Atlassian的HipChat遭到黑客攻击；用户的数据可能已被泄露

发生了什么事？

根据该公司网站今天发布的安全公告，一个“受欢迎的第三方”HipChat使用的软件库。com服务允许黑客侵入其服务器并访问客户帐户信息。

然而，HipChat没有确切说明黑客利用哪个编程错误进入HipChat云服务器。

什么类型的信息？

黑客获取的数据包括用户帐户信息，如客户姓名、电子邮件地址和散列密码信息。

除了信息，攻击者还可能从HipChat“聊天室”或组中获取元数据，包括聊天室名称和聊天室主题。虽然元数据不像直接消息那么重要，但它仍然足以识别不打算公开的信息。

更糟糕的是，黑客可能还窃取了聊天室中的信息和内容，但在少数情况下（约0.05%）。目前还没有迹象表明，超过99%的用户信息或房间内容被泄露。

幸运的是，没有证据表明攻击者访问了任何人的信用卡或财务信息。

谁没有受到影响？

未连接到受影响的第三方软件库的HipChat用户不受数据泄露的影响。

其他Atlassian地产也很安全，因为该公司声称没有证据怀疑其他Atlassian系统或产品，如Jira、Confluence或Trello受到黑客攻击的影响。

担心还是不担心？

没有必要惊慌失措，因为可能在漏洞中暴露的密码也很难破解。

Atlassian首席安全官Ganesh Krishnan指出，HipChat使用bcrypt加密算法，带有随机盐。

数据用bcrypt散列，它将密码转换成一组随机字符，使散列过程非常缓慢，以至于需要几个世纪才能强制执行所有HipChat帐户密码。

为了增加安全性，HipChat还可以“咸的“每个密码在散列之前都有一个随机值，增加了防止可能的解密的额外保护。

然而，像这样的数据泄露更为严重，因为在此之前已经有太多的泄露，其次，大多数用户对他们的多个帐户使用相同或类似的密码。

因此，黑客不需要花太多时间在数据库中交叉引用用户的用户名或电子邮件地址，从以前的漏洞中找到旧密码，从而使用户面临更大的黑客风险。

有多少受害者？

HipChat没有透露有多少用户可能受到这起事件的影响，但该公司正在采取几项主动措施来保护其用户的安全。

HipChat在做什么？

作为预防措施，HipChat已使所有可能受影响的HipChat连接帐户的密码无效，并通过电子邮件发送密码重置说明，迫使每个用户重置其帐户密码。

该公司还试图追踪并修复其服务使用的第三方库中的安全漏洞，该漏洞是导致该漏洞的原因。

为了应对攻击，该公司还更新了HipChat服务器，该服务器将通过标准更新频道直接与客户共享。

HipChat还隔离了受影响的系统，并关闭了任何未经授权的访问。

HipChat母公司Atlassian也在积极配合执法部门调查此事。

你现在该怎么办？

出于显而易见的原因，强烈建议所有HipChat客户尽快更改密码。

你还应该特别警惕网络钓鱼邮件，这通常是网络犯罪分子在入侵后的下一步行动。网络钓鱼旨在诱骗用户放弃密码和银行信息等更多细节。