Disney Plus, Account Stuffing and Old Software

Root Cause

בפרק זה נדבר על השירות החדש של דיסני, דיסני פלוס, ועל איך בימים הראשונים של השירות נגנבו עשרות אלפי חשבונות של משתמשים עם סיסמאות, מה שאיפשר לפורצים לנעול את אותם משתמשים מחוץ לשירות ולמכור את המידע הזה.מחקירה עולה שהפריצה לא בוצעה על ידי חדירה ישירות לשירות החדש, אלא דווקא בגלל פריצה שהייתה בשנת 2016 לפורום של דיסני לגיקים של גיבורי העל, שבה נגנבו מאות אלפי פרטי מידע של משתמשים, ואותם משתמשים שנגנבו מהעבר ויתחברו לשירות החדש של דיסני, נפרצו בשירות החדש בגלל שימוש חוזר באותם פרטי התחברות.נדבר על קווים מנחים לניהול קהילה ובסיס משתמשים, על החשיבות של עדכוני תוכנה ועל נושא של שימוש בסיסמאות חוזרות בין שירותים משיקים.

אהה, וכמובן על קפטן מארוול ואיירון-מן.

Links:

https://www.owasp.org/index.php/Credential_stuffing
https://haveibeenpwned.com/