Meghekkelte volt WordPress bővítmény fejlesztő cégét a kirúgott alkalmazott!

A hekker elérhetetlenné tette volt munkaadója weboldalát, majd tömeges e-mailt küldött az összes felhasználónak, rámutatva a biztonsági résekre.

Az egyik legnépszerűbb WordPress bővítményt érte támadás nemrégiben azt követően, hogy a plugin fejlesztői megszüntették a közös munkát korábbi alkalmazottjukkal. A szóban forgó bővítmény nem más, mint a WPML (vagy WP MultiLingual), azaz az egyik legnépszerűbb plugin, mely a WordPress webhelyek több nyelvre történő lefordításához, illetve kiszolgálásához nyújt hathatós segítséget.

600.000 előfizető szenvedett kárt

A WPML – saját statisztikája szerint – több mint 600.000 előfizetővel rendelkezik, és azon kevés alkalmazások közé tartozik, melynek népszerűsége révén nincs szüksége a WordPress.org tárhelyén ingyen verziós promócióra. Ám 2007-es fennállásuk óta ekkora fiaskó még nem esett meg velük, ami némileg árnyékot vet eddigi dicsfényükre.

A támadó – aki korábban a WPML csapatának oszlopos tagja volt, és fejlesztőként tevékenykedett a cégnél – körlevelet küldött az összes ügyfélnek, beszámolva a bővítmény minden befoltozásra váró biztonsági réséről. Az e-mail arra sarkallta az ügyfeleket, hogy ellenőrizzék weboldalaikat, mert azok sebezhetőségnek vannak kitéve egy esetleges támadás során.

Kétségtelen, hogy az egykori alkalmazott tettét abban a vonatkozásban felfoghatnánk etikus cselekedetként is, hogy rámutatott a bővítmény biztonsági kockázatot jelentő hibáira. A WPML csapata azonban határozottan cáfolja az elbocsátott alkalmazott állításait, sőt, egyenesen azt hangoztatják, hogy ő maga nyitott úgynevezett hátsó ajtót a szoftverben. A hátsó bejáraton keresztül azután eltulajdonította az ügyfelek neveit, e-mail címeit, majd elérhetetlenné tette a cég hivatalos weboldalát, nem kevés anyagi kárt okozva ezzel a szervezetnek.

Pénzügyi információk nem kerültek veszélybe

A fejlesztők ugyan határozottan aláhúzzák, hogy egykori munkatársuk pénzügyi információkhoz nem fért hozzá, ugyanis ilyen jellegű adatok nem kerülnek tárolásra. Ám a tekintetben még mindig nagy a bizonytalanság, hogy a felhasználók bejelentkezhetnek-e biztonsággal WPML-fiókjukba.

A cég legutóbbi nyilatkozata szerint a szerver újratelepítése folyamatban van, a hátsó ajtót bezárták, és óvintézkedés gyanánt az összes ügyfél jelszava visszaállításra kerül. A WPML munkatársai arról is beszámoltak, hogy a kollégából lett hekker a bővítmény forráskódjához nem fért hozzá, és nem kényszerített rosszindulatú telepítést az ügyfelek weboldalaira.

A cég további kérdésekre nem válaszolt, így az sem került napvilágra, hogy történt-e feljelentés a volt alkalmazott ellen. Ha a WPML fejlesztőinek állításai igazak, akkor aligha kétséges, hogy a hekker elkerüli-e a börtönbüntetést.

Aggódnak a felhasználók

Noha a WPML igyekszik megnyugtatni az ügyfeleit – ennek kapcsán e-mailben meg is kerestek minden felhasználót – a cég szűkszavúsága inkább aggodalomra ad okot körükben. Egyelőre nem tudni pontosan, hogy mennyi és milyen mélységű adat került a volt alkalmazott kezébe – nyilatkozta egy felhasználó, hozzátéve, hogy aggódik a megadott személyes adatai miatt.

Tudják a nevünket, az e-mail címünket és a fizetési adatainkat is. Ha ezekkel valaki vissza szeretne élni, akkor azt könnyedén megtehetné. Nem vagyunk tisztában azzal sem, hogy történt-e rendőri intézkedés az ügyben, vagy a hekker továbbra is szabadon garázdálkodik a megszerzett információkkal – fejtették ki nem leplezett csalódottságukat a károsultak.

 

Minden vélemény számít:

A szerkesztő ajánlata:

Vélemény, hozzászólás?