Ciao a tutti, sono un amministratore su un altro sistema Discourse e questa mattina mi sono svegliato con quattro messaggi email che indicavano un accesso non autorizzato (vedi esempio in basso).
Vivo nel New Hampshire, negli Stati Uniti, quindi è corretto che Discourse abbia segnalato questo accesso dalla Germania. Ho sempre utilizzato una password sicura (15 caratteri casuali), che ho appena modificato. Sono in possesso dei due computer che ho mai usato per accedere.
Alcune domande:
Avete idea di come potrebbe essere successo?
La mia pagina del profilo mostrava un altro accesso (anch’esso “dalla Germania…”) nelle 24 ore precedenti al messaggio qui sotto. Tuttavia, non ho ricevuto alcuna notifica per quell’accesso, né nella mia casella di posta né nella cartella spam. Come potrebbe essere successo?
Sembra che l’attaccante possa aver esportato l’elenco degli utenti. È possibile verificare se è stato effettivamente scaricato?
Avete un protocollo o una procedura standard per notificare gli utenti?
Quali altre informazioni potrei fornire per diagnosticare o indagare su questo caso?
Grazie mille.
[Scusate se questa non è la categoria corretta. @moderators - per favore spostatela nel posto giusto. Grazie.]
That IPv6 address is not from my range (I take from Hurricane Electric, in the 2001:470:… range)
We have evidence that the intruder attempted to add their email to an admin account, download the user list, and get the database backup. No access was granted to the new email address; we assume they retrieved the user list; but that they could not get the latter (the database) because they had not yet got email address.
So we assume emails and handles have been compromised, but that the database has not been downloaded (nginx logs).
Are there other things we should look for? Many thanks.
Yes, and each of those protections was individually added after a hard-earned lesson, so it’s especially satisfying to see them all working together in tandem!
