Reddit hat bestätigt, dass Hacker nach einem „sehr gezielten“ Phishing-Angriff auf interne Dokumente und Quellcode zugegriffen haben.
A Beitrag von Reddit CTO Christopher Sloweoder KeyserSosa, erklärte, dass das Unternehmen am 5. Februar auf den „ausgeklügelten“ Angriff auf Reddit-Mitarbeiter aufmerksam wurde. Er sagt, dass ein noch nicht identifizierter Angreifer „plausibel klingende Eingabeaufforderungen“ gesendet habe, die Mitarbeiter auf eine Website umleiteten, die sich als Reddit-Intranet ausgibt Portal, um Anmeldeinformationen und Zwei-Faktor-Authentifizierungstoken zu stehlen.
Slowe sagte, dass kürzlich „ähnliche Phishing-Versuche“ gemeldet wurden, ohne konkrete Beispiele zu nennen. Er verglich den Verstoß jedoch mit dem jüngsten Hack von Riot Games, bei dem Angreifer Social-Engineering-Taktiken einsetzten, um auf den Quellcode für das alte Anti-Cheat-System des Unternehmens zuzugreifen.
Reddit sagte, dass Hacker erfolgreich die Anmeldeinformationen eines einzelnen Mitarbeiters erhalten haben, was es ihnen ermöglicht, Zugriff auf interne Dokumente und Quellcode sowie einige interne Dashboards und Geschäftssysteme zu erhalten.
Slowe sagte, das Unternehmen habe von der Verletzung erfahren, nachdem der gephishte Mitarbeiter den Vorfall selbst dem Sicherheitsteam von Reddit gemeldet hatte, wodurch es schnell den Zugang der Eindringlinge sperren und eine interne Untersuchung einleiten konnte.
Reddit, das täglich mehr als 50 Millionen Nutzer hat, sagte, seine Untersuchung habe ergeben, dass auch auf begrenzte Kontaktinformationen von „Hunderten“ aktueller und ehemaliger Mitarbeiter sowie auf einige Werbetreibendeninformationen zugegriffen wurde. Das Unternehmen gibt jedoch an, „keine Beweise“ dafür zu haben, dass persönliche Benutzerdaten und andere nicht öffentliche Daten gestohlen, veröffentlicht oder online verbreitet wurden.
Unabhängig davon hat Reddit allen Benutzern empfohlen, 2FA auf ihren Konten einzurichten und einen Passwortmanager zu verwenden. „Neben großartig komplizierten Passwörtern bieten sie eine zusätzliche Sicherheitsebene, indem sie Sie warnen, bevor Sie Ihr Passwort auf einer Phishing-Site verwenden“, sagt Slowe.
„Wir untersuchen und überwachen die Situation weiterhin genau und arbeiten mit unseren Mitarbeitern zusammen, um unsere Sicherheitskompetenzen zu stärken“, fügte er hinzu. „Wie wir alle wissen, ist der Mensch oft das schwächste Glied in der Sicherheitskette.“
Reddit erlitt 2018 einen schwerwiegenderen Datenverstoß, bei dem Angreifer auf a vollständige Kopie der Reddit-Daten aus dem Jahr 2007, die die ersten zwei Jahre des Betriebs der Website umfassen. Dazu gehören Benutzernamen, gehashte Passwörter, E-Mails, öffentliche Posts und private Nachrichten.