Kickstarterがハッキングされました：クレジットカードは安全で、パスワードは盗まれました

データ侵害の疲労が始まり、2月になりました。 Kickstarterは、ハッキングされる最新の注目度の高いサイトです。

法執行機関は2月12日にKickstarterに違反を通知し、Kickstarterは攻撃者を通過させた脆弱性をすぐに閉鎖しました。 同社は、ユーザーに通知する前に過去4日間で「状況を徹底的に調査」し、チームはすでにインフラストラクチャ全体で「セキュリティ対策の強化」を開始している、とStrickler氏は語った。

「これが起こったことを非常に残念に思います。私たちはコミュニティにどのように貢献するかについて非常に高い水準を設定しました。

誰かがまだ弱いパスワードを使用したり、複数のサイトで資格情報を再利用したりする言い訳はありません。 Security Watch が何度も言っているように（たとえば、LinkedIn、Twitter、Adobe、Evernote、またはDropboxのことを言っているとしても）、強力なパスワードを使用し、パスワードが一意であるようにする必要があります。 1つのサイトが複数のアカウントに影響を与えることはなく、2要素認証をオンにする、パスワードマネージャーを使用するなど、より強力な認証方法を使用します。 Kickstarterがリストに参加しても、同じアドバイスが適用されます。

盗まれたもの

Kickstarterユーザーには、良いニュースと悪いニュースがあります。 良いニュースは、クレジットカードのデータにアクセスしなかったことです。 すべての支払いトランザクションはKickstarterではなくAmazon Paymentsによって処理および保存されるため、Kickstarterには最初にクレジットカードデータがないためです。 Kickstarterは、米国以外のプロジェクトの資金調達に使用されるクレジットカードの最後の4桁と有効期限を保存していますが、この情報は侵害されていません。

悪いニュースは、攻撃者がユーザー名、メールアドレス、住所、電話番号、パスワードを含むデータベースに侵入したことです。 これまでのところ、2つのアカウントが不正に使用された可能性があります。 Kickstarterはすでにこれらのアカウントを再保護し、ユーザーに通知しています。

パスワードセキュリティ

パスワードは暗号化されていたため、攻撃者はパスワードを解読するのにある程度の時間とかなりのコンピューティングリソースを必要としました。 いくつかのパスワードはSHA1アルゴリズムを使用してソルトおよびハッシュされ、他のパスワードはより強力なbcrypt暗号化を使用したようです。 とにかく、完全に失敗する暗号化はなく、Amazon Elastic Compute Cloud（EC2）または他のクラウドプラットフォームで強力なマシンを簡単に起動できることを考えると、パスワードが最終的に解読されると想定しても安全です。 パスワードはすぐに絶対に変更する必要があります。

Facebookアカウントを使用してログインするKickstarterユーザーにとって朗報です。その情報はFacebookサーバーに保存されているため、Facebookの資格情報は安全なままです。 KickstarterはFacebookのログインを許可するすべてのトークンを取り消したため、次回ログインしようとすると、アカウントを再度手動でリンクするように求められます。

Kickstarterは、LastPassや1Passwordなどのパスワードマネージャーの使用を推奨しています。 エディターズチョイスの指定を受けた2つの製品であるLastPass 3.0とDashlane 2.0を含む、PCMagがレビューしたすべてのパスワードマネージャーを確認してください。

次は何？

「私たちは法執行機関と緊密に協力しており、これが再び起こらないように全力を尽くしています」とStrickley氏は言います。 Kickstarterはできる限りのことを行っていますが、ユーザーは別の違反が発生した場合の損害を最小限に抑えるために、可能な限りのことをすべて行う必要があります。

これらすべての侵害により、ユーザーがよりセキュリティに精通する必要があることがますます明確になっています。 パスワードを重要性が低いと見なしたり、保護すべき機密情報がないと判断した場合でも、サイト間でパスワードを再利用しないでください。 パスワードは長く（管理できる場合は8文字以上）、数字、句読点、大文字と小文字が混在する複雑なものにする必要があります。 最後に、サイトで機能が提供されている場合は2要素認証を有効にし、パスワードマネージャーの使用を検討してください。

「その後、セキュリティ手順とシステムをさまざまな方法で改善しました。今後数週間および数か月間は改善を続けます」とStrickley氏は述べています。