Twitch資料外洩原因出爐,又是配置錯誤闖禍

駭客日前藉由網路論壇4chan釋出竊自遊戲影片串流平台Twitch的125GB資料,Twitch除了證實該平台被駭之外, 也在6日公佈了原因 ,指出是因為Twitch伺服器的配置變更錯誤所造成,而讓第三方得以存取內部伺服器。迄今Twitch仍在調查受駭範圍。

這是最近第二起因配置錯誤所釀成的資安災難, 臉書在台北時間5日凌晨發生的全球當機事件 ,也與 骨幹路由器的配置變更出錯 有關。

Twitch強調,該平台仍在調查這起意外,但目前尚無任何證據顯示有任何使用者憑證外洩,而且Twitch並未存放完整的信用卡號碼。

駭客允許任何人下載竊自Twitch的資料,當中包含了Twitch的創作者支出細節、twitch.tv的提交歷史、行動/桌面/遊戲機的Twitch客户端程式原始碼、Twitch所建立的SDKs及所使用的AWS服務、尚未發表的遊戲串流平台Vapor,以及Twitch內部的紅隊測試安全工具等。

《Motherboard》 引用Twitch前安全工程師Thomas Shadwell的看法指出,駭客所揭露的安全工具看起來都是舊的,外洩的原始碼也沒有太多的機密,看起來受到這波資料外洩事件影響最大的可能是直播主。

Twitter上已開始有人公佈Twitch直播主的收入,台灣媒體也紛紛揭露台灣直播主的身價。Shadwell認為,這些資訊將對直播主造成騷擾或潛在威脅,也可能讓這些收入豐厚的直播主成為駭客的攻擊目標。

為了謹慎起見,Twitch已經重置了所有的串流金鑰。串流金鑰為使用者開始串流時必須輸入的憑證,而且直接連結Twitch用户的帳號,由於它也屬於Twitch用户的憑證之一,過去Twitch即強調不要與任何人分享串流金鑰。