SurveyLama data breach expune informațiile a 4.4 milioane de utilizatori

Serviciul de alertă privind încălcarea datelor, Have I Been Pwned (HIBP), avertizează că SurveyLama a suferit o încălcare a datelor în februarie 2024, care a expus datele sensibile ale a 4.4 milioane de utilizatori.

SurveyLama este o platformă online care recompensează utilizatorii înregistrați pentru completarea sondajelor. Deținută de firma franceză Globe Media, platforma este lăudată pentru plățile mari (până la 20 dolari), plățile rapide și multiplele opțiuni de retragere.

La începutul lunii februarie, creatorul HIBP, Troy Hunt, a primit informații despre o încălcare a datelor care afecta serviciul, implicând diverse tipuri de date, inclusiv:

Hunt a declarat pentru BleepingComputer că a fost notificat de expunerea datelor de către unul dintre utilizatorii afectați și a verificat independent datele.

Când a fost contactat de HIBP pentru a afla autenticitatea datelor, SurveyLama a declarat că a notificat deja utilizatorii afectați prin e-mail, confirmând incidentul de securitate.

Setul de date conține informații despre 4,426,879 de conturi și a fost adăugat la HIBP ieri, astfel încât utilizatorii afectați ar fi trebuit să primească deja o notificare prin e-mail.

Platforma a declarat că parolele expuse erau stocate fie sub formă de hash-uri saltate SHA-1, bcrypt sau argon2, astfel încât nu sunt direct utilizabile sub formă de text clar.

Deși hashing-ul adaugă o anumită rezistență la crackuire, nu este impenetrabil la forțare brută, în special parolele protejate cu hash-uri saltate SHA-1, care prezintă vulnerabilități cunoscute, făcându-le susceptibile la atacuri de coliziune.

Cu toate acestea, utilizatorii de conturi SurveyLama ar trebui să-și reseteze parolele pe serviciu imediat și pe alte platforme unde ar putea folosi aceleași credențiale.

Hunt a declarat pentru BleepingComputer că nu era conștient că datele compromise au fost postate în mod public, făcând expunerea limitată în prezent.

Cu toate acestea, dacă setul de date a ajuns în mâinile greșite, ar putea fi exploatat în mod privat și apoi, în cele din urmă, scurs către comunitatea mai largă a infracțiunilor cibernetice, așa că utilizatorii trebuie să ia măsuri de protecție cât mai curând posibil.