Twórcy hack.pl zażądali od home.pl 200 tysięcy złotych w zamian za przekazanie informacji o wykrytych błędach – sprawa trafiła do prokuratury, zajmie się nią też ABW.
Według zapewnień serwisu hack.pl, wykryta luka w zabezpieczeniach dotyczyła wszystkich kont wirtualnych na home.pl.
„Luka umożliwiała przeglądanie pełnych logów serwera każdego konta wirtualnego na home.pl. Log taki zawiera w sobie informacje o każdym wywołaniu dowolnego adresu serwera (strony, pliku) otoczonym takimi informacjami jak host i ip odwiedzającego, dokładny czas, referera (poprzednio otwarta strona), jak i status połączenia, dzięki któremu możemy wyłapać wszystkie strony wywołujące błąd serwera” – opisuje błąd Michał Semeniuk z serwisu hack.pl.
Administratorzy home.pl ujawnili treść listu, którzy otrzymali drugiego kwietnia:
Szanowni Państwo.
Znaleźliśmy poważną lukę Państwa serwerów. Ma ona charakter krytyczny. Jesteśmy przekonani, że może być wykorzystana na wiele sposobów przez ew. napastników.
Chcieliśmy z góry zauważyć, że piszemy do Państwa w celu informacyjnym i naszym zamiarem nie jest wykorzystanie tego błędu w sposób niezgodny z prawem.
Wstępnie myśleliśmy tylko o napisaniu o błędzie na łamach HACK.pl, a także o udostępnieniu zacieniowanych dowodów, które jednak nie pozwoliłyby na wykorzystanie błędu.
Chcemy postąpić maksymalnie przyjaźnie wobec home.pl, z naszego punktu widzenia, dobrze byłoby gdyby na łamach HACK.pl pojawił się news dotyczący luki w home.pl, ale też rozumiemy Państwa sytuację.
Koszt informacji szacujemy wstępnie na 200,000 złotych, cena – oczywiście – podlega negocjacji. Być może bylibyśmy zainteresowani współpracą z Wami na zasadach partnerskich, czy też reklamą w home.pl.
Jesteśmy otwarci na propozycje, oferujemy audyt bezpieczeństwa. Mamy nadzieję, że wspólnie uda nam się wyeliminować ten i podobne niedociągnięcia.
Z poważaniem.
Michał Bućko, współpraca Michał Semeniuk
W odpowiedzi na upublicznienie e-maila serwis hack.pl opublikowała informacje na temat luki i sposobu jej wykorzystania, oznajmiając jednocześnie:
Zaznaczam, że ujawnił Pan treść prywatnej wiadomości – została ona wysłana tylko i wyłącznie do home.pl, nie została wysłana do pozostałych serwisów. Informacja, którą otrzymał portal home.pl, została wysłana w celu poinformowania Państwa o zaistniałej sytuacji, nie jest ona próbą wyłudzenia pieniędzy.
„Niezwłocznie po otrzymaniu informacji firma home.pl przeprowadziła szczegółowy audyt zabezpieczeń systemu hostingowego. W wyniku audytu wykryto, że wskazana „krytyczna” luka dotyczy dostępu do statystyk oglądalności i logów serwerów wirtualnych, które domyślnie są zabezpieczone przed dostepem z zewnątrz. Autorzy informacji przełamali zabezpieczenie i uzyskali nieuprawniony dostęp do statystyk oglądalności 6 serwisów internetowych, stosując metodę brute-force, czyli losowego generowania ciągów nazw katalogów ze statystykami. Pozwoliło to na prześledzenie struktury serwisu, czy też skryptów odpowiadających za administrowanie treścią serwisu” – poinformował home.pl w komunikacie.
Serwis hack.pl był bardziej wylewny przy okazji opisywania luki. Oprócz szczegółów technicznych podano sposób uzyskania dostępu wraz z dowodem skuteczności – wynikami „wizyty” na koncie Ministerstwa Edukacji Narodowej.
Oprócz dostępu do plików i logów serwisu włamywacz pozyskał dostęp do panelu administracyjnego i możliwość edytowania i tworzenia treści ukazujących się w serwisie MEN. Poniżej screen:
Mimo przytoczonych dowodów, home.pl bagatelizuje problem luki, jednocześnie jednak informując o zgłoszeniu popełnienia przestępstwa:
Przeprowadzony audyt systemu hostingowego home.pl nie wykazał istnienia jakichkolwiek krytycznych luk. Firma poinformowała właścicieli 6 serwisów internetowych o próbie uzyskania nieautoryzowanego dostępu do ich treści.
home.pl podjęła działania mające na celu pociągnięcie do odpowiedzialności prawnej osób, które dążyły do uzyskania dostępu do danych użytkowników usług hostingowych. W dniu 6 kwietnia 2007 r. firma zawiadomiła Prokuraturę Rejonową w Szczecinie o popełnieniu przestępstw określonych w art. 191§1 i art. 267 kodeksu karnego, wnosząc jednocześnie o ściganie sprawców.
Sprawą zajmie się także Agencja Bezpieczeństwa Wewnętrznego ze względu na włamania na serwis należący do instytucji państwowej.
