Insiden Keamanan Canva – Pertanyaan Umum 24 Mei

——

Halaman Diperbarui pada 17 Januari, 10.21 AEST

Pada 11 Januari 2020, Canva mengetahui daftar sekitar 4 juta akun Canva berisi kata sandi pengguna yang dicuri dalam pembobolan 24 Mei (lihat catatan di bawah, tanggal 1 Juni 10.13 AEST).Kata sandi tersebut didekripsi dan baru-baru ini tersebar secara online.

Karena kata sandi yang tidak diubah dapat digunakan untuk mengakses akun Canva, kami segera mengambil tindakan dengan membatasi akses masuk ke Canva dan mulai membatalkan kata sandi yang tidak diubah, juga memberi tahu pengguna soal kata sandi yang didekripsi dalam daftar tersebut.

Sudah 7 bulan sejak pihak jahat memperoleh akses ke data kata sandi kami yang terenkripsi dan menyebarkan informasi tersebut di internet.Saat itu mereka tampaknya mengerahkan sumber dayanya untuk mencoba dan memecahkan kata sandi tersebut.Sekitar 4 juta akun Canva yang terdampak oleh insiden Mei 2019 tersebut kini terdekripsi kata sandinya.

Selama 7 bulan terakhir, kami telah mengirimkan berbagai komunikasi yang menginformasikan pengguna kami yang terdampak mengenai cara mengamankan akun mereka.Jika Anda telah mengubah kata sandi Canva secara proaktif pada periode tersebut, maka Anda tidak perlu mengubahnya lagi.

Pada 12-01-2020, kami mereset kata sandi semua pengguna yang tidak mengubah kata sandinya setelah 24-05-2019. Pengguna akan diminta mengubah kata sandinya saat berikutnya mereka masuk ke Canva. Karena kami mereset kata sandi secara paksa, kami juga langsung memberi tahu pengguna Canva yang baru aktif dan kata sandinya telah direset.

Kami juga memberi tahu pengguna Canva yang kata sandinya tampaknya telah didekripsi agar mereka dapat mengambil langkah untuk melindungi akun lain yang menggunakan kata sandi yang sama.

Pengguna yang terdampak akan diminta mengatur kata sandi baru untuk dapat terus menggunakan Canva.Perhatikan bahwa jika kata sandi Anda telah direset, tidak berarti akun Anda telah diakses oleh penyerang. Kami mengambil tindakan pencegahan ini untuk melindungi akun Canva Anda.

Ikuti panduan kata sandi di sini. Sekali lagi, kami menyarankan Anda:

• Buat kata sandi yang sulit ditebak dengan kombinasi huruf (besar dan kecil, angka, dan karakter khusus).
• Gunakan pengelola kata sandi untuk mengelola semua kata sandi Internet Anda.
• Pastikan Anda menggunakan kata sandi yang aman dan terlindungi serta belum pernah digunakan di situs atau akun lain sebelumnya.

Pengguna yang memiliki alamat pemulihan yang valid akan dapat memulihkan kata sandinya menggunakan prosedur reset kata sandi biasa. Pengguna yang tidak memiliki alamat email yang valid akan perlu menggunakan prosedur pemulihan manual.

Kami mohon maaf atas ketidaknyamanan yang diakibatkan dan terima kasih atas dukungan dan kerja sama Anda selama ini.

Sebastian Welsh (

——

Halaman Diperbarui 10 Agustus 23.25 AEST

Sebagian pengguna kami diberi tahu oleh haveibeenpwned.com (HIBP) dan Firefox Monitor tentang pelanggaran keamanan yang terjadi pada 24 Mei 2019.Anda dapat membaca selengkapnya tentang serangan tersebut, cara kami menanggapinya, dan hal yang kami lakukan (lihat catatan di bawah, tanggal 1 Juni 10.13 AEST).

Isi pemberitahuan tersebut benar dan kami berterima kasih kepada HIBP dan Firefox Monitor atas layanan yang mereka berikan kepada komunitas.

Bagi beberapa orang yang memiliki akun Canva, tampaknya pemberitahuan keamanan ini begitu mengejutkan. Ini sangat disesalkan. Sebagai bagian dari respons insiden, salah satu hal pertama yang kami lakukan adalah berusaha menghubungi pengguna yang terdampak melalui email dan peringatan dalam aplikasi.

Pemberitahuan HIBP mendorong sebagian pengguna untuk menanyakan apakah kata sandi mereka telah disusupi. Jawaban sederhananya adalah tidak. Yang diakses adalah kata sandi yang telah di-salt dan di-hash dengan bcrypt. Bagi pengguna yang kurang familier dengan istilah teknis, ini seperti pintu satu arah super aman yang mengubah kata sandi Anda menjadi sesuatu yang sangat sulit untuk diubah kembali ke kata sandi aslinya, bahkan dengan komputer tercanggih sekalipun.

Cara kami menyimpan kata sandi membuat kata sandi sangat sulit ditebak tetapi bukan mustahil, dan akan lebih mudah jika kata sandi Anda mudah ditebak, seperti password1, 123456!atau Alex1997. Jadi untuk melindungi pengguna kami di Canva, dan di tempat lain, kami meminta semua pengguna kami untuk mengubah kata sandi mereka di Canva, dan di semua tempat yang menggunakan kata sandi yang sama. Untuk membantu semua pengguna kami menghindari risiko ini, kami telah bermitra dengan 1Password untuk menawarkan satu tahun akses gratis ke layanan pengelola kata sandi mereka, serta memberlakukan pemeriksaan kata sandi yang lebih ketat di Canva.

Sejak insiden tersebut, kami telah memberlakukan sejumlah perubahan internal untuk melindungi data Anda. Dengan bekerja sama dengan konsultasi keamanan siber terkemuka—Mandiant dan mitra lainnya—kami telah mengidentifikasi tingkat serangan dan penyebabnya, serta membuat perubahan pada sistem kami untuk membangun lapisan perlindungan tambahan bagi pengguna kami. Kami akan menyediakan postmortem insiden tersebut pada waktunya, tetapi sementara itu jika ada pertanyaan lebih lanjut, atau jika ingin mempelajari selengkapnya tentang langkah yang kami ambil untuk memastikan data Anda aman di Canva, jangan ragu untuk menghubungi kami.

——

1 Juni, 10.13 AEST

Setelah melakukan penyelidikan bersama pakar keamanan siber, kini kami memiliki pemahaman lebih baik tentang dampak serangan ini dan ingin memberikan konteks yang selengkap mungkin kepada komunitas kami.

Pada hari Jumat, 24 Mei 2019, kami mendeteksi serangan berbahaya pada sistem kami, yang menyebabkan sistem kami berhenti karena serangan tersebut. Respons pertama kami adalah mengunci Canva, kemudian memberi tahu pihak berwajib dan pengguna bahwa telah terjadi pelanggaran.Karena penyusupnya dihentikan di tengah serangan, mereka juga melakukan taktik berbeda dari kebanyakan insiden keamanan dan mengirim tweet tentang serangan tersebut, sehingga memerlukan respons komunikasi yang cepat.

Sejak itu, kami telah bekerja dengan ahli keamanan siber dan pihak berwajib, seperti FBI, untuk membantu melindungi pengguna kami, dan memberitahukan informasi terkini di bawah ini.

• Mereka mengakses informasi dari database profil kami hingga 139 juta pengguna.Database profil berisi nama pengguna, nama, alamat email, negara, dan data opsional yang diberikan pengguna tentang kota dan/atau URL laman beranda mereka yang tersedia melalui profil publik mereka.
• Mereka mengakses kata sandi yang dilindungi secara kriptografis (setiap kata sandi di-salt dan di-hash dengan bcrypt) dari pengguna yang memiliki nama pengguna/kata sandi masuk.
• Mereka mengklaim telah memperoleh token masuk OAuth untuk pengguna yang masuk melalui Google.Token OAuth kami dienkripsi dengan AES128 dan kunci enkripsinya tersimpan dengan aman di tempat lain.Kami tidak menemukan bukti bahwa mereka telah mengunduh token OAuth atau mencoba mengakses kuncinya.
• Mereka melihat sepintas file berisi data kartu kredit parsial dan pembayaran. Kami tidak menemukan bukti bahwa file ini telah dicuri.File berisi data kartu kredit parsial dari sebelum 28 September 2016 (nama, tanggal kedaluwarsa, 4 digit terakhir, merek kartu, dan negara kartu), serta riwayat pembayaran dari sebelum 16 September 2017 yang berisi jumlah dolar transaksi, tanggal, dan ID beberapa pembayaran untuk pengguna dan kontributor.Detail kartu kredit yang terbatas itu tidak dapat digunakan untuk pembayaran.Canva tidak pernah menyimpan detail kartu kredit lengkap.

Desain dan gambar tersimpan dengan aman dalam sistem terpisah. Tidak ada indikasi bahwa desain atau gambar pengguna telah diakses.

Kami terus berinvestasi dalam jumlah besar demi keamanan.Kami berencana memublikasikan postmortem teknis dari insiden tersebut setelah penyelidikan kami selesai.Namun, prioritas pertama kami adalah melindungi pengguna kami.Berikut yang kami lakukan:

• Memberi tahu pengguna kami: Kami ingin pengguna kami tahu bahwa mereka terdampak. Kami langsung menghubungi pengguna melalui email, tetapi detail email sebagian pengguna sudah kedaluwarsa atau keliru, jadi kami juga menggunakan notifikasi dalam aplikasi dan pers untuk memperingatkan pengguna tentang pelanggaran tersebut. Kami menindaklanjuti pemberitahuan awal tersebut dengan email individu kepada setiap pengguna berisi uraian data yang diakses.
• Meminta pengguna untuk mengubah kata sandi: Kami telah meminta semua pengguna yang kata sandinya dibuat sebelum serangan terjadi untuk mengubahnya, serta menambahkan aturan agar pengguna membuat kata sandi yang lebih kuat.
• Mengatur ulang token OAuth: Kami telah bekerja dengan mitra kami untuk memastikan semua token masuk aktif yang ada sebelum pelanggaran diatur ulang. Pengguna akan diminta untuk menghubungkan kembali akun Canva mereka.
• Berkoordinasi dengan mitra: Kami bekerja dengan lembaga mitra untuk berbagi informasi tentang serangan tersebut, mengidentifikasi risiko bagi pengguna, dan mengoordinasikan respons. Misalnya, kami memperingatkan tim penyalahgunaan email dari penyedia utama agar mempersulit penyerang untuk mengelabui pengguna kami.
• Bermitra dengan 1Password: Meski kami menyarankan agar pengguna kami menggunakan kata sandi yang berbeda untuk setiap situs yang mereka gunakan, kami tahu bahwa hal itu sulit. Kami telah bermitra dengan 1Password untuk menawarkan satu tahun gratis kepada pengguna Canva yang belum menggunakan layanan mereka.

• Ubah kata sandi: Jika Anda memiliki kata sandi di Canva dan belum melakukannya, kami merekomendasikan agar setiap orang mengubah kata sandi mereka di Canva, dan jika Anda menggunakan kata sandi yang sama di situs lain, Anda juga harus mengubahnya.
• Laporkan email yang mencurigakan: Sebagai tindakan pencegahan, kami mendorong semua orang agar waspada terhadap email yang mencurigakan. Penyerang sering menggunakan metode kreatif untuk menipu Anda agar menyerahkan informasi pribadi Anda. Jika Anda menerima email yang Anda yakini mencurigakan, jangan klik pada email tersebut dan jangan merespon. Kami mendorong Anda untuk menandai mereka dengan penyedia email Anda.
• Menggunakan pengelola kata sandi: Kami menyarankan agar Anda menggunakan pengelola kata sandi seperti 1Password atau Google Chrome untuk membuat dan mengingat kata sandi yang unik dan aman untuk setiap situs yang Anda gunakan.
• Perbarui masuk Google/Facebook jika kami telah memutus sambungannya: Jika Anda masuk menggunakan Facebook atau Google, kami mungkin telah mengatur ulang masuk Anda. Cukup masuk lagi untuk kembali ke akun Canva Anda.
• Perbarui detail kontak Anda: Setelah masuk ke Canva, harap tambahkan atau perbarui detail kontak Anda agar kami selalu dapat menghubungi terkait akun Anda.

Kami mohon maaf yang sebesar-besarnya atas kejadian ini.Semua orang di Canva terpukul oleh kabar seperti ini, dan secara pribadi kami tahu betapa mengecewakannya hal ini.Kami ingin membangun kembali dan memulihkan kepercayaan yang Anda berikan kepada kami, dan akan bekerja keras untuk mendapatkannya.

Sebastian Welsh (