Dopo quello di un paio di giorni fa un secondo attacco hacker colpisce Rousseau: online donazioni, nomi, mail e numeri di telefono di eletti. «Troppo facile bucare il vostro database...»
E due. Dopo l’attacco di un hacker – Evariste GalOis – che il 2 agosto ha informato la Casaleggio Associati della violazione di Rousseau e dell’entrata negli archivi che custodiscono le password degli iscritti, i loro indirizzi mail, i metodi di pagamento e le cifre delle sottoscrizioni effettuate, un altro hacker, Rogue0, su Twitter ha pubblicato i risultati di una nuova penetrazione nel database.
Uno dei post su Twitter di Rogue0
Il secondo attacco hacker a Rousseau
Il secondo attacco hacker a Rousseau pare più dirompente e soprattutto svolto con intenzioni meno nobili rispetto al primo. Nella prima schermata pubblicata dall’hacker c’è un database in cui sono presenti nomi, cognomi, città e indirizzi mail di attivisti che hanno fatto una donazione a Rousseau. Viene indicato, inoltre, anche l’importo e il metodo di pagamento.
Il post pubblicato su Zerobin
«Non è il sistema a essere stato compromesso», ci dice un esperto del settore «ma soltanto il contenuto del database». L’hacker avrebbe sfruttato una vulnerabilità conosciutissima di MySql. Nel secondo post c’è un elenco di nomi, mail e metodi di pagamento mentre nel terzo, introdotto con un “così si controllano le votazioni” sono presenti i dati di alcuni eletti a 5 Stelle come Vito Crimi.
Il terzo post dell’hacker su Rousseau
I database hanno dei permessi speciali, che permettono a questo o quell’utente di leggere o scrivere i dati in tabella. Questi permessi sono limitati da una password; è bastato un sql injection per superare i permessi di sicurezza e avere accesso al database in sola lettura. In ogni caso, spiega l’esperto, il sistema non è bucabile dall’esterno: per bucarlo serve un accesso al server; ad esempio, bisogna essere iscritti. Solo un iscritto al portale ha accesso a quel sql injection. Oppure qualcuno che ha rimediato la password di un iscritto al portale.
Cosa pensa Rousseau dell’hacking di Rousseau
Il secondo hacking arriva dopo che ieri l’Associazione Rousseau si è ufficialmente espressa sull’accaduto. Con un post sul blog di Beppe Grillo l’associazione ha sostenuto che la violazione è avvenuta “all’interno del vecchio sito”, sostenendo che la vulnerabilità segnalata non esiste più. L’Associazione Rousseau ha anche annunciato una denuncia nei confronti dell’hacker che le ha segnalato l’errore e ha parlato di “contromisure” contro questi reati – probabilmente la denuncia alla polizia postale – sostenendo che è grazie alla denuncia che il sito dell’hacker è scomparso, anche se è molto più probabile che sia stato lo stesso hacker a cancellarlo.
Nessun commento:
Posta un commento