Internetin erittäin suosittu keskustelupalsta Reddit joutui tietomurron uhriksi sunnuntaina 5. helmikuuta. Muutaman tunnin kestänyt hyökkäys ei yhtiön mukaan vaarantanut käyttäjien salasanoja, tilejä tai mitään ei-julkista tietoa.
Hyökkääjä lähestyi Redditin työntekijöitä räätälöidyllä viestillä, joka vakuutti yhden työntekijän menemään viestissä linkatulle ja Redditin sisäverkon kirjautumista jäljittelevälle verkkosivulle. Tällä tavalla hyökkääjä varasti työntekijän tunnukset.
Lue lisää: Tietomurtojen sarjassa varastettiin sotilasteknologiaa – suomalaisyhtiö nimesi tekijän
Reddit arvioi hyökkääjän päässeen käsiksi joihinkin sisäisiin asiakirjoihin, osaan ohjelmakoodia ja muun muassa joihinkin liiketoimintajärjestelmiin. Satojen yrityskontaktien ja työntekijöiden rajoitetut yhteystiedot vaarantuivat kuten myös jotkut mainostajiin liittyvät tiedot.
Redditin käyttäjiltä ei edellytetä toimenpiteitä, mutta Reddit suosittaa kaksivaiheisen tunnistuksen ottamista käyttöön yleisluontoisena toimenpiteenä.
Ei ole todisteita, että itse Redditiä ajavaan ja sen tietoja suurissa määrin käsittävään alustaan olisi tunkeuduttu.
Yhtiö pääsi nopeasti jyvälle tapahtuneesta, koska huijausviestiin langennut työntekijä ilmoitti itse virheestään. Hakkerilta evättiin pääsy järjestelmiin.
Reddit on kiitollinen kyseisen työntekijän nopeasta toiminnasta. Tämä toimii esimerkkinä kaikille muillekin. Lähes kuka tahansa voi oikeissa olosuhteissa, kuten kiireen tai paineen alla, tehdä vastaavan virheen.
Lue lisää: Varo! Uusi huijaus on hyvää suomea ja nettiosoite uskottava – näin hyökkäys etenee
Eri asia on, moniko tunnustaa virheensä välittömästi ja kertoo tapahtumasta esimiehilleen. Vahinkoaan häpeilevät ja peittelevät antavat hyökkääjän jatkaa pahantekoaan. Yrityksen kulttuurilla ja tietoturvakoulutuksella on tässä iso rooli.
Reddit sanoo viiden vuoden takaisen tietomurron olleen hyödyllinen kokemus, sillä sen opeista oli nyt apua. Tuolloin yhtiöstä varastettiin käyttäjien yksityisiä tietoja, kuten suojattuja salasanoja, sähköpostiosoitteita ja yksityisviestejä.
Uudessa hyökkäyksessä onnistuttiin ohittamaan myös kaksivaiheinen tunnistus, joka Redditin mukaan on pakollinen kaikille työntekijöille. Pelkän salasanan lisäksi hyökkääjän piti saada haltuunsa erillinen varmistetieto murtautuakseen järjestelmiin.
Tästä huolimatta Reddit korostaa, että kaksivaiheinen tunnistus on tärkein turvatoimenpide, jonka käyttäjät voivat tehdä.
Reddit antaa viestissään myös kiistanalaisen ohjeen käyttäjilleen. Yhtiön mielestä salasanan vaihtaminen parin kuukauden välein on "aina hyvä idea". Viime vuosina on kuitenkin varoiteltu, että tällainen toiminta kannustaa käyttäjiä valitsemaan edellistä salasanaa vahvasti muistuttavan muunnelman, eikä oikeasti paranna tietoturvaa.
