. این نقض در ابتدا در سیستم‌های پشتیبانی از برند‌های هتل Starwood از سال 2014 اتفاق افتاد. مهاجمان در سال 2016  Starwood را خریداری کردند و تا سپتامبر 2018 به صورت کشف نشده در سیستم باقی ماندند.

مهاجمان قادر به ترکیبی از اطلاعات تماس، شماره گذرنامه، شماره مهمان Starwood، اطلاعات سفر و سایر اطلاعات شخصی بودند. اعتقاد بر این است که شماره کارت اعتباری و تاریخ انقضا بیش از 100 میلیون مشتری به سرقت رفته است، اما ماریوت مطمئن نیست که مهاجمان قادر به رمزگشایی شماره کارت‌های اعتباری بوده اند یا خیر. به گفته نیویورک تایمز این تخلف به یک گروه چینی که اطلاعات آمریکایی‌ها را جمع آوری می‌کرد مرتبط شد.

 

My Fitness Pal

تاریخ: فوریه 2018
تأثیر: 150 میلیون حساب کاربری
همانند Dubsmash، برنامه تناسب اندام متعلق به UnderArmor MyFitnessPal در میان مخلوط گسترده‌ای از اطلاعات 16 سایت که به خطر افتاده بودند، شاهد وجود 617 میلیون حساب مشتری در بازار Dream بود که بزرگترین حملات سایبری وب‌سایت‌ها بود.

در فوریه 2018، نام های کاربری، آدرس‌های ایمیل ، آدرس‌های IP ، SHA-1 و رمزهای عبور هشدار bcrypt حدود 150 میلیون مشتری به سرقت رفته و پس از یک سال همزمان با Dubsmash به فروش رسید. MyFitnessPal این نقض را تأیید کرد و از مشتریان خواست که رمزهای عبور خود را تغییر دهند، اما تعداد حساب های هک شده و یا اینکه مهاجمان چگونه به داده‌ها دسترسی پیدا کردند را به اشتراک نگذاشت.

 

MySpace

تاریخ: 2013
تأثیر: 360 میلیون حساب کاربری
اگرچه مدت‌ها بود که قدرت سابق خود را نداشت. اما در سال 2016 سایت رسانه‌های اجتماعی MySpace پس از نشت 360 میلیون حساب کاربری خبرساز شد. این اطلاعات در بازار با قیمت درخواستی 6 بیت کوین (در آن زمان حدود 3000 دلار) معامله شد.

به گفته این شرکت، داده‌های از دست رفته شامل آدرس‌های ایمیل، گذرواژه ها و نام های کاربری برای “بخشی از حساب‌هایی است که قبل از 11 ژوئن 2013 در سیستم عامل MySpace ایجاد شده بودند.  و رمزهای عبور به صورت هش SHA-1 از 10 حرف اول رمز ورود به صورت حروف کوچک ذخیره شده‌اند.

 

NetEase

تاریخ: اکتبر 2015
تأثیر: 235 میلیون حساب کاربری
NetEase ارائه دهنده خدمات صندوق پستی از طریق سایت‌های 163.com و 126.com است. گزارش شده است که آدرس‌های ایمیل و رمزهای عبور  235 میلیون حساب از مشتریان NetEase توسط یک فروشنده دارک وب در حال فروش است. همین فروشنده همچنین اطلاعاتی را که از غول‌های چینی دیگر مانند Qtoj  Sina Corporation گرفته شده بود را می‌فروخت. NetEase هرگونه نقض را رد کرده است. HaveIBeenPwned این نقض را “تأیید نشده” ذکر کرده است.

 

Sina Weibo

تاریخ: مارس 2020
تأثیر: 538 میلیون حساب
سینا ویبو با بیش از 500 میلیون کاربر، نسخه چینی توییتر است. با این حال، در مارس 2020 گزارش شد که نام‌های واقعی، نام‌های کاربری سایت، جنسیت، مکان و برای 172 میلیون کاربر  شماره تلفن‌ها برای فروش در بازارهای دارک وب ارسال شده است. گذرواژه‌ها در آن گنجانده نشده‌اند، كه ممكن است دليل در دسترس بودن داده‌ها با صرف 1799 یوآن (250 دلار) می‌باشد.

وایبو اذعان داشت که داده‌های در حال فروش از طریق تطبیق مخاطبین با آدرس API بدست آمده‌اند. همچنین گفت از آنجا که رمزهای عبور را در متن ساده ذخیره نمی‌کند، کاربران نباید هیچ نگرانی داشته باشند. اگرچه برخی از اطلاعات ارائه شده مانند داده‌های مکان، از طریق API در دسترس نیستند، اما این حساب نمی‌شود. این غول رسانه‌های اجتماعی گفت که مقامات را مطلع کرده و اداره امنیت سایبری چین از وزارت صنعت و فناوری اطلاعات  در حال بررسی هستند.

 

Yahoo

تاریخ: 2014
تأثیر: 3 میلیارد حساب کاربری
یاهو در سپتامبر 2016 اعلام کرد که در سال 2014 قربانی بزرگترین نقض داده در تاریخ شده است. در این حمله مهاجمان نام واقعی، آدرس ایمیل، تاریخ تولد و شماره تلفن 500 میلیون کاربر را به خطر انداختند. Yahoo ادعا کرد که اکثر رمزهای عبور در معرض خطر قرار گرفته‌اند.

سپس در دسامبر 2016، یاهو تخلف دیگری را از سال 2013 توسط یک مهاجم دیگر فاش کرد. این حمله باعث هک نام، آدرس ایمیل و گذرواژه‌ها و سوالات و پاسخ‌های امنیتی 1 میلیارد حساب کاربر شد. Yahoo این تخمین را در اکتبر 2017 اصلاح کرد که شامل 3 میلیارد حساب کاربری شد.

زمان اطلاع اصلی این نقض قانون بد بود. بنابراین Yahoo مجبور شد در نهایت 4.48 میلیارد دلار برای تجارت اینترنتی اصلی یاهو پرداخت کرد. تخلفات صورت گرفته حدود 350 میلیون دلار از ارزش شرکت کم کرد.

 

Zynga

تاریخ: سپتامبر 2019
تأثیر: 218 میلیون حساب کاربری
جزئیات: زمانی که غول صحنه بازی، فیس بوک بود، خالق Farmville Zynga هنوز هم با میلیون‌ها بازیکن در سراسر جهان یکی از بزرگترین بازیکنان در فضای بازی موبایل است.

در سپتامبر 2019 یک هکر پاکستانی با نام Gnosticplayers به پایگاه داده Zynga حمله کرده است. این هکر به 218 میلیون حساب دسترسی پیدا کرد. بعداً Zynga تأیید کرد که آدرس‌های ایمیل، رمزهای عبور هش شده SHA-1، شماره تلفن‌ها و شناسه‌های کاربر برای حساب‌های Facebook و Zynga را به سرقت برده است که آن را نیز می‌توان یکی از بزرگترین حملات سایبری وب‌سایت‌ها جهان دانست.

منبع: CSO

لطفا جهت مشاوره در انتخاب آنتی ویروس مناسب خود با این شماره 09224971053 تماس بگیرید.

 مارو در شبکه های اجتماعی خودتان به اشتراک بگذارید.