Evernote nulstiller adgangskoder, efter at angribere stjæler login-data

Online personlig organisator Evernote nulstiller adgangskoder for alle dets brugere, efter at angribere har brudt virksomhedens systemer og fået adgang til loginoplysninger, sagde virksomheden i en e-mail til kunderne.

Evernote-sikkerhedsteamet opdagede og blokerede for "mistænksom aktivitet på deres netværk, der ser ud til at have været et koordineret forsøg på at få adgang til sikre områder" af Evernote-tjenesten, sagde virksomheden i et blogindlæg mar. 2. Mens efterforskningen stadig er i gang, team fandt databasen med navne på brugere, e-mail-adresser og adgangskoder var blevet adgang til af angribere.

Evernote forsikrede brugere om, at selvom adgangskoder var blevet udsat, var skaden begrænset, fordi virksomheden havde brugt "envejskryptering" (hashet og saltet) til at beskytte dataene. Det betyder, at angribere ville have en vanskeligere tid med at krakere oplysningerne for at stjæle den faktiske adgangskode. Virksomheden sagde også, at der ikke var noget bevis på det tidspunkt, at betalingskortoplysninger eller faktisk lagret indhold var blevet udsat.

"Som en forholdsregel for at beskytte dine data har vi besluttet at implementere en nulstilling af adgangskode, " sagde Evernote og bemærkede, at beslutningen afspejlede en "overflod af forsigtighed."

Evernote giver folk mulighed for at lave lister, gemme noter og organisere personlige oplysninger såsom videoklip, billeder, websider og rejseplaner gemt i skyen. Det californiske-baserede firma vurderes at have 50 millioner brugere.

Nulstilling af adgangskode og tip

I e-mailen til kunderne sagde Evernote, at brugerne bliver bedt om at oprette en ny adgangskode, når de logger ind med deres originale legitimationsoplysninger. "Når du har nulstillet din adgangskode på evernote.com, skal du indtaste denne nye adgangskode i andre Evernote-apps, som du bruger, " sagde e-mailen, f.eks. På mobile enheder. Virksomheden opdaterer nogle af apps for at forenkle processen med ændring af adgangskode.

Virksomheden inkluderede nogle praktiske tip i sin e-mail. Det mindede brugerne om ikke at bruge enkle adgangskoder baseret på ord, der findes i ordbogen, og aldrig bruge den samme adgangskode på flere websteder eller tjenester.

"Som de nylige begivenheder med andre store tjenester har vist, bliver denne type aktiviteter mere almindelig, " sagde Evernote.

Har du for mange tjenester og kan du ikke holde styr på stærke og unikke adgangskoder til hver enkelt? PCMags Neil Rubenking har set på flere adgangskodeadministratorer, såsom 1Password og Editor's Choice LastPass 2.0.

Evernote mindede også brugere om aldrig at klikke på "nulstil adgangskode" -linkene i e-mails. Det er svært at se, hvornår en e-mail-besked er en legitim anmeldelse om overtrædelse fra virksomheden, og hvornår det er en phishing-meddelelse, der skal stjæle dine oplysninger. Hvis du mener, at der er et brud, skal du gå til webstedet og nulstille adgangskoder ved hjælp af stedets adgangskodemekanisme. Klik aldrig på linket i e-mailen.

Evernote gjorde dog en fejl. Evernotes e-mail med emnelinjen "Evernote Security Notice: Serivce wide Password Reset" indeholdt et par indlejrede links til evernote.com. Men hvis brugeren svævede over linket, syntes evernote.com at henvise til et mkt5371.com-domæne, bemærkede Graham Cluley fra Sophos på bloggen Naked Security. I dette tilfælde var det en markedsføringsfejl, da domænet ejes af e-mail-kommunikationsfirmaet Silverpop, der sendte e-mailen ud på Evernotes vegne.

Selvom det er forståeligt, ser det "meget ud af sted i en e-mail om et sikkerhedsbrud, der forsøgte at hamre hjem punktet om at" aldrig klikke på "nulstil adgangskode" -anmodninger i e-mails - i stedet gå direkte til tjenesten, "sagde Cluley.

"Du kunne helt sikkert forstå, hvorfor nogen, der frikede ved Evernote-sikkerhedsbruddet, ville blive skræmt over at modtage en e-mail med lignende links, " tilføjede han.