Hentet passord fra offentlig liste: Finn.no stoppet ikke noen av de 44.000 login-forsøkene [Ekstra]

[Martin Braathen Røise]

Hentet passord fra offentlig liste: Finn.no stoppet ikke noen av de 44.000 login-forsøkene [Ekstra]

[olavrb]

Tenk at Schibsted fortsatt ikke har implementert MFA i autentiseringsløsningen sin. Med så mange ting en Schibsted-konto brukes til nå, flere ting hvor penger og integritet er involvert. Å fortsatt ikke ha mer enn kun et brukernavn og passord for login, det er ikke bra nok.

Endret 2. februar 2022 av o-l-a-v

[F3NMH3OO]

Hva menes egentlig med at "Nærmere undersøkelser viste at angripere hadde fått tilgang til passord og brukernavn hos en tredjepart, og dermed kunne logge seg inn hos den norske tjenesteleverandøren med de stjålne passordene."? Er det a) kundens gjenbruk av passord flere steder som er problemet, eller b) hackerne har faktisk fått tak i Finn.no  passordene til kunden? a) er kundens problem, men b) er et alvorlig problem for finn.no/Schibsted.

[The Avatar]

o-l-a-v skrev (1 time siden):

Tenk at Schibsted fortsatt ikke har implementert MFA i autentiseringsløsningen sin. Med så mange ting en Schibsted-konto brukes til nå, flere ting hvor penger og integritet er involvert. Å fortsatt ikke ha mer enn kun et brukernavn og passord for login, det er ikke bra nok.

Schibsted meiner nok at det er for tungvindt for brukaren med MFA, men samtidig skal det kreve eit tosifra antall klikk å deaktivere informasjonskapslar på Schibsted sine sider.

[qualbeen]

F3NMH3OO skrev (50 minutter siden):

Hva menes egentlig med at "Nærmere undersøkelser viste at angripere hadde fått tilgang til passord og brukernavn hos en tredjepart, og dermed kunne logge seg inn hos den norske tjenesteleverandøren med de stjålne passordene."? Er det a) kundens gjenbruk av passord flere steder som er problemet, eller b) hackerne har faktisk fått tak i Finn.no  passordene til kunden? a) er kundens problem, men b) er et alvorlig problem for finn.no/Schibsted.

Hva som menes akkurat i denne saken vet jeg ikke. Bør vel være forsiktig med å være bombastisk ...

Allikevel – dersom Finn eller Schibsted har/hadde en lekkasje av passord, er det vel sannsynlig at langt mer enn 5000 av 44 000 innloggingsforsøk hadde fungert? Slik jeg tolker artikkelen har ca ~11% av innloggingsforsøk gått igjennom. Det tyder på at de ikke har sittet på passord-basen til Schibsted. Da burde vi jo sett nært opp til 100% sukksessrate!

Det er forøvrig en kjent sak at du kan kjøpe lister med brukernavn og passord på internett. Dette trenger ikke bety at passordet har lekket fra Finn/Schibsted. Langt ifra. Kanskje har passordet lekket fra LinkedIn? Eller fra et tilfeldig mobil-spill man opprettet konto på? Eller ymse lugubre nettsider? 

Så selv om jeg ikke vet at det er «punkt a» som er problemet, er det vel mye som tyder på det? 

PS: Dersom jeg ønsker mer målrettet passord-innhenting mot Schibsted, er det vel bare å sette opp en fake konkurranse hvor jeg lokker med gratis iPhone til de første 100 som besvarer en quiz, for så å reklamere for denne på Facebook og andre sosiale medier uten reell annonse-kontroll. Når man kommer til konkurranse-siden min, som kanskje er pyntet med Finn-logo eller annet juks for å se troverdig ut, ber jeg deg først om å 'logge inn'. Dermed får jeg brukernavn og passord fra alle som biter på agnet! 

PPS: Jeg er ansatt i et datterselskap av Finn. Jeg kjenner dog ikke til noen detaljer utover hva som står i artikkelen i denne saken, og har ingen intern info å bidra med her.

[Bing123]

1 hour ago, F3NMH3OO said:

Hva menes egentlig med at "Nærmere undersøkelser viste at angripere hadde fått tilgang til passord og brukernavn hos en tredjepart, og dermed kunne logge seg inn hos den norske tjenesteleverandøren med de stjålne passordene."? Er det a) kundens gjenbruk av passord flere steder som er problemet, eller b) hackerne har faktisk fått tak i Finn.no  passordene til kunden? a) er kundens problem, men b) er et alvorlig problem for finn.no/Schibsted.

Tolket det som gjenbruk av passord lekket andre steder.
Nå vet jeg ikke om mange har denne type beskyttelse for folk med stjålne gjenbrukte passord

[Martin Braathen Røise]

Hei! Schibsted mener passordene må være hentet fra en lekkasje og gjenbrukt i angrepet. Oppdatert saken med det nå - takk for tilbakemelding.

[qualbeen]

Martin Braathen Røise skrev (2 timer siden):

Hei! Schibsted mener passordene må være hentet fra en lekkasje og gjenbrukt i angrepet. Oppdatert saken med det nå - takk for tilbakemelding.

«Fra en lekkasje» – hva betyr nå det? 

Her burde det vel vært eksplisitt nevnt at det siktes til en lekkasje hos en helt annen tjeneste? Altså at det ikke har noe med selve brukernavn/passord hos Schibsted å gjøre, men det faktum at folk har brukt samme epost og passord på tvers av flere nettsider? 

Slik det står nå, kan man jo faktisk feilaktig tolke teksten dit hen at det har vært en lekkasje hos Schibsted.

[F3NMH3OO]

20 hours ago, qualbeen said:

«Fra en lekkasje» – hva betyr nå det? 

Her burde det vel vært eksplisitt nevnt at det siktes til en lekkasje hos en helt annen tjeneste? Altså at det ikke har noe med selve brukernavn/passord hos Schibsted å gjøre, men det faktum at folk har brukt samme epost og passord på tvers av flere nettsider? 

Slik det står nå, kan man jo faktisk feilaktig tolke teksten dit hen at det har vært en lekkasje hos Schibsted.

Viktig forskjell! Hvis Schibsted faktisk har hatt en lekkasje må de få ut informasjon til kundene sine!