Взломали Reddit, обойдя двухфакторную аутентификацию. Какой способ применялся злоумышленниками?

Question

[explorador]

Сегодня стало известно, что Reddit взломали, несмотря на двухфакторную аутентификацию и вообще достаточно серьезный подход к делу тамошних информационных дел мастеров. Какие способы/инструменты применялись взломщиками и насколько все это применимо к другим ресурсам?

Comments

[CityCat4]

Да там не особо чего и утащили-то - бэкап десятилетней давности (2005 - 2007 года) да два почтовых дайджеста с валидными адресами

[alex-1917]

ахахаха

и вообще достаточно серьезный подход к делу тамошних информационных дел мастеров

сколько их там, тамошних-то?))) пара десятков бородачей в обнимку с макбуками?))) они если и мастера, то скорее мастера пера...

Answer 1

[Алексей Уколов]

Написано же всё:

the main attack was via SMS intercept

То есть перехватили смс с токеном авторизации. Обычно именно так 2FA и взламываются.

Comments

[explorador]

Это как в случае с телеграмом и журналистами?

[Алексей Уколов]

Да.

Answer 2

[xmoonlight]

несмотря на двухфакторную аутентификацию

и вообще достаточно серьезный подход к делу тамошних информационных дел мастеров

Вот сразу и ответ на вопрос: что лучше 2FA через SMS или TOTP/HOTP(реализованные в Google Authenticator) и OCRA (исходники реализации для Java,Objective-C,PHP)?

Answer 3

[Sanes]

Дырень в софте.

Comments

[explorador]

Ну это само собой. Какую именно дырень?

[Sanes]

explorador, откуда нам знать.

[Sanes]

explorador, Это не само собой. Бывают случаи, когда пользователи сами отдают пароли. Здесь не этот случай.

[explorador]

Sanes, тоже верно. спасибо

[Saboteur]

Sanes, а какой здесь случай? Подразумевается, что вы знаете полезную информацию, когда пишете ответ..