Reddit: Einbruch in die Systeme, Angreifer kopierten Daten

Schlechte Nachrichten von Reddit, der großen, nutzergetriebenen Plattform. Es gab einen Vorfall. In Kurzform: Ein Angreifer brach in einige der Systeme von Reddit ein und schaffte es, auf einige Benutzerdaten zuzugreifen, darunter einige aktuelle E-Mail-Adressen und ein 2007er Datenbank-Backup mit alten salted und gehashten Passwörtern. Seitdem führte man eine sorgfältige Untersuchung durch, um herauszufinden, worauf zugegriffen wurde.

Am 19. Juni erfuhr man, dass zwischen dem 14. und 18. Juni ein Angreifer einige Konten der Mitarbeiter bei den Cloud- und Quellcode-Hosting-Providern kompromittiert hat. Da man bereits primäre Zugangspunkte für Code und Infrastruktur hinter einer Authentifizierung mit Zwei-Faktor-Authentifizierung (2FA) habe, hat man gelernt, dass die SMS-basierte Authentifizierung nicht annähernd so sicher ist, wie man erhoffte – der Hauptangriff erfolgte per SMS-Abfrage.

Obwohl dies ein schwerer Angriff war, erhielt der Angreifer keinen Schreibzugriff auf Reddit-Systeme, sondern nur Lesezugriff auf einige Systeme, die Backup-Daten, Quellcode und andere Protokolle enthielten.

Worauf zugegriffen wurde: Eine vollständige Kopie eines alten Datenbank-Backups mit sehr frühen Reddit-Benutzerdaten – vom Start der Website im Jahr 2005 bis Mai 2007. In den ersten Jahren hatte Reddit viel weniger Funktionen, so dass die wichtigsten Daten in diesem Backup sind: Kontoinformationen (Benutzername + salted Hash-Passwörter), E-Mail-Adressen und alle Inhalte (meist öffentliche, aber auch private Nachrichten) von damals. Bei betroffenen Nutzern wird das Passwort zurückgesetzt, sie erhalten zudem eine Nachricht.

Zudem gab es Zugriffe auf die E-Mail-Zusammenfassungen, die zwischen dem 3. und 17. Juni 2018 verschickt wurden. Die Protokolle enthalten die Zusammenfassung selbst, zudem Nutzername, Mail-Adresse und Vorschläge für Subreddits.

Sollten Nutzer so lange dabei sein, wie oben genannt, dann sollten diese ihr Passwort ändern. Natürlich auch die Augen aufhalten, ob Angreifer vielleicht phishen wollen. Zusätzliche Sicherheit bietet die 2FA auch bei Reddit. Die kommt nicht via SMS, sondern per Authentifizierungsapplikation.