Flipboard setzt nach Hack alle Passwörter zurück

Die Nachrichten-App Flipboard ist gehackt worden und hat alle Passwörter seiner Nutzer zurückgesetzt. Das Unternehmen meldet Zugriffe auf seine Datenbanken mit Kundeninformationen und schließt nicht aus, dass die Angreifer Kopien davon zogen. Die Datenbanken enthielten Kontoinformationen der Nutzer einschließlich Namen, Flipboard-Benutzernamen, E-Mail-Adressen sowie Passwörtern, die nicht im Klartext gespeichert waren.

Zum tatsächlichen Umfang des Hacks machte Flipboard keine klare Aussage, sondern sprach von einer „Teilmenge der Benutzerdaten“ und einem behobenen Sicherheitsvorfall. „Wir sind noch immer dabei, die insgesamte Zahl zu bestimmen“, teilte es mit. „Wir wissen, dass nicht alle Konten kompromittiert wurden.“

Für eine umfangreiche Beute spricht, dass die Angreifer über neun Monate lang Zugriff auf seine internen Systeme hatten. Zunächst war das laut Flipboard zwischen zwischen dem 2. Juni 2018 und dem 23. März 2019 der Fall und ein zweites Mal vom 21. zum 22. April 2019. Entdeckt wurde der Hack erst am Tag nach dem zweiten Eindringen, als am 23. April verdächtige Datenbank-Aktivitäten untersucht wurden. Daraufhin wurden auch Ermittlungsbehörden informiert.

Alle potentiell abgegriffenen Passwörter wurden laut Flipboard durch „Salted Hashing“ geschützt. Nach dem 14. März 2012 erstellte oder geänderte Passwörter seien zudem mit der Funktion Bcrypt geschützt, die einen noch größeren Schutz gegen das Knacken verspricht.

„Wir haben vorsichtshalber die Passwörter aller Benutzer zurückgesetzt, obwohl die Passwörter kryptografisch geschützt und auch nicht die Kontoinformationen aller Benutzer betroffen waren“, heißt es in einer Mitteilung an die Nutzer. Flipboard kann demnach weiter auf Geräten verwendet werden, auf denen Nutzer bereits angemeldet sind. Greifen sie jedoch von einem neuen Gerät aus auf ihr Konto zu oder melden sich nach einer Abmeldung neu bei Flipboard an, erhalten sie die Aufforderung, ein neues Passwort zu erstellen.

Als weitere Vorsichtsmaßnahme wurden alle digitalen Tokens getrennt, die für eine Verbindung mit den Konten von Drittanbietern verwendet wurden, um deren Inhalte sehen zu können. Diese wurden ersetzt oder gelöscht, sodass Nutzer gegebenenfalls die Verbindung wiederherstellen müssen, um ihren Feed ansehen zu können. In einer Informationsseite gibt Flipboard dazu nähere Hinweise.