Reddit員工遭網絡釣魚攻擊，黑客竊走源碼與內部資料

知名網絡論壇Reddit公開遭攻擊的消息，黑客通過專業(yè)的網絡釣魚攻擊，取得Reddit內部文件、程序代碼和業(yè)務系統(tǒng)訪問權限，官方表示，生產系統(tǒng)中的資料存儲目前沒有跡象遭破壞。與之前知名游戲《英雄聯(lián)盟》開發(fā)廠商Riot Games遭攻擊事件類似，黑客皆鎖定受害公司的重要程序代碼資產。

在2月5日的時候Reddit員工遭網絡釣魚攻擊，黑客以似是而非的提示，引誘一名員工登錄假冒的內部網關站點，竊走了憑證和第二因素權限，之后黑客進一步利用憑證，取得內部文件、程序代碼、內部儀表板和業(yè)務系統(tǒng)訪問權限。

黑客取得的資料包括數百個公司聯(lián)系人、員工資料，以及部分廣告商資料，官方提到，目前沒有證據生產系統(tǒng)中的資料受到破壞，用戶的賬號密碼皆安全，同時也沒有任何未公開資料曝光。

該名員工發(fā)現(xiàn)自己遭網絡釣魚攻擊后自行向上呈報，Reddit安全團隊便立刻取消攻擊者的訪問權限，并且進行內部調查，由于事件剛發(fā)生調查尚未完成，因此還無法公開完整細節(jié)，但是Reddit討論版的管理者在文章討論流中提到，這次Reddit攻擊類似之前游戲《英雄聯(lián)盟》開發(fā)廠商Riot Games的攻擊事件。黑客在入侵Riot后竊走重要程序代碼資產，并且發(fā)送勒索信，要求Riot支付千萬美元贖金，來換取不公開程序代碼的承諾。

Reddit在5年前也曾遭到黑客攻擊，當時攻擊者通過騙取Reddit員工的云計算和源碼托管帳密，進入Reddit系統(tǒng)訪問用戶資料，雖然當時Reddit已經激活雙重驗證，但因為是以SMS作為第二身份驗證因素，而SMS消息遭到攔截，使攻擊者仍入侵成功。

Reddit提到，從教訓中學習經驗，人通常是安全鏈上最弱的環(huán)節(jié)，因此除了內部會繼續(xù)強化員工安全技能之外，也希望用戶可以趁機激活雙重驗證，并且定期更換密碼以強化賬戶的安全性。