10/12/2013
Albo nadeszła na nich pora, albo to dobry krok zmierzający w celu podniesienia bezpieczeństwa systemu (hint: jeśli to to drugie, to można było przeprowadzić to bez wzbudzania sensacji, po cichu).
Ze względów bezpieczeństwa firma Komputronik wprowadza nową politykę tzw. silnych haseł. W tym celu prosimy Państwa o zmianę swojego dotychczasowego hasła do konta na stronie www.ktr.pl
Dotychczasowe hasło jest nieaktywne. Aby się zalogować prosimy skorzystać z opcji odzyskiwania hasła
Po wprowadzeniu loginu w formularzu odzyskiwania hasła otrzyma Pani/Pan informację na firmowy adres email z danych rejestrowych systemu www.ktr.pl z hasłem tymczasowym, które następnie należy zmienić na nowe hasło, zgodne z polityką silnych haseł, pod adresem:
http://www.ktr.pl/zmiana_hasla.php
Posłuchaj jednego z naszych 8 cyberwykładów. Wiedzę podajemy z humorem i w przystępny dla każdego pracownika sposób. Zdalnie lub u Ciebie w firmie. Kliknij tu i zobacz opisy wykładów!
Każdy powinien zobaczyć te webinary! Praktyczna wiedza i zrozumiały język. 6 topowych tematów — kliknij tutaj i zobacz szczegółowe opisy oraz darmowy webinar.
Ale to chyba tylko w części ktr.pl? Bo na komputronik.pl nie widzę żadnej informacji. Jak tylko to pierwsze to news naciągany. :>
To raczej nie jest spowodowane atakiem. Ja mam u nich konto (kupowałem coś kiedyś) i takiego maila nie dostałem. Widocznie maila dostawały osoby z hasłem ‘123456’ ;)
Może być też tak, że serwer pocztowy obsługujący Twoje konto pocztowe odrzuca e-maile z nieistniejących domen. Envelope sender tych maili Komputronika (to co widać w Return-Path) jest z nieistniejącej domeny: kryzys@sklep3.kt
Dodatkowo widać że maile były przygotowywane na prędce – ja dostałem łącznie 3 maile w tej sprawie z czego 2 były dosyć dziwnie sformatowane (outlook rozsypywał wiadomości)
dodatkowo w tych 2 pierwszych z błędnym formatowaniem w nagłówku było dość nietypowo:
—
Return-Path:
Received: from http://www.komputronik.pl [195.138.211.155] (HELO http://www.komputronik.pl)
—
coś wywaliło return path: kryzys (at) sklep3.kt
ten kryzys tak jakoś dziwnie brzmi w kontekscie
Już na pierwszy rzut oka formularz odzyskiwania hasła jest lewy:
– http
– trzeba podać login i email (dlaczego sam email nie wystarczy?)
– po wpisaniu śmieci (asdf) dostajemy informację, że taki użytkownik nie istnieje
(po co? albo user istnieje i wysyłamy do niego wiadomość, albo nie i nie wysyłamy, a tak mamy możliwość enumeracji)
Wszystko jest ok. Zmiana haseł jest dla klientów hurtowni. Mam tam konto które zakładałem na samym początku działania hurtowni i hasło było adekwatne do czasów w których było zakładane. Czyli coś prostego z kilkoma znakami.
Stare hasło rzeczywiście już nie działało, więc przeszedłem procedurę zmiany na nowe.
Nie dostalem wiadomosci na zadne z kont
Link z posta nie działa, zamiast tego jest self.close().
Ktoś mi wyjaśni czemu tak jest?
[…] z tego błędu i pobrał bazę klientów Komputronika — wiemy za to, że pół roku temu Komputronik w pośpiechu wymuszał zmianę haseł tłumacząc to “względami […]