No, non credo. Io l'ho fatto in maniera preventiva ;)

no ma avevo Libero che è come avere una .ru:D

Idem :D

Anche io, per sicurezza, ho appena cambiato email e password. Sarebbe un bel gesto ricevere un avviso dal forum a "emergenza" terminata

Da me nulla da segnalare per ora, ci vorrebbe il login a due fattori... (che non sempre può bastare ma sarebbe già qualcosa)

Qui tutto ok, per ora.

Non vediamo prove di compromissione sul server. La pagina di cambio della password è la stessa che c'è sempre stata e consente anche di cambiare l'email. Se hai prove di quanto affermi, ti preghiamo di fornircele usando il modulo di contatto così che possiamo prendere le necessarie contromisure.
Quello che vediamo noi, invece, è un gran numero di utenti che usano sempre la stessa password ("password123", se devo tirare a indovinare...) su tutti i siti a cui sono iscritti, col risultato che poi vengono compromessi anche i corrispondenti profili qui. Se fosse compromesso il forum stesso, perché non cambiare, ad esempio, la mia password e prendere il controllo dell'intero forum? Sono pochissimi gli utenti attivi che vengono "bucati"; la maggior parte è composta da utenti iscritti da tempo ma non più attivi, spesso da anni. La spiegazione più semplice è spesso quella corretta.

Non c'è un'emergenza. È da anni che è così e non c'è grande rimedio, perché il problema di base è che gli utenti usano spesso la stessa password su molteplici siti. Dovremmo costringere tutti a cambiare la password, ma non c'è una funzione dedicata in vBulletin e, in ogni caso, moltissimi utenti non sono più attivi e non cambierebbero la propria password, il che ci porterebbe punto e a capo di nuovo.
Non ci sarebbe dunque granché da comunicare in un avviso, purtroppo.

Sono d'accordo: sarebbe sicuramente una buona cosa, ma purtroppo non è disponibile su questa versione di vBulletin.

Ciao,

perdona il ritardo di questa mia risposta: mi trovo letteralmente dall'altra parte del mondo per lavoro in questa settimana.
I miei colleghi in redazione hanno fatto verifiche interne, senza onestamente trovare nulla di vagamente sospetto. A me pare, onestamente, che i dati di accesso siano stati presi in altro modo non bucando nulla lato nostro: del resto basta prendere possesso della email per potersi cambiare i dati di autenticazione, oppure forzare l'accesso con una password propria che è stata usata su altri servizi (le password sono criptate quindi noi a prescindere, lato database, non le possiamo vedere).

Detto questo, continuiamo ad indagare e a prescindere acceleriamo l'aggiornamento della piattaforma (cosa alla quale, del resto, stavamo già lavorando)

Paolo

Buono a sapersi che c'è un upgrade della piattaforma in vista :)

Se il numero di account morti è un problema, non si potrebbe intanto fare un mega-purge di quelli che non si loggano da tot tempo? Basta fare una mail di avviso....o anzi neanche quella, visto che mi è capitato più volte di trovare vecchi account segati senza il minimo preavviso, quando mi veniva in mente di tornare nei relativi siti.

Personalmente faccio mea culpa ho cambiato la password che probabilmente non aggiornavo da anni.. forse dall'iscrizione.



Inviato dal mio moto g14 utilizzando Tapatalk

Così come facciamo con tutti gli altri messaggi che rimuoviamo...? Giusto per capirci: mi pare che tu stia facendo polemica sul nulla. Sei sul forum da 8 anni e non avevi mai notato che possiamo rimuovere i messaggi? Secondo te come faremmo a eliminare spam, insulti e tutte le varie cose che rimuoviamo costantemente?

Lo screen non prova nulla. Hai prove che prima quella pagina fosse diversa? Hai fatto dei test per verificare che si riesce a usarla senza essere loggati? Uno screenshot di una funzionalità che è inclusa nel forum non è prova di nulla, se non del fatto che la tua email era probabilmente stata usata per registrarti in un servizio che è stato bucato e da cui hanno estratto la password (che era la stessa che hai usato anche qui). Mi sembra francamente surreale dover spiegare questa cosa su questo forum a un utente che lo frequenta da 8 anni. Lo dico senza alcuna offesa, è solo che mi sembra un'informazione assolutamente di base nel panorama digitale degli ultimi... boh, 15 anni? A meno che, ovviamente, tu non stia facendo polemica gratuita (di nuovo, sul nulla, a valle della spiegazione che ho appena scritto).
Ci sono servizi che vengono bucati e dai quali i criminali estraggono i dati degli utenti. C'è addirittura un sito che ti fa vedere quali servizi: https://haveibeenpwned.com/
Spero che la situazione di come funziona Internet al giorno d'oggi ti sia più chiara. Perdonami il tono, ma faccio davvero fatica a pensare che tu non stia agganciandoti a un pretesto per una polemica gratuita.

Se fosse stato così, avrebbero preso possesso di tutti gli account, non solo di quelli non attivi da tempo.

E' molto più probabile che gli account compromessi avessero combinazioni user/pwd/email riutilizzate per l'accesso su più portali o servizi che sono stati vittima di data-breach noti (e quindi finiti nei vari db collections nel darkweb).

Controlla l'indirizzo email su un portale come >
- Have I Been Pwned > Link
- Identity Leak Checker (Hasso Plattner Institute) > Link

Questo non lo conoscevo proprio.

Ecco, questa che stai facendo adesso è, sì, polemica sterile e gratuita. Ti sono state date delle spiegazioni, non solo da me, su come funziona Internet oggigiorno. Se non le vuoi accettare il problema è tuo.
Al prossimo intervento di questo tenore scattano le sanzioni. Uomo avvisato e così via.

Vedo che non vuoi capire. Rileggiti quanto ho scritto io e quanto ha scritto ulukaii nei prossimi cinque giorni.

ok, io stesso più di una volta, avevo segnalato diversi mesi fa un account storico che spammava roba a caso e avevo subito pensato alla password, magari banale e ricliclata su più servizi con la stessa email. Però non capisco una cosa, per cambiare email su HW serve poter accedere all'email associata all'account per completare il cambio, fatto questo però, perché (gli hacker) non cambiano anche la pw di acceso ad HW (ma anche dell'email stessa) così da tagliare fuori l'utente, a meno che non si voglia passare inosservati il più a lungo possibile.

Sono bot che spammano e basta
Confermo che pure io che preventivamente ho cambiato la pw mantenuta fino a ieri dall'iscrizione, costituita da tre cifre numeriche ripetute per otto caratteri :D un qualsiasi brute force l'avrebbe beccata subito

Non sono d'accordo, c'è gente che resta silente per anni solo a leggere e poi interviene. Spesso all'epoca si usavano mail secondarie, che si controllano poco/mai... perciò a volte vengono chiuse e cancellate. Virgilio aveva cambiato i termini senza avviso (io tra l'altro avevo il redirect ma l'avevano bloccato senza che me ne accorgessi), mi pare il termine di non accesso era stato accorciato a tre o sei mesi, e ho perso tutte le email vecchie. Ho riattivato l'account ma ormai le vecchie email erano andate. :grrr:
Va beh che uno può sempre reiscriversi al forum.
Però almeno che il tempo di purga e preavviso sia bello lungo, alcuni anni, e qualche reminder se la mail è andata persa/non vista, magari anche sul sito.

Continuo a segnalare l'ultimo post di utenti storici sui quali è stato hackerato il profilo.
L'ultimo Psiche del 2001 con 9000 messaggi, l'ultimo di marzo scorso.
Da un paio di giorni, cercando gli ultimi messaggi del forum sto riscontrando tale problema random

Se proprio devo dirla tutta, la mia (per questo sito almeno) è ancora più semplice :D
Vediamo di cambiarla ASAP va :fagiano: