Platforma za strimovanje medija Plex upozorila je svoje korisnike da resetuju lozinke nakon što je haker uspio da ukrade podatke za autentifikaciju iz jedne od njihovih baza podataka.
Prema obavještenju o incidentu koje je objavljeno, kompromitovani podaci uključuju adrese elektronske pošte, korisnička imena, heširane lozinke i druge podatke za autentifikaciju.
„Neovlašćena treća strana je pristupila ograničenom dijelu korisničkih podataka iz jedne od naših baza podataka“, navodi se u obavještenju Plex-a.
Iako je incident brzo stavljen pod kontrolu, iz kompanije potvrđuju da su među kompromitovanim informacijama adrese elektronske pošte, korisnička imena i bezbjedno heširane lozinke. Kompanija naglašava da su lozinke heširane u skladu sa industrijskim standardima i da se ne mogu direktno čitati od strane hakera.
Međutim, Plex nije precizirao koji algoritam za heširanje je korišćen, što otvara mogućnost da napadači pokušaju da razbiju lozinke. Iz tog razloga, preporučuje se svim korisnicima da resetuju lozinku na plex.tv/reset i pri tome obavezno uključe opciju „Sign out connected devices after password change“, kako bi svi uređaji povezani na kompromitovani nalog bili odjavljeni. Ovo znači da će se korisnici morati ponovo prijaviti na svim uređajima.
Za one koji koriste SSO prijavljivanje, Plex savjetuje da se odjave sa svih aktivnih sesija putem stranice plex.tv/security, a zatim ponovo uloguju na sve uređaje.
Kompanija dodatno podsjeća korisnike da uključe dvofaktorsku autentifikaciju radi bolje zaštite, kao i da nikada neće tražiti lozinke ili podatke o kreditnim karticama putem mejla. Naglašeno je i da podaci o plaćanju nisu kompromitovani jer se uopšte ne čuvaju na serverima Plex-a.
Plex je saopštio da je ranjivost koja je omogućila napad već zakrpljena, ali tehnički detalji o metodi upada nisu podijeljeni.
Ovo, međutim, nije prvi put da Plex korisnici moraju resetovati lozinke. U avgustu 2022. godine, kompanija je pretrpjela gotovo identičan incident, kada su takođe kompromitovani podaci za autentifikaciju i heširane lozinke.
Izvor: BleepingComputer
