Reddit报道称黑客通过钓鱼攻击员工网络访问内部数据

Reddit 已确认黑客在“高度针对性”的网络钓鱼攻击后访问了内部文档和源代码。Reddit 首席技术官 Christopher Slowe（或 KeyserSosa）在一篇帖子中解释说，该公司在 2 月 5 日意识到针对 Reddit 员工的“复杂”攻击。他说，一名尚未确认身份的攻击者发送了“听起来似是而非的提示”，重定向了员工到一个伪装成 Reddit 内联网门户的网站，试图窃取凭据和双因素身份验证令牌。

斯洛维说，最近有报道称有“类似的网络钓鱼企图”，但没有给出具体例子。 然而，他将此次违规行为比作最近的 Riot Games 黑客攻击事件，攻击者使用社会工程策略访问公司遗留反作弊系统的源代码。

Reddit 称，黑客成功获得了一名员工的凭证，使他们能够获得访问内部文档和源代码以及一些内部仪表板和业务系统的权限。

Slowe 表示，在被钓鱼的员工向 Reddit 的安全团队自我报告事件后，公司得知了这一漏洞，使其能够迅速切断渗透者的访问并开始内部调查。

每天有超过 5000 万用户的 Reddit 表示，其调查得出的结论是，“数百名”现任和前任员工的有限联系信息以及一些广告商信息也被访问。 然而，该公司表示，它“没有证据”表明个人用户数据和其他非公开数据已被盗、发布或在线分发。

无论如何，Reddit 已建议所有用户在其帐户上设置 2FA 并使用密码管理器。 “除了提供非常复杂的密码外，它们还通过在您在网络钓鱼网站上使用密码之前警告您来提供额外的安全层，”Slowe 说。

“我们将继续密切调查和监控情况，并与我们的员工合作以加强我们的安全技能，”他补充说。 “众所周知，人往往是安全链中最薄弱的部分。”

Reddit 在 2018 年遭受了更严重的数据泄露，攻击者访问了2007 年 Reddit 数据的完整副本，包括网站运营的前两年。 这包括用户名、散列密码、电子邮件、公开帖子和私人消息。