Skocz do zawartości
statys

Wyciek danych użytkowników OVH

Polecane posty

Gość Pokuć

Prewencyjnie zmieniłem hasło do Managera. Strzeżonego itd :)

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

ja na szczeście nic tam nie mam :) - już ;>

 

Zdziwiłem się że hostinghouse co troche pada - patrzę na niebezpiecznik - JEST PRZYCZYNA!

 

Wkrótce w sieci nikt nie będzie mogł się czuć bezpieczny ...

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

ja na szczeście nic tam nie mam :) - już ;>

 

Zdziwiłem się że hostinghouse co troche pada - patrzę na niebezpiecznik - JEST PRZYCZYNA!

 

Wkrótce w sieci nikt nie będzie mogł się czuć bezpieczny ...

Już teraz nikt nie może czuć się w pełni bezpiecznie ;)

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

Czemu to zawsze musi być przez jakiegoś administratora?

Ci dzisiejsi włamywacze w ogóle nie muszą się starać :)

 

Ja jeszcze nie spotkałem osoby poza sobą (a znam adminów) i kolegą która używa np dwuskładnikowego uwierzytelniania (a korzystają z usług które oferują taką opcję: Dropbox, Gmail, Cloudflare, Facebook, Outlook.com) a o rzeczach takich jak KeePass i hasła generowane nie wspominając.

Edytowano przez Zoel (zobacz historię edycji)

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

 

Ja jeszcze nie spotkałem osoby poza sobą (a znam adminów) i kolegą która używa np dwuskładnikowego uwierzytelniania (a korzystają z usług które oferują taką opcję: Dropbox, Gmail, Cloudflare, Facebook, Outlook.com) a o rzeczach takich jak KeePass i hasła generowane nie wspominając.

 

Ja używam gdzie to jest możliwe. E-mail (gmail), Facebook, Dropbox, Cloudflare.

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

Ja tak samo - pierwsze 2 tygodnie było trochę męczenia a potem to już stało się nawykiem że aby się gdzieś zalogować trzeba wyjąć smartfona* (lub otworzyć bazę KeePass'a) i odpalić Google Authenticatora (Authy w przypadku CF) lub odebrać SMS z kodem.. Więc to wszystko tym bardziej czasem zadziwia że osoby "super techniczne" olewają w ogóle takie kwestie

 

 

* - jest opcja wydruku karteczki z awaryjnymi i można ją nosić w portfelu jakby komuś fon się rozładował..

Edytowano przez Zoel (zobacz historię edycji)

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

 

Witam,

 

Kilka dni temu odkryliśmy, że wewnętrzne zabezpieczenia w sieci wewnętrznej w naszym biurze w Roubaix zostały naruszone. Po weryfikacji odnaleźliśmy hakera, któremu udało się otrzymać dostęp do konta email jednego z administratorów systemów. Dzięki temu uzyskał on dostęp do wewnętrznego protokołu VPN innego pracownika. Następnie udało mu się uzyskać dostępy jednego z administratorów systemu, który jest odpowiedzialny za wewnętrzny backoffice.

 

Wewnętrzne zabezpieczenia opierały się na 2 poziomach weryfikacji:

- geograficznym: obecność w biurze lub korzystanie z VPN-a, na IP źródłowym

- osobistym: hasło

 

 

Podjęte kroki

-------------------------

 

Po włamaniu natychmiast zmieniliśmy wewnętrzne zasady bezpieczeństwa:

- hasła wszystkich pracowników zostały zmienione na każdym poziomie dostępu.

- uruchomiliśmy nowy VPN w zabezpieczonej sali PCI-DSS z ograniczonymi dostępami

- sprawdzanie wewnętrznych emaili jest teraz możliwe tylko w biurze lub poprzez połączenie VPN

- wszystkie osoby posiadające krytyczne dostępy przechodzą na 3 poziomy weryfikacji:

- ip źródłowe

- hasło

- osobisty token hardware (YubiKey)

 

 

Wnioski

-------------------------

 

Podczas wewnętrznego postępowania dotyczącego tego problemu odkryliśmy, że hakerzy wykorzystali prawdopodobnie uprzywilejowane dostępy dla 2 operacji:

- uzyskanie dostępu do bazy danych naszych klientów w Europie

- uzyskanie dostępu do systemu instalacji serwerów w Quebecu.

 

Baza danych klientów w Europie zawiera dane osobowe klientów takie jak: nazwisko, imię, nic, adres, miejscowość, kraj, telefon, faks, zaszyfrowane hasło.

Szyfrowanie hasła opiera się na SHA512, aby uniknąć brutforce. Potrzeba wielu środków technicznych, aby odzyskać hasło. Jest to jednak możliwe. To dlatego zalecamy wam zmianę hasła do panelu klienta. Dziś prześlemy do wszystkich klientów email z wyjaśnieniami i z zaleceniem zmiany hasła. Informacje o kartach bankowych nie były widoczne. Nie przechowujemy ich w naszej infrastrukturze.

 

W przypadku systemu instalacji serwerów w Quebecu ryzyko jest następujące: jeśli klient nie usunął z serwera naszego klucza SSH, haker mógłby połączyć

się z naszego systemu i odzyskać hasło zapisane w pliku .p. Z klucza SSH nie można skorzystać z innego serwera. W przypadku gdy klient nie usunął naszego klucza SSH i nie zmienił hasła root, zmieniliśmy natychmiast hasło do serwera w serwerowni w BHS, aby uniknąć tego ryzyka. Dziś prześlemy email z nowym hasłem. Klucz SSH będzie usuwany systematycznie po dostarczeniu serwera zainstalowanego w Quebecu i w Europie. Jeśli klient będzie potrzebował pomocy OVH, będzie musiał zainstalować nowy klucz SSH.

 

W ciągu kilku miesięcy backoffice przejdzie na normę PCI-DSS, która pozwoli nam na zagwarantowanie, że w przypadku problemu związanego z włamaniem nie będzie wpływu na nasze bazy danych. Chcemy chronić wasze dane i zabezpieczyć się na wypadek szpiegostwa przemysłowego, ukierunkowanego na osoby pracujące w Ovh.

 

Składamy również skargę do instytucji sądowych. Aby nie zakłócać pracy śledczych, nie podamy więcej szczegółów.

 

Przepraszamy za tą sytuację. Dziękujemy za zrozumienie.

 

Pozdrawiam

 

Źródło: http://prace.ovh.pl/?do=details&id=16227

 

EDIT: Swoją drogą ciekawe czy mieli zgłoszoną bazę danych do GIODO?

Edytowano przez mmmm21 (zobacz historię edycji)

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

BTW. Panel OVH to taka straszliwa fuszerka (od strony używalności), że sam się czasami zastanawiam dlaczego jeszcze nie zmieniłem tego operatora (usiłując w kilkunastu podejścjach znaleźć jakąś opcję w menu).

 

Być może ceny mają w porządku, ale nic nie zrobić z tym paskudztwem przez tyle lat ... szkoda gadać.

Udostępnij ten post


Link to postu
Udostępnij na innych stronach
Gość nrm

 

EDIT: Swoją drogą ciekawe czy mieli zgłoszoną bazę danych do GIODO?

 

A we Francji mają GIODO? ;)

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

 

A we Francji mają GIODO? ;)

 

Schodzimy trochę z tematu głównego wątku:

 

OVH Sp. z o.o.

ul. Karola Miarki 6-10 lok. 3-4

50-306 Wrocław

NIP: 8992520556

REGON: 933029040

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

BTW. Panel OVH to taka straszliwa fuszerka (od strony używalności), że sam się czasami zastanawiam dlaczego jeszcze nie zmieniłem tego operatora (usiłując w kilkunastu podejścjach znaleźć jakąś opcję w menu).

 

Być może ceny mają w porządku, ale nic nie zrobić z tym paskudztwem przez tyle lat ... szkoda gadać.

 

Jest już nowa wersja tego panelu w głównym menu trzeba wybrąc VPS 2013

 

JPP1Soy.png

 

Nazwa sugeruje że to zarządzanie VPSami ale można tam np ustawiać opcje na domenach

 

PJTc3FH.png

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

Mi ich panel odpowiada w 100%. Wygląda topornie i niektóre rzeczy są nieintuicyjne lub niewygodne, ale przynajmniej jest oldschool klimat :)

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

EDIT: Swoją drogą ciekawe czy mieli zgłoszoną bazę danych do GIODO?

Schodzimy trochę z tematu głównego wątku:

 

OVH Sp. z o.o.

ul. Karola Miarki 6-10 lok. 3-4

50-306 Wrocław

NIP: 8992520556

REGON: 933029040

a teraz to:

 

w sieci wewnętrznej w naszym biurze w Roubaix

Roubaix OVH

2 Rue Kellermann,

Roubaix,

France 59100

 

 

Więc co Ty piszesz że Polskie biuro może się skierować do GIODO, jak oni zajmują się papierami i supportem? :)

To główne OVH we Francji zajmuje się tym.

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

a teraz to:

 

Roubaix OVH

2 Rue Kellermann,

Roubaix,

France 59100

 

 

Więc co Ty piszesz że Polskie biuro może się skierować do GIODO, jak oni zajmują się papierami i supportem? :)

To główne OVH we Francji zajmuje się tym.

 

Pozostawiam tę kwestie każdemu użytkownikowi do oceny, w końcu faktury wystawia OVH sp.zoo z Wrocławia, może się mylę, ale skoro faktura jest z polskiej firmy, także i umowa o hosting/serwer jest zawierana z polską firmą. Spójrz chociażby w ten regulamin, pomiędzy kim jest zawierana umowa

http://www.ovh.pl/pomoc/dokumenty/ogolne_warunki_dzierzawy_serwera_dedykowanego_2013.pdf

 

 

Niniejsze ogólne warunki są stosowane przy świadczeniu Klientowi (to jest osobie fizycznej lub prawnej

akceptującej niniejsze warunki ogólne, dzierżawiącej od OVH Sp. z o. o., ul. Karola Miarki 6-10 lok. 3-4

we Wrocławiu, zarejestrowanej w Krajowym Rejestrze Sądowym pod numerem 0000220286, zwanej dalej

OVH) usług dzierżawy serwera dedykowanego, to znaczy serwera używanego przez Klienta, ale

znajdującego się w serwerowni OVH, i którego prawidłowe funkcjonowanie zapewnia OVH. Serwer

pozostaje własnością OVH.

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

 

 

O co chodzi? Temat, do którego daleś link, został przeniesiony właśnie tutaj i zmieniona została nazwa :P

 

Co do tematu, znalazłem w menedżerze OVH taką funkcję: "Potwierdzenie SMSem"

 

"Potwierdzenie twojego numeru SMSem pozwoli OVH zagwarantować bezpieczeństwo usług.

Pozwoli to również na szybsze zatwierdzenia twoich zamówień w przyszłości."

 

Brzmi zachęcająco, ale sms z kodem aktywacyjnym do mnie nie przychodzi. 2 razy próbowałem. U was to działa?

 

Strona główna > Administracja > Parametry > Aktywacja SMS

U mnie też, wypada to zgłosić. Co do panelu v3 daje radę tylko trzeba mu poświęcić trochę czasu na przyzwyczajenie, v5 nowoczesny ale tam to z tego co pamiętam można tylko DNS-y zmienić.

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

U mnie też, wypada to zgłosić. Co do panelu v3 daje radę tylko trzeba mu poświęcić trochę czasu na przyzwyczajenie, v5 nowoczesny ale tam to z tego co pamiętam można tylko DNS-y zmienić.

Bo v5 nie jest jeszcze skończona :P

Udostępnij ten post


Link to postu
Udostępnij na innych stronach

Bądź aktywny! Zaloguj się lub utwórz konto

Tylko zarejestrowani użytkownicy mogą komentować zawartość tej strony

Utwórz konto

Zarejestruj nowe konto, to proste!

Zarejestruj nowe konto

Zaloguj się

Posiadasz własne konto? Użyj go!

Zaloguj się


×