Attacco hacker a Reddit: dipendente ingannato dal phishing e informazioni rubate

Reddit ha comunicato di essere stato vittima di un incidente informatico nella serata di domenica, durante il quale una terza parte non autorizzata ha avuto modo di accedere ai sistemi aziendali e sottrarre documenti e codice sorgente.

L'incidente ha origine da una campagna di phishing strettamente mirata verso i dipendenti della società, che sono stati condotti ad una pagina con le fattezze del sito intranet di Reddit realizzata allo scopo di rubare credenziali di accesso e token di autenticazione a due fattori. Un dipendente è caduto vittima dell'inganno e in questo modo gli hacker hanno potuto accedere ai sistemi interni di Reddit.

La società spiega così l'accaduto: "Dopo aver ottenuto con successo le credenziali di un singolo dipendente, l'attaccante ha ottenuto l'accesso ad alcuni documenti interni, codice, nonché ad alcuni dashboard interni e sistemi aziendali. Non abbiamo alcuna indicazione di violazione dei nostri sistemi di produzione principali, le parti del nostro stack che eseguono Reddit e memorizzano la maggior parte dei nostri dati".

E' stato il dipendente stesso a segnalare l'accaduto al team di sicurezza dell'azienda, riconoscendo di essere stato vittima di un attacco di phishing. Dopo le indagini di rito, Reddit ha determinato che i dati sottratti riguardano informazioni di contatto limitate di contatti aziendali, dipendenti ed ex-dipendenti. Vi sono anche dati riferiti agli inserzionisti di Reddit, ma nessun accesso risulta ai dati della carta di credito, alle password o ai dettagli degli annunci pubblicitari.

Reddit non ha voluto condividere dettagli specifici sull'attacco di phishing, ma ha indicato che un attacco simile è stato utilizzato per violare i sistemi di Riot Games nelle scorse settimane. Allora gli hacker sono riusciti a rubare il codice sorgente di League of Legends e di Teamfight Tactics, presentando poi a Riot Games una richiesta di riscatto di 10 milioni di dollari perché il codice non venisse reso pubblico. La società ha rifiutato e l'hacker ha poi tentato di mettere all'asta, su un forum hacker, il codice sorgente di LoL allo stesso prezzo del riscatto.