פירצת אבטחה שנתגלתה במערכות אתרי הארץ ודה מרקר הותירה פרטיהם של אלפי משתמשים חשופים ברשת, כך עולה מחשיפה של חוקר אבטחה בשם שקד אורבך. לדברי אורבך פירצת האבטחה באתר חשפה את כל משתמשי האתר לרבות פרטים אישיים וסיסמאות, שלדבריו עברו הצפנה מינמלית בלבד, וניתן היה לשחזרם בקלות. אורבך עידכן את הארץ ולאחר פנייתו תקנו את הפירצה אך בשלב הזה לא ברור כמה זמן זו היתה באוויר.
את הפירצה מצא אורבך כשאתר הארץ העלה מערכת פיתוח חדשה לאוויר שהייתה פתוחה לקהל הרחב. "פירצת אבטחה במערכת חשפה נתונים שונים ממסד הנתונים, כמו למשל שמות, כתובות אימייל, כתובות, וסיסמאות שאמנם היו מגובבות אך בעזרת אלגוריתם פשוט ניתנות היו לפיצוח. בנוסף, בעזרת אימייל וסיסמא היה ניתן לעקוף בקלות את הזיהוי הכפול שהארץ הטמיעה בעמוד ההתחברות בהארץ".
אותה מערכת חדשה, חשפה שגיאות שהגיעו ממסד הנתונים של האתר, וכך ניתן היה לזהות ולאתר פירצות פוטנציאליות. אותה פירצה אפשרה גישה לרוב הנתונים ששמורים באתר, לרבות שמות משתמשים, דואר אלקטרוני, כתובות ואף סיסמאות שהוצפנו בצורה בסיסית, ובאמצעות אלגוריתם פשוט, ניתן היה להסיר את ההצפה ולצפות ברשימת הסיסמאות. עוד דיווח אורבך כי רשימת המידע של הארץ, כללה גם את רשימת המידע של דה מרקר, לרבות כתובות אימייל וסיסמאות.
אל תפספס
עוד דיווח כי הארץ מפעילה מנגנון אימות דו שלבי, אך גם אותו ניתן היה לעקוף כשאת הודעת האימות היה ניתן לשלוח למייל אחר, וכך להתחבר אל האתר. קבוצת הארץ לא דיווחה למשתמשים על פירצת האבטחה, ולדבריה, מלבד מציאת הפירצה של חוקר האבטחה, לא ידוע על שימוש לא מורשה שנעשה במידע מהמאגר. עוד ציין אורבך כי קבוצת הארץ סגרה את הפירצה בתוך שעות מהדיווח.
יש לי חשבון בהארץ או דה מרקר, מה עושים?
חשוב להבהיר כי בהארץ מסרו כי לא נעשה שימוש בפועל של פירצת האבטחה שמצא החוקר. ולכן גם לטענתם, לא עדכנו את המשתמשים בדבר הפירצה. עם זאת, מומלץ לנקוט משנה זהירות ולהשתמש בסיסמא ייעודית לכל אתר. החשש העיקרי הינו שהמשתמשים חולקים את אותן הסיסמאות לאתר ולחשבון המייל שלהם, כך שאם מאגר אחד ידלוף, האקרים יוכלו בקלות יתרה להתחבר לחשבון המייל ולהשתלט על חשבונות נוספים כמו פייסבוק ועוד. לכן, נקטו משנה זהירות והשתמשו בסיסמא ייעודית לכל אתר והחליפו אותה לעיתים תכופות.
מקבוצת הארץ נמסר:
"המקרה המדובר טופל על ידינו לפני מספר חודשים. החוקר שקד קליין אורבך הפנה את תשומת לבנו לאפשרות תיאורטית של גילוי פרטי התחברות מוצפנים לאתר הארץ. הודנו לו על כך, ובעקבות הפנייה, אפשרות זו נחסמה על ידינו ואף בוצעו שיפורים נוספים במערכת הלוג-אין לאתר.
מכל מקום, לא היה מדובר באפשרות לחשיפת פרטי אמצעי תשלום, ולא במקרה שמחייב דיווח כחוק.
חשוב להבהיר כי לחברה לא ידוע שנעשה בפועל שימוש לא מורשה במידע מהמאגר, או שנגרמה פגיעה בשלמותו.
במקרה שלנו, הסיסמה שנחשפה היא סיסמה מגובבת ולא הסיסמה המקורית. לאור העובדה שלאחר בדיקת הלוגים של האתר לא התגלתה כריית מידע והודות לעובדה שהסיסמאות נחשפו כשהן מגובבות והיה צורך בהנדסה מורכבת לאחור על מנת לפצח אותן, לא היתה סכנה למשתמשים ולא ראינו צורך בלהלחיץ אותם ללא סיבה.
כל גולש שמגלה בעיית אבטחה באתר מוזמן לפנות אלינו ישירות לכתובת digital-support@haaretz.co.il".