Un employé de Reddit a été piégé par un courriel d’hameçonnage. Les pirates ont dérobé des morceaux de code source et des données internes, mais les comptes des utilisateurs ne sont pas en danger.
Reddit a rapporté un incident de sécurité qui s’est produit le dimanche 5 février. À l’aide d’un courriel d’hameçonnage qui redirigeait vers un site web imitant le réseau intranet, les attaquants ont réussi à extraire les données de connexion et les jetons AMF d’un employé. Cet employé l’a admis honnêtement, ce qui a permis à Reddit d’intervenir rapidement et de débarrasser le réseau des intrus.
L’attaque aurait impliqué le vol de morceaux de code source et de documents internes. Ces documents internes comprennent des données sur les contacts de l’entreprise, les publicitaires et les employés, bien que, selon Reddit, il ne s’agisse pas d’informations potentiellement nuisibles. Selon la communication officielle, les pirates n’ont pas non plus réussi à accéder aux systèmes qui exécutent Reddit et où sont stockées les données.
Il y a également de bonnes nouvelles pour les utilisateurs du forum de discussion. Jusqu’à présent, rien n’indique que des comptes d’utilisateurs soient en danger. Bien que Reddit conseille toujours aux utilisateurs de réexaminer la sécurité de leur compte et d’activer l’AMF si nécessaire. L’utilisation d’un gestionnaire de mots de passe offre également une protection supplémentaire contre l’hameçonnage, car un gestionnaire de mots de passe vous alertera si vous essayez de vous connecter à un nom de domaine inconnu.
Leçon tirée
Reddit dit avoir tiré la leçon d’un précédent incident de sécurité survenu il y a plusieurs années, ce qui lui a permis de gérer les conséquences de ce dernier incident pour le moment. En août 2018, des attaquants ont intercepté les codes d’authentification SMS des employés et copié d’anciennes bases de données contenant les identifiants de connexion des utilisateurs. Depuis, Reddit est passé de l’authentification par SMS à l’AMF avec des jetons d’authentification, mais même ce système ne semble pas être infaillible à 100 %.