Hola a todos, soy administrador en otro sistema Discourse y esta mañana me desperté con cuatro correos electrónicos que indicaban un inicio de sesión no autorizado (véase el ejemplo a continuación).
Vivo en Nuevo Hampshire, EE. UU., por lo que es correcto que Discourse haya marcado este inicio de sesión desde Alemania. Siempre he utilizado una contraseña segura (de 15 letras, aleatoria), la cual he cambiado recientemente. Tengo en mi poder las dos computadoras que he utilizado para iniciar sesión.
Algunas preguntas:
¿Alguna idea de cómo podría haber ocurrido esto?
Mi página de perfil mostraba otro inicio de sesión (también “desde Alemania…”) en las 24 horas anteriores al mensaje a continuación. Sin embargo, no recibí ninguna notificación de ese inicio de sesión, ni en mi bandeja de entrada ni en la carpeta de spam. ¿Cómo pudo haber ocurrido eso?
Parece que el atacante pudo haber exportado la lista de usuarios. ¿Es posible saber si alguna vez se descargó?
¿Tienen un plan de acción o procedimiento estándar para notificar a los usuarios?
¿Qué otra información podría proporcionar para diagnosticar o investigar esto?
Muchas gracias.
[Disculpen si esta no es la categoría correcta. @moderadores, por favor, muevanlo al lugar adecuado. Gracias.]
Esa dirección IPv6 no pertenece a mi rango (utilizo el de Hurricane Electric, en el rango 2001:470:…).
Tenemos pruebas de que el intruso intentó agregar su correo electrónico a una cuenta de administrador, descargar la lista de usuarios y obtener la copia de seguridad de la base de datos. No se otorgó acceso a la nueva dirección de correo electrónico; asumimos que obtuvieron la lista de usuarios, pero que no pudieron acceder a esta última (la base de datos) porque aún no habían obtenido la dirección de correo electrónico.
Por lo tanto, asumimos que los correos electrónicos y los nombres de usuario han sido comprometidos, pero que la base de datos no se ha descargado (registros de nginx).
¡Qué bueno saber que 3 de nuestras protecciones fueron útiles:
El invasor no pudo obtener copias de seguridad debido al flujo de correo electrónico necesario
El invasor no pudo obtener acceso de administrador en un correo electrónico que controla porque se requieren confirmaciones por correo electrónico para ambas direcciones
Correos de advertencia cuando se inicia sesión desde una ubicación lejana
Una cosa que debes verificar es si Discourse está ejecutando la versión más reciente, para que esté parcheado contra cualquier vulnerabilidad conocida.
¡Sí, y cada una de esas protecciones se añadió individualmente tras una lección ganada con esfuerzo, por lo que es especialmente satisfactorio verlas funcionando todas juntas en armonía!
