Hola a todos, soy administrador en otro sistema Discourse y esta mañana me desperté con cuatro correos electrónicos que indicaban un inicio de sesión no autorizado (véase el ejemplo a continuación).
Vivo en Nuevo Hampshire, EE. UU., por lo que es correcto que Discourse haya marcado este inicio de sesión desde Alemania. Siempre he utilizado una contraseña segura (de 15 letras, aleatoria), la cual he cambiado recientemente. Tengo en mi poder las dos computadoras que he utilizado para iniciar sesión.
Algunas preguntas:
¿Alguna idea de cómo podría haber ocurrido esto?
Mi página de perfil mostraba otro inicio de sesión (también “desde Alemania…”) en las 24 horas anteriores al mensaje a continuación. Sin embargo, no recibí ninguna notificación de ese inicio de sesión, ni en mi bandeja de entrada ni en la carpeta de spam. ¿Cómo pudo haber ocurrido eso?
Parece que el atacante pudo haber exportado la lista de usuarios. ¿Es posible saber si alguna vez se descargó?
¿Tienen un plan de acción o procedimiento estándar para notificar a los usuarios?
¿Qué otra información podría proporcionar para diagnosticar o investigar esto?
Muchas gracias.
[Disculpen si esta no es la categoría correcta. @moderadores, por favor, muevanlo al lugar adecuado. Gracias.]
That IPv6 address is not from my range (I take from Hurricane Electric, in the 2001:470:… range)
We have evidence that the intruder attempted to add their email to an admin account, download the user list, and get the database backup. No access was granted to the new email address; we assume they retrieved the user list; but that they could not get the latter (the database) because they had not yet got email address.
So we assume emails and handles have been compromised, but that the database has not been downloaded (nginx logs).
Are there other things we should look for? Many thanks.
Yes, and each of those protections was individually added after a hard-earned lesson, so it’s especially satisfying to see them all working together in tandem!
