[Atualizado x2] PSA: Se você já comprou alguma coisa do SlickWraps, todas as suas informações pessoais foram comprometidas
SlickWraps
SlickWraps, um dos fabricantes de skins de dispositivos mais conhecidos, parece ter um grande problema de segurança em suas mãos. Um pesquisador de segurança que usa o Twitter para lidar com Lynx0x00, conseguiu entrar nos sistemas do SlickWraps e comprometer aparentemente tudo. Se você é um cliente SlickWraps, é hora de bloquear seu crédito e alterar as senhas.
Atualização, 21/02: Pouco depois de publicar este post, o SlickWraps divulgou uma declaração oficial por meio de sua conta no Twitter:
https://twitter.com/SlickWraps/status/1230929725192839170?s=20
Atualização x2, 21/02: A postagem original do Medium detalhando essa violação não está mais disponível. Você pode encontrar uma versão arquivada aqui.
O relatório original é deixado intacto abaixo.
Como ele explicou em um post no Medium, Lynx0x00 começou a investigar o SlickWraps por causa de reclamações de atendimento ao cliente no Twitter. Mas a verdadeira história começa quando ele viu uma alegação de que um hacker violou as contas do ZenDesk do SlickWraps. E assim começou a testar.
Não demorou muito para que ele tivesse acesso total aos bancos de dados de clientes. A área de personalização de capas de telefone da empresa de seu site continha uma vulnerabilidade que permitia que qualquer pessoa com o conjunto certo de ferramentas carregasse qualquer arquivo em qualquer local no diretório mais alto em seu servidor. A partir daí, todo o resto caiu como dominó.
Lynx diz que obteve acesso aos bancos de dados da empresa, Slack, logs de transações para seus gateways de pagamento e até mesmo controle total do sistema de gerenciamento de conteúdo da empresa.
Eventualmente, ele tentou divulgar a vulnerabilidade ao SlickWraps, tanto com meios convencionais (como um e-mail bem redigido) quanto com meios não convencionais (como um Tweet vago com acompanhamentos menos vagos). Inicialmente, suas tentativas de contato ficaram sem resposta, e a empresa até o bloqueou no Twitter.
Eventualmente, ele conseguiu entrar em contato com a equipe de mídia social da SlickWraps, mas a discussão foi ruim e a empresa o bloqueou novamente. Isso levou Lynx a publicar suas descobertas no Medium. Por sua vez, o SlickWrap não reconheceu as alegações de Lynx, e sua conta no Twitter é silenciosa. Atualizaremos esta postagem se a empresa divulgar uma declaração. (Edit: Você pode ler a declaração do SlickWrap acima.)
Infelizmente, temos todos os motivos para acreditar que alguém tem acesso às contas e serviços do SlickWraps. Os clientes estão começando a postar e-mails da conta de e-mail oficial do SlickWraps, mas escritos por outra pessoa. Lynx afirmou que não escreveu o e-mail.
Se você já comprou alguma coisa do SlickWraps, talvez queira bloquear seu crédito e entrar em contato com as empresas de cartão de crédito.
Você também pode redefinir as senhas e, se reutilizar a mesma senha para muitos sites, deve parar. Sugerimos usar um gerenciador de senhas para criar senhas exclusivas para cada site.