Disqus revela que sufrió un Hackeo en 2012: Más de 17,5 millones de cuentas de usuario comprometidas

Disqus, la compañía que ofrece un plugin de comentarios basado en web para sitios web y blogs, ha admitido que fue violada hace 5 años en julio de 2012 y los hackers robaron detalles de más de 17,5 millones de usuarios.

Los datos robados incluyen direcciones de correo electrónico, nombres de usuario, fechas de inscripción y fechas de inicio de sesión en texto plano para todos los 17,5 millones de usuarios.

Los hackers también tienen en sus manos en las contraseñas de alrededor de un tercio de los usuarios afectados, que fueron hasheados y salteados (salt se usa en la criptográfia para añadir unos números random para aumentar seguridad) utilizando algoritmo SHA-1 que actualmente esta roto.

La compañía dijo que la información de usuarios expuesta se remonta a 2007 con la exposición más reciente de julio de 2012.

Según Disqus, la compañía se enteró de la violación el jueves (5 de octubre del 2017) por la tarde después de que un investigador independiente de seguridad Troy Hunt, que obtuvo una copia de la información del sitio, lo notificó a la compañía.

En aproximadamente 24 horas, Disqus reveló la violación de datos y comenzó a ponerse en contacto con sus usuarios afectados, forzándolos a restablecer sus contraseñas lo antes posible.

"No hay contraseñas guardadas en texto plano expuestas, pero es posible que estos datos se descifran (aunque sea poco probable.) Como precaución de seguridad, hemos restablecido las contraseñas para todos los usuarios afectados. Recomendamos que todos los usuarios cambien las contraseñas en otros servicios si son compartidos ", dijo Jason Yan, director de tecnología de Disqus, en una entrada en el blog.

Sin embargo, desde finales de 2012 Disqus ha hecho otras mejoras para mejorar su seguridad y ha cambiado su algoritmo de hashing de contraseñas a Bcrypt, un algoritmo criptográfico mucho más fuerte que hace difícil para los hackers obtener la contraseña real del usuario.

"Desde el 2012, como parte de las mejoras de seguridad normales, hemos realizado actualizaciones significativas de nuestra base de datos y encriptación para prevenir las brechas y aumentar la seguridad de la contraseña", dijo Yan. "Específicamente, a finales de 2012, cambiamos nuestro algoritmo de hash de contraseña de SHA1 a bcrypt".

Además de restablecer su contraseña también se recomienda cambiar todas vuestras contraseñas que useis en otras webs.

Es muy probable que los hackers puedan usar esta información robada para obtener más información sobre las víctimas usando la ingeniría social. Por lo tanto, se aconseja tener cuidado con los correos electrónicos de correo basura y phishing que pudan transportan archivos adjuntos maliciosos.

Todavía no está claro cómo los hackers robaron esa información. Disqus sigue investigando activamente este incidente de seguridad.