Базы данных Evernote взломаны, данные пользователей скомпрометированы

Популярный сервис Evernote, предлагающий пользователям создавать и синхронизировать заметки между платформами, подвергся взлому. Как сообщают представители проекта в корпоративном блоге, злоумышленники совершили действия, предоставившие возможность получить доступ к именам пользователей, адресам электронной почты и зашифрованным паролям.

Внутреннее расследование показало, что класс взломщиков оказался высоким, поэтому у разработчиков возникли опасения по поводу сохранности паролей. Несмотря на то, что злоумышленники получили доступ к хэшам с применением криптографической соли, в Evernote не могут гарантировать, что это сможет надолго отсрочить компрометацию аккаунтов, поэтому было принято решение произвести общий сброс паролей для всех пользователей.

Офис Evernote в Сан-Франциско

Представители компании сообщили, что сейчас производится рассылка оповещений на электронную почту пользователей, а кроме того разрабатываются обновления для мобильных приложений, упрощающих процедуру смены пароля. Для обеспечения надлежащей безопасности в Evernote составили стандартный свод рекомендаций:

• Избегать словарных паролей
• Не использовать один пароль для нескольких сервисов
• Не нажимать ссылки для сброса пароля в электронных письмах, а переходить для сброса на сайт проекта

Согласно предварительным данным, взлом был осуществлён через один из плагинов для WordPress, хотя не отвергается использование уязвимости в Java Runtime. Представители компании официально заявили, что методика взлома похожа на описанные ситуации у Apple, Facebook и Microsoft. Тем не менее, Evernote сообщила, что все бреши в инфраструктуре устранены, и сервис работает в штатном режиме.