Нарушение данных Plex выявило имена пользователей, адреса электронной почты и зашифрованные пароли. Масштабы нарушения безопасности пока неизвестны, но компания требует от всех пользователей сменить пароли.
Проблема усугублялась тем, что серверы Plex не имели достаточной мощности, чтобы справиться с количеством пользователей, пытающихся это сделать, и рядом других проблем…
Сегодня утром компания Plex разослала всем пользователям электронное письмо с сообщением о том, что третья сторона смогла получить доступ к «ограниченному подмножеству данных», но не сообщила, сколько учетных записей было затронуто.
Мы хотим, чтобы вы знали о вчерашнем инциденте, связанном с информацией о вашей учетной записи Plex. Хотя мы считаем, что фактические последствия этого инцидента ограничены, мы хотим, чтобы у вас была необходимая информация и инструменты для обеспечения безопасности вашей учетной записи.
Вчера мы обнаружили подозрительную активность в одной из наших баз данных. Мы немедленно начали расследование, и оказалось, что третья сторона смогла получить доступ к ограниченному подмножеству данных, включая электронные письма, имена пользователей и зашифрованные пароли. Несмотря на то, что все пароли учетных записей, к которым можно было получить доступ, были хешированы и защищены в соответствии с передовыми методами, из соображений предосторожности мы требуем, чтобы все учетные записи Plex сбрасывали свои пароли. Будьте уверены, что кредитные карты и другие платежные данные вообще не хранятся на наших серверах и не были уязвимы в этом инциденте.
Мы уже рассмотрели метод, который эта третья сторона использовала для получения доступа к системе, и мы проводим дополнительные проверки, чтобы обеспечить дальнейшее укрепление безопасности всех наших систем для предотвращения вторжений в будущем. Хотя пароли учетных записей были защищены в соответствии с передовыми методами, мы требуем, чтобы все пользователи Plex сбрасывали свой пароль.
Короче говоря, мы просим вас немедленно сбросить пароль учетной записи Plex. При этом есть флажок «Выйти из подключенных устройств после смены пароля». Это дополнительно приведет к выходу из системы на всех ваших устройствах (включая любой принадлежащий вам Plex Media Server) и потребует от вас повторного входа с новым паролем. Это головная боль, но мы рекомендуем сделать это для повышения безопасности. Мы создали статью поддержки с пошаговыми инструкциями по сбросу пароля здесь.
На момент написания статьи смена пароля не была принудительной. Однако некоторые из тех, кто пытался это сделать, сообщают, что им это не удалось.
«Не удается изменить пароль из-за внутренней ошибки сервера»
«Я пошел дальше и вошел в свою учетную запись, чтобы изменить свой пароль. Дело в том, что это не сработало. Я пытался несколько раз, но когда я отправляю форму смены пароля, она зависает там с вращающимся значком в течение примерно 30 секунд, а затем я получаю «Внутренняя ошибка сервера». Что-то пошло не так с нашей стороны».
«Я также получаю ответ о внутренней ошибке сервера (500) при попытке использовать функцию сброса пароля и выйти из всех подключенных устройств».
Другие пользователи смогли изменить свои пароли, но при повторном входе в систему возникают другие трудности. Ряд пользователей сообщают о получении сообщений «Не авторизован» или «У вас нет доступа к этому серверу» для своих собственных серверов. Некоторые сообщают об успешном входе в систему и повторном запросе сервера, хотя другим это не удалось.
Похоже, что Plex не организовал достаточную дополнительную пропускную способность, чтобы справиться с шквалом попыток смены пароля. Кроме того, страница сброса пароля запрашивает новый пароль перед существующим, что явно неожиданно и может быть причиной некоторых сбоев.
Plex рекомендует включить двухфакторную аутентификацию в настройках вашей учетной записи. Обратите внимание, что вы можете сделать это только в том случае, если вы зарегистрировались со своим адресом электронной почты — если вы использовали Google или другую учетную запись для регистрации, двухфакторная аутентификация недоступна.
Компания принесла свои извинения за утечку данных Plex и заявила, что пересматривает свою безопасность.
Если вы не можете изменить свой пароль или получить доступ к своей учетной записи, стоит подождать несколько часов, а затем повторить попытку (при условии, что вы используете надежные уникальные пароли, чтобы взлом не позволил получить доступ ни к одной из ваших других учетных записей).
В последний раз у Plex были проблемы еще в апреле, когда было обнаружено, что функция универсального списка наблюдения предоставляет детям возможность просматривать ограниченный контент.
