Alerta: eBay foi atacado! É urgente mudar a password

39 Comentários

De acordo com uma informação publicada no blog do eBay, o site de leilões mais popular do mundo foi atacado e nesse sentido é importante e urgente que os utilizadores mudem a password de acesso.

Ao que consta, a base de dados que contem as credenciais de acesso ao serviço foi comprometida, apesar desta informação estar cifrada. Os responsáveis pelo eBay informaram que estão já em fase de avaliação do ataque e também a estudar novos mecanismos de segurança.

ebay_00

A informação do ataque às bases de dados do ebay foi hoje anunciada pela própria empresa no seu próprio blog. A empresa informa que de facto há dados comprometidos relativos a utilizadores ex: nome dos clientes , passwords, endereço de e-mail, morada física, número de telefone e data de nascimento), depois de uma base de dados, com informações de logins de funcionários, ter sido explorada por um grupo de hackers.

The database, which was compromised between late February and early March, included eBay customers’ name, encrypted password, email address, physical address, phone number and date of birth. However, the database did not contain financial information or other confidential personal information. The company said that the compromised employee log-in credentials were first detected about two weeks ago. Extensive forensics subsequently identified the compromised eBay database, resulting in the company’s announcement today.

A empresa adiante ainda que não há qualquer evidência relativamente ao comprometimento de informação do PayPal já que o serviço está numa rede à segura à parte e toda a informação está cifrada.

… it has no evidence of unauthorized access or compromises to personal or financial information for PayPal users. PayPal data is stored separately on a secure network, and all PayPal financial information is encrypted.

Comentários

39

Deixe um comentário

O seu endereço de email não será publicado. Campos obrigatórios marcados com *

  1. Avatar de Fábio Pinto
    Fábio Pinto

    Já está mudada, tanto a do eBay como a do Paypal!

    Cada vez menos vou usar estes dois serviços, pois cada vez mais se corre o risco de ter compras feitas por outros que não tenhamos sido nós a efectua-las…

    1. Avatar de Ru1Sous4
      Ru1Sous4

      Basta ter cartões “decentes” para reduzir o risco nessas plataformas.

    2. Avatar de ptpedropt
      ptpedropt

      paypal? xD

      1. Avatar de Filipe YaBa Polido
        Filipe YaBa Polido

        Penso que o Rui Sousa se referia ao fantástico MBNet.
        Não estou a ser irónico, gosto mesmo do serviço.
        Além de ser contra cartões de crédito, se tivesse um nunca o usaria online. Por isso o MBNet é a melhor hipótese para os desconfiados/precavidos.

        1. Avatar de Paulo Pires
          Paulo Pires

          Eu utilizava o MBnet até o paypal me bloquear a conta por adicionar e cancelar vários cartões.

          1. Avatar de Filipe YaBa Polido
            Filipe YaBa Polido

            Tinhas que informar primeiro.
            Envias o link do MBNet, descrição do serviço e a razão para usares (segurança ou falta de cartão de crédito normal).
            Passado 2 ou 3 dias eles colocam a tua conta como “especial” e podes usar normalmente.
            (Foi o meu caso) e funciona sem problemas.

  2. Avatar de Luna Wolf
    Luna Wolf

    Já está! Agora que já arranjei um organizador de passwords é muito mais simples e rápido manter tudo em ordem. Sem stress 🙂

    1. Avatar de vitor
      vitor

      boaaa… e qual usas ?
      Obg. 😉

    2. Avatar de Pedro Azevedo
      Pedro Azevedo

      Diz lá qual é esse organizador maravilhoso…

      1. Avatar de Luna Wolf
        Luna Wolf

        http://www.passwordbox.com é só instalar a extensão no navegador e criar uma conta e está pronto, isso depois guarda todas as senhas e pode gerar novas aleatórias, com dimensão até 26 caracteres. Muito bom 🙂
        Gratuito até 25 passwords, depois é 12$ por ano, ou então convidam 5 amigos e ganham uma subscrição vitalícia!

    3. Avatar de Ricardo Peralta
      Ricardo Peralta

      Deve ser o Last Pass… 😀

  3. Avatar de João Pereira
    João Pereira

    Nem eu sei qual é a minha pass do ebay… já sabem mais que eu…

    1. Avatar de raz0r24
      raz0r24

      epic haha

  4. Avatar de Antonio Pinto
    Antonio Pinto

    Teoricamente eles nao armazenam a palavra pass em MD5? que supostamente, não é possivel reverter?

    Começo a pensar que todos aqueles sites que convertem as Passes de normal para MD5, as armazeram para futuramente tentar descobrir as palavras pass.

    1. Avatar de Joao Pinho
      Joao Pinho

      Não é teóricamente, podes ler no artigo. Agora é como afirmam, os dados uma vez “fora da mão deles”, não podem garantir que NUNCA serão expostos. Tendo isso em conta o jogo seguro é alertar e acautelar essa possibilidade

  5. Avatar de Mig@s
    Mig@s

    Não sabia. Obrigado pela dica!

    Pelo sim pelo não mudei ambas as passwords 🙂

  6. Avatar de David Guerreiro
    David Guerreiro

    Então se hackarem esse site Passwordbox.com, vão ter acesso a todas as senhas de todos os sites que lá tiverem colocado…

    Já mudei a senha do Ebay, ia mudar do Paypal e agora pede-me o número da conta bancária. Agora sei lá quantos digitos eles querem? Já meti o NIB que foi o que me pediram quando inseri a conta bancária, mas não aceita. Alguém sabe quantos digitos são? Já tentei os ultimos 9 digitos, os ultimos 6 digitos, e nada.

    1. Avatar de João Dias
      João Dias

      Se o Passwordbox.com implementar uma política de segurança como a do LastPass, então até podem ir a casa do CEO da empresa e pedir as passwords todas, porque, pelo menos o último implementa Perfect Forward Secrecy. Nem eles próprios guardam as chaves privadas de ninguém, nem sequer eles conseguem ter acesso às chaves do utilizador. E implementando uma camada adicional com o Google Authenticator, a coisa torna-se muito difícil de entrar.

      Se tiverem dúvidas, basta lerem aqui:
      http://blog.lastpass.com/2010/07/lastpass-gets-green-light-from-security.html

      Quando acontecem estas coisas, é ir ao gestor de passwords e gerar outra qualquer password aleatória.

    2. Avatar de Diogo Canais
      Diogo Canais

      por norma é o nº do cartão e não o NIB

    3. Avatar de João Reis
      João Reis

      Essa de guardar as senhas num site aparte é mesmo engraçado.

      É quase tão cómico quanto aqueles sites que “te dizem” se a vossa password é segura ou não, ou se está numa lista xpto ou não.

      No momento que lá coloquem a vossa, passa a estar na base de dados publica lol

      Nunca mas Nunca usem sites para guardar senhas, usem um bloco de notas em papel real, ou deixem a asteriscos partes da senha que voces sabem de certeza. Já faz mais sentido.

      1. Avatar de Bruno Gonçalves
        Bruno Gonçalves

        Eu cá uso um sistema altamente complexo baseado em níveis x).

        Basicamente são níveis de confiança (até 6 níveis). Ora este sistema baseado em níveis apenas tenho que fazer uma lista de sites com os níveis:

        Imaginando que existe uma password original xpto123, vamos ter os seguintes níveis:

        (As passwords não constam da lista, são indicativas para perceber o conceito)

        Confiança 6:
        site1 – xpto1236
        site2 – xpto1236

        Cofianaça 5:
        site3 – xpto1235
        site4 – xpto1235

        ..
        ..

        Sabendo em que nível está o site, sei qual a respectiva password. Como sei qual a password original só tenho que alterar mentalmente os dígitos ou caracteres do respectivo nível 😀

        1. Avatar de Filipe YaBa Polido
          Filipe YaBa Polido

          Já usei esse sistema, mas torna-se aborrecido ao longo do tempo, e depois esquecia-me que nivel era o site.
          Conclusão: Recover password e passei a usar o LastPass (com dupla autenticação). Se der bronca paciência, cansei de decorar passes+sites.

          1. Avatar de Bruno Gonçalves
            Bruno Gonçalves

            Daí eu ter todos os sites em que me inscrevo num excel x).

            Isto começou quando mudei de numero de tlm e não sabia em que sites tinha o número para o alterar, então comecei a guardar todos os sites em que tinha conta.. e daí surgiram os níveis.

        2. Avatar de João Reis
          João Reis

          Altamente o teu sistema, mas não dava para mim, mas é uma boa forma sem dúvida.

          Na minha opinião basta nunca usarem uma parte da senha, colocar a asteriscos.

          Estes assaltos a contas não é tanto o perigo de virem de proposito a vossa conta, colocam bots a testarem as senhas associadas aos emails.

          Lembrem se se a senha do vosso email associado ao paypal ou ebay for a mesma senha comprometida, os bots dos hackers vao testar tambem as senhas de emails.

          Outra boa forma de segurança por exemplo para GMAIL e Facebook é autenticacao em 2 passos, funciona bastante bem pois podem saber as vossas senhas mas nunca vao entrar na conta sem terem o codigo de confirmacao no telemivel.

          Um excelente alarme pois quando vos chegar uma SMS da google a dar a senha, voces ja sabem ao certo que a vossa senha principal foi COMPROMETIDA.

      2. Avatar de João Dias
        João Dias

        Exacto. E as palavras-passe todas iguais também.

      3. Avatar de Hmm
        Hmm

        Uma boa alternativa é o KeePass. As passwords ficam guardadas numa database local.

      4. Avatar de Joao Pinho
        Joao Pinho

        Okay, não vou contrariar a tua opinião quanto a esses serviços. Mas desde tenra idade que sempre ouvi dizer “Nunca escrevas passwords nem pins em papel”. É mais provável o papel ir parar a mãos erradas que um site desses ser atacado com sucesso.

    4. Avatar de alexmv
      alexmv

      são os números do cartão com que fazes os pagamentos.

      1. Avatar de David Guerreiro
        David Guerreiro

        Não, não é. Pedem o número da conta bancária, que está associada. Eu associei a minha conta bancária no caso de querer retirar fundos do saldo do Paypal.

    5. Avatar de Manuel Cruz
      Manuel Cruz

      Insere o NIB completo sem espaços

      1. Avatar de David Guerreiro
        David Guerreiro

        Isso fiz eu logo, e nada. Inseri também os últimos 9 dígitos, os últimos 4, os últimos 8, os últimos 6… e nada, diz sempre que não é válido. O Paypal mostra os últimos 2 dígitos, que correspondem realmente aos últimos 2 dígitos do NIB.

      2. Avatar de David Guerreiro
        David Guerreiro

        Já descobri! É o IBAN.

  7. Avatar de TrasMontano
    TrasMontano

    Com o LastPass foi facilimo alterar a senha.
    Contudo, não posso deixar de reconhecer alguma preocupação com o facto de as senhas serem guardadas em site de terceiros.
    Deixo aqui um convite à PPLware: Para quando um tutorial sobre como usar o LastPass sem a funcionalidade cloud?
    OBrigado

    1. Avatar de David Guerreiro
      David Guerreiro

      O mal de usar o LastPass e outros softwares do género é que inevitavelmente se vai esquecer das passwords que utiliza, dado que deixa de as inserir. Se estiver noutro computador e precisar de aceder a algo depois não tem a password…

      1. Avatar de Joao Campos
        Joao Campos

        Mas nesse caso podes aceder via site ao teu cofre.

  8. Avatar de JJ
    JJ

    Acho que o mais fácil é criar mentalmente um determinado tipo de padrão para as passwords. Depois todas as passes seguem esse tipo de padrão.
    Mas este padrão é muito variável entre passwords, bem como atribuir um significado a cada elemento do padrão, por exemplo:

    Padrão base:
    ware + ppl + 214 + .

    Variações:
    – wareppl
    – wareppl214
    – wareppl214.
    – warePPL214
    – ware214
    – ware214.PPL
    etc.

    Inicialmente podemos ficar com a ideia que descobrindo uma password, fica fácil descobrir as outras. O ponto esta onde se utiliza cada variação. Site banais a variação mais básica, sites mais importantes variações mais completa, sites de alta segurança a variação mais complexa possível.

    Ou seja, se descobrirem a variação mais básica, a variação mais complexa não é fácil descobrir porque tem elementos novos e diferentes. Pegando no exemplo:

    Básica: wareppl
    Completa: wareppl214
    Complexa: warePPL214. | ware214.PPL

    As variações são tantas que o problema será saber que variação se usou em determinado site, mas nada que uma ou duas tentativas não resolva. Visto que por norma usa-se determinado padrão para determinado site.

  9. Avatar de António
    António

    Já utilizei o LastPass…mas deixei de confiar! Essa história das camadas de segurança não me deixou suficientemente tranquilo.
    Agora o que faço é utilizar o KeePass. Tenho no PC e no SmartPhone…quando preciso de pass elas lá estão.

  10. Avatar de Carlos

    Done. De qualquer forma, eu estava a adiar a mudança da password há tanto tempo. Precisava de uma boa desculpa.