Далее были попытки взлома с помощью купленных баз данных с парами логин/пароль.

Чтобы исключить такой метод, сегодня мы включаем невидимую капчу при авторизации, а также подтверждение по смс при регистрации.

Ну и сразу в топовых висит хвалебный комментарий от местного секундомера:

Я не хочу никого ни в чем обвинять, возможно это и в самом деле хотят ввести для безопасности. Но где гарантии, что эта база в дальнейшем не будет использована против пользователей? Если я не ошибаюсь, Пикабу официально зарегистрирован в России, и к админу вполне может прийти бумажка от прокуратуры о выдаче личных данных пользователя...

О возможных последствиях напишу коротко: в России можно присесть за неправильную картинку или комментарий, а с привязкой к номеру телефона доказать вашу причастность намного проще.

Ну и вообще, хотя в посте указано, что никаких баз слито не было, в это слабо вериться, поскольку слишком уж настойчиво просят сменить пароль. Увели пароли - уведут и телефоны.

Да, пока что ничего не сказано о старых аккаунтах, но если это схавать сейчас - то могут ввести и в дальнейшем для всех.

Уважаемый @admin, Я взрослый человек и за безопасность моего аккаунта/пароля с моей стороны я отвечаю сам. (Если вы просрали базу данных, то это другой разговор). Кроме того, я не считаю аккаунт на Пикабу чем-то архи-важным, и если его уведут (не важно по чьей вине), я горевать не буду.

А вот оставлять свой номер телефона я не хочу, просто не хочу и всё.

Привязка аккаунта к смс должна быть только добровольной! Не отмахивайтесь и не проходите мимо! Долой сбор личных данных!

Независимый исследователь Айдан Вудс (Aidan Woods) обнаружил уязвимость на странице авторизации Google, которую компания не может исправить. Эксплуатация бага может привести к автоматической загрузке вируса прямо со страницы логина.

В своем блоге Вудс рассказал, что проблема заключается в том, что Google разрешает использование на странице авторизации GET-параметра «continue=[ссылка]». Данный параметр, по сути, сообщает серверу Google, куда перенаправить пользователя после аутентификации. Понимая, что такое решение может доставить немало проблем, разработчики Google ограничили его использование только доменами компании, то есть подойдут только домены *.google.com/*.

Вудс пишет, что ссылки на drive.google.com и docs.google.com параметр continue тоже воспринимает как должно, то есть разрешает их использование. Таким образом, атакующий может разместить практически любой вирус в Google Drive или Google Docs и скрыть ее в URL официальной страницы авторизации. Пользователь, который нажмет на такую ссылку, скорее всего, ничего не заподозрит, так как действительно попадет на страницу логина Google. Но как только жертва пройдут процедуру авторизации и нажмет на кнопку Sign In, на компьютер без ведома пользователя будет загружен вредоносный файл.

Исследователь честно попытался сообщить о проблеме специалистам Google, однако те закрыли все три баг-репорта Вудса. В блоге исследователь приводит свою переписку с сотрудниками компании и пишет, что они, похоже, не до конца понимают важность проблемы.

«Мы провели расследование вашего отчета и приняли решение не классифицировать это как проблему безопасности. К сожалению, данный отчет не будет принят нашим VRP. Мы рассматриваем только первые отчеты о технических уязвимостях, которые явно затрагивают конфиденциальность или целостность данных наших пользователей, и мы считаем, что описанная вами проблема не дотягивает до этой планки :(«, — сообщил специалист Google Вудсу.

Исследователь надеется, что публичное раскрытие информации о баге наконец привлечет внимание Google к проблеме. Вудс даже снял видео, в котором детально продемонстрировал работу уязвимости. Ролик можно увидеть ниже.