Disqus, il popolare servizio di hosting di commenti è stato hackerato. La compagnia che fornisce il famoso plugin per siti di informazione e blog e ha ammesso recentemente di aver subito una grossa violazione dei dati nel 2012, durante la quale gli hacker hanno estrapolato e rubato i dati di più di 17.5 milioni di utenti. I dati rubati includono indirizzi email, nome utente usato su Disqus, date di iscrizione e le date degli ultimi log-in di tutti gli account affetti. Non è finita, perché gli hacker hanno messo le mani almeno su un terzo delle password di questi 17.5 milioni di account, criptate con il debole SHA-1.

La compagnia ha informato dell’attacco in un post sul blog ufficiale: “Stiamo ancora indagando sull’incidente ma crediamo sia giusto condividere ciò che sappiamo: è stato esposto uno snapshot del nostro database del 2012, incluse informazioni che risalgono al 2007”, ha scritto il co-fondatore e attuale CTO Jason Yan. Disqus ha saputo della violazione il 5 ottobre, quando un ricercatore indipendente nel campo della sicurezza, Troy Hunt, ha ottenuto una copia di queste informazioni rubate, informando quindi la compagnia. Dopo un’ora il team di Disqus ha analizzato e confermato che sì, i dati che circolano online sono reali e dopo 24 ore ha iniziato a contattare gli utenti affetti da questa violazione per resettare le password al più presto. Si consiglia agli utenti colpiti di cambiare password anche su altri servizi se risultano uguali a quella usata per accedere a Disqus.

Disqus dice che fin dal 2012 ha portato avanti diverse azioni di protezione ed ora crede che non ci siano problemi di sicurezza per gli account. “Abbiamo fatto significativi aggiornamenti al nostro database e crittografia per prevenire le violazioni e incrementare la sicurezza delle password. Nello specifico alla fine del 2012 abbiamo cambiato il nostro sistema algoritmico di hashing da SHA-1 abcrypt“. Rimane comunque la possibilità di ricevere email di spam e phishing con allegati malevoli e che gli hacker possano utilizzare queste informazioni insieme a tecniche di social engineering per avere informazioni sulle vittime.

Non è ancora chiaro come gli hacker abbiano fatto breccia nel database di Disqus, la compagnia di San Francisco sta ancora investigando sull’accaduto. Ricordiamo per gli utenti di DDay.it: usiamo Disqus da pochissimo e con il Single Sign On. Questo vuol dire che viene chiesta autorizzazione al nostro server, nessuna password degli utenti di DDay è quindi sui server di Disqus. La cosa riguarda solo chi ha fatto un account direttamente su Disqus.