Barracuda遭SQL Injection攻擊　員工客戶資料都失竊

網路安全設備公司Barracuda Network執行副總裁Michael Perone周二(4/12)表示，上週末該公司因為設定錯誤，導致網路安全設備形同虛設，讓駭客為所欲為。

該名駭客同時也將其成果張貼到網路上，包含員工姓名、電子郵件帳號、加密後的密碼、經銷商電話等。他在文章內署名fdf，僅表示使用SQL Injection（資料隱碼攻擊）取得資料之外，沒提及其他攻擊手法，他在開頭表示感謝九名及所有其他馬來西亞駭客。

Michael Perone表示，該公司犯一個錯誤，上週五(4/8)晚上起，將防火牆設定為被動監控模式，因此防火牆僅監控流量進出記錄而不做任何防禦。週六晚上一位駭客使用自動掃描方式，在兩個小時左右發現該公司網站弱點，然後換一個IP進行攻擊，在網站中注入隱碼攻擊腳本，以蒐集該公司的資料，內容包含經銷商及員工的姓名、電子郵件帳號等資料。

該公司表示，受影響的資料庫包含密碼，但幸好這些密碼均用單向的加料雜湊演算法加密(one-way cryptographic hashes of salted passwords，單向、隨機加字串的雜湊加密)，就算遭竊取也應該安全無慮。其他資安公司表示，雜湊加密法有點過時了，但目前常見的工具無法直接破解加料過的密碼，因此的確會比較安全。（編譯/沈經）