Public Service Announcement AKA Минуточку вашего внимания

Это статья о компании Valve Corporation от Pache

1166 4 27 июля 2015 г. Редакция

Только что мне стало известно, что на днях произошёл взлом Steam. Степень поражения - зависит от личных предпочтений пользователя, информация под катом.

Суть взлома проста как две копейки и сама возможность его сделать появилась, видимо, вследствие банального недосмотра. Дело в том, что в форме восстановления забытого пароля на запрос ввести код, отосланный на почтовый ящик для подтверждения, можно было ничего и не отвечать, таким образом спокойно меняя жертве пароль (сейчас это уже пофиксили, так что можно писать об этом открыто). К счастью, Steam Guard никто не отменял, так что злоумышленники без вашей почты сделать ничего более не могут... Если у вас эта функция включена. Если же нет - мои соболезнования.

Атаке подверглись многие "знаменитые" пользователи вроде твитчеров и им подобных, но и без урона для "простых смертных" не обошлось. Очевидно, что толку менять пароли нет (либо у вас уже увели аккаунт, либо врезались в защиту по почте), однако если под удар вы не попали, но данную фичу включённой не имеете, самое время подумать ещё раз.

P.S.
Отмечу, что судя по всему, проблема появилась в мобильном приложении Steam. Хотя скриншоты эксплоита, которые я видела, были сделаны через веб-интерфейс.
~~Если же этой дыре столько лет, становится слегка неуютно.~~

Комментарии

0LotusBlade | 27 июля 2015 г.

То есть, любой пройдоха может ввести мой логин и затребовать смену пароля, после чего сразу войти под новым паролем? Тогда вопрос - разе вводить новый пароль он должен не после клика по ссылке пришедшей на почту? Везде же именно так работает. Или типа там сразу вводишь новый пароль, а потом только просят сделать фэйковое подтверждение с почты?

Второй вопрос — откуда взломщик узнавал логины? У меня логин не = нику, нигде. Судя по всему, увидеть его просто осмотрев профиль друга — нельзя. То есть нужно точно знать.
- 0SAXAHOID | 27 июля 2015 г.
  
  >У меня логин не = нику, нигде
  Ну это у тебя, а у меня равно, например (там, где так можно, иначе почта или что там положено).
- 0Usernm | 27 июля 2015 г.
  
  Ну для твоего аккаунта я бы предположил что логин - MasterBlade, потому что он самый первый в списках псевдонимов. И у большинства игроков там видно реальный логин как первый псевдоним. Хотя судя по количеству псевдонимов, возможно это и не так.
0BlinkRaven | 27 июля 2015 г.

Видимо новость прикручена к недавнему запуску атентификатора(не обязательного) Steam, недавно мелькал в рекламах стима.