Incidente di sicurezza di Canva – 24 maggio Domande frequenti

——

Pagina aggiornata il 17 gennaio alle 10:21 Aest

In data 11 gennaio 2020, Canva è venuto a conoscenza di un elenco di circa 4 milioni di account Canva contenenti password utente trapelate nell'ambito della violazione del 24 maggio (vedi note sotto, con data 1 giugno alle 10:13 Aest) .Tali password sono state decrittate e recentemente condivise online.

Dato che le password non modificate potrebbero essere utilizzate per accedere agli account Canva, abbiamo intrapreso immediatamente misure per limitare gli accessi a Canva, procedendo all'annullamento delle password non modificate e all'invio di comunicazioni agli utenti interessati dall'elenco.

7 mesi fa, individui malintenzionati hanno ottenuto l'accesso ai nostri dati crittati relativi alle password e condiviso tali informazioni su internet. Nel frattempo, è emerso che tali individui hanno utilizzato le risorse a propria disposizione per cercare di craccare le suddette password. All'incirca 4 milioni di password degli account Canva coinvolti nella problematica del maggio 2019 sono state decrittate.

Negli ultimi 7 mesi abbiamo inviato una serie di comunicazioni che informano gli utenti interessati su come proteggere i proprio account. Se hai provveduto a modificare la tua password di Canva in quel lasso di tempo, non è necessario modificarla di nuovo.

In data 12 gennaio 2020, abbiamo reimpostato le password di tutti gli utenti che non hanno modificato la propria password dopo il 24 maggio 2019. A questi utenti sarà richiesto di modificare la propria password al prossimo accesso a Canva. Poiché stiamo reimpostando le password d'ufficio, non vengono inviate comunicazioni dirette agli utenti di Canva attivi di recente a cui è stata reimpostata la password.

Inoltre, stiamo inviando comunicazioni agli utenti di Canva le cui password sembrano essere state decrittate, per consentire loro di intraprendere i passaggi necessari per proteggere altri account in cui è stata usata la stessa password.

Agli utenti interessati sarà richiesto di impostare una nuova password per continuare a utilizzare Canva. Tieni presente che se la password è stata reimpostata, non significa che il tuo account è stato violato dai malintenzionati. Stiamo adottando questa precauzione per proteggere il tuo account Canva.

Segui le nostre linee guida sulle password qui. Ancora una volta, ti consigliamo di:

• Creare password difficili da indovinare con una combinazione di lettere (maiuscole e minuscole, numeri e caratteri speciali).
• Utilizzare uno strumento di gestione delle password per gestire tutte le tue password Internet.
• Assicurarti di utilizzare una password sicura che non sia stata utilizzata su altri siti o account.

Gli utenti con un indirizzo di recupero valido saranno in grado di recuperare le password utilizzando la normale procedura di reimpostazione della password. Gli utenti privi di indirizzi e-mail validi dovranno utilizzare la procedura di recupero manuale.

Ci scusiamo per l'inconveniente e ti ringraziamo per il tuo costante sostegno e per la collaborazione.

Sebastian Welsh (

——

Pagina Aggiornata 10 agosto, 23:25 Aest

Alcuni dei nostri utenti hanno recentemente ricevuto una notifica da parte di haveibeenpwned.com (HIBP) e Firefox Monitor riguardante una violazione avvenuta il 24 maggio 2019. Per saperne di più riguardo all'attacco, alle nostre reazioni e a ciò che abbiamo fatto (vedi note sotto, con data 1 giugno alle 10:13 Aest).

I contenuti di queste notifiche sono accurati e siamo grati a HIBP e Firefox Monitor per il servizio fornito alla comunità.

Per alcune persone che dispongono di account Canva sembra che questa notifica relativa alla sicurezza sia stata una sorpresa.Ne siamo molto dispiaciuti. In reazione alla problematica, abbiamo innanzitutto provveduto a contattare gli utenti interessati tramite email e tramite avvisi sulla app.

In seguito alla notifica di HIBP, alcuni utenti ci hanno chiesto se le loro password fossero state compromesse.La risposta è no.L' accesso ha riguardato i dati salt e bcrypt-hash delle singole password. Per gli utenti non specializzati, si tratta di un accesso estremamente sicuro e unidirezionale che converte le password in un formato incredibilmente difficile da convertire nella password originale, anche con l'ausilio dei computer più potenti.

Il modo in cui memorizziamo le password rende estremamente difficile, ma non impossibile, decrittarle, ed è più facile se si tratta di password semplici da indovinare, come ad esempio password1, 123456! o Alex1997. Quindi, per proteggere i nostri utenti su Canva e altrove, abbiamo richiesto a tutti gli utenti di modificare le proprie password su Canva e in qualsiasi altro luogo in cui avessero utilizzato la stessa password. Per aiutare tutti i nostri utenti a evitare questo rischio, abbiamo collaborato con 1Password per offrire un anno di accesso gratuito al loro servizio di gestione delle password, oltre a implementare controlli più rigorosi delle password all'interno di Canva.

Dopo l'incidente, abbiamo introdotto una serie di modifiche interne per proteggere i tuoi dati. Lavorando a stretto contatto con le principali società di consulenza per la sicurezza informatica, Mandiant e altri partner, abbiamo individuato l'entità dell'attacco e le cause e apportato modifiche ai nostri sistemi per creare un ulteriore livello di protezione per i nostri utenti. Forniremo un'analisi postuma dell'incidente a tempo debito, ma nel frattempo se hai altre domande o desideri saperne di più sulle misure che abbiamo adottato per garantire che i tuoi dati siano al sicuro su Canva, non esitare a contattarci.

——

1 giugno, 10:13 Aest

In seguito a un'indagine con esperti di sicurezza informatica, siamo riusciti a capire meglio l'impatto dell'attacco e vogliamo contestualizzarlo al meglio per la nostra comunità.

Venerdì 24 maggio 2019 abbiamo rilevato un attacco da parte di malintenzionati nei confronti dei nostri sistemi, che siamo riusciti a bloccare in tempo reale. La nostra prima reazione è stata bloccare Canva, per poi avvisare le autorità e gli utenti in merito alla violazione. Poiché l'intrusione è stata interrotta, i malintenzionati hanno messo in atto una tattica diversa rispetto alla maggior parte delle violazioni di sicurezza e hanno twittato informazioni sull'attacco, costringendoci a una rapida reazione sul piano comunicativo.

Da allora, collaboriamo con esperti di sicurezza informatica e autorità, come ad esempio l'FBI, per contribuire alla protezione di nostri utenti e siamo a comunicare i seguenti aggiornamenti.

• Ha ottenuto l'accesso al nostro database dei profili che contiene fino a 139 milioni di utenti. Il database dei profili contiene nomi utente, nomi, indirizzi email, paese e, in alcuni casi, altri dati forniti dall'utente riguardo alla città e/o l'URL della homepage accessibile dal loro profilo pubblico.
• L'aggressore ha ottenuto l'accesso alle password crittografate (con salt e bcrypt-hash individuali) per tutti gli utenti con accesso con nome utente/password.
• Inoltre, ha rivendicato di aver ottenuto i token di accesso OAuth per gli utenti che hanno effettuato l'accesso tramite Google. I nostri token OAuth sono crittografati con AES128 e le chiavi di crittografia sono memorizzate separatamente in modo sicuro. Non abbiamo alcuna prova dell'effettivo download dei nostro token OAuth o di tentativi di accesso alle chiavi.
• Alcuni file contenenti informazioni parziali relative alle carte di credito e ai pagamenti sono stati brevemente visualizzati. Non abbiamo raccolto alcuna prova del furto di questi file. Tali file contenevano dati parziali sulle carte di credito precedenti al 28 settembre 2016 (nome, data di scadenza, ultime 4 cifre, marchio della carta e paese di emissione) e lo storico dei pagamenti precedente al 16 settembre 2017 che conteneva importi delle transazioni in dollari, date e ID di alcuni pagamenti di utenti e collaboratori. Questi dettagli limitati non possono essere utilizzati per effettuare pagamenti. Canva non memorizza mai i dettagli completi della carta di credito.

Progetti e immagini sono archiviati in modo sicuro in sistemi separati. Non c'è stata nessuna indicazione di accessi a progetti o immagini.

Continuiamo a investire molto nella sicurezza.Abbiamo l'intenzione di pubblicare un'analisi retrospettiva dettagliata dell'accaduto al termine delle indagini. Tuttavia, la nostra priorità è proteggere i nostri utenti. Ecco cosa stiamo facendo:

• Notifica agli utenti: desideriamo che gli utenti sappiano che sono stati coinvolti. Abbiamo contattato direttamente gli utenti tramite email, ma le informazioni relative all'email di alcuni utenti sono obsolete o errate, quindi abbiamo utilizzato anche notifiche all'interno della app per avvisare gli utenti della violazione. In seguito alla comunicazione iniziale, abbiamo inviato email individuali a ciascun utente sottolineando quali dati sono stati violati.
• Invito a modificare le password: abbiamo chiesto a tutti gli utenti che avevano impostato le password prima dell'attacco di modificarle, e stiamo implementando ulteriori regole per aiutare gli utenti a impostare password più forti.
• Reimpostazione dei token OAuth: abbiamo collaborato con i nostri partner per garantire che tutti i token di accesso esistenti prima della violazione venissero resettati. A questi utenti sarà richiesto di collegare nuovamente il proprio account Canva.
• Coordinamento con i partner: collaboriamo con agenzie partner per condividere informazioni sull'attacco, identificare i rischi per gli utenti e coordinare le reazioni. Ad esempio, abbiamo allertato i team che si occupano di abusi legati alla posta elettronica dei principali provider per rendere più difficile il phishing nei confronti dei nostri utenti.
• Partnership con 1Password: anche se consigliamo ai nostri utenti di utilizzare password diverse per ciascun sito che utilizzano, sappiamo che non è facile. Abbiamo collaborato con 1Password per offrire un anno gratuito agli utenti Canva che non utilizzano già il loro servizio.

• Cambiare la password: se hai una password per Canva e non l'hai già fatto, ti consigliamo vivamente di modificarla su Canva e, se hai utilizzato la stessa password su altri siti, dovresti modificarla anche su quelli.
• Segnalare le e-mail sospette: in via precauzionale, chiediamo a tutti di diffidare dalle e-mail sospette. Gli hacker spesso usano metodi creativi per cercare di estorcere agli utenti informazioni personali. Se ricevi un'e-mail che ti sembra sospetta, non cliccarci sopra per aprirla e non rispondere. Ti consigliamo di segnalarla al tuo provider di posta elettronica.
• Utilizzo di uno strumento di gestione della password: ti consigliamo di utilizzare uno strumento di gestione delle password, come ad esempio 1Password o Google Chrome per generare e ricordare una password univoca e sicura per ciascun sito che utilizzi.
• Aggiorna il tuo accesso a Google/Facebook se lo abbiamo disconnesso: se effettui l'accesso con Facebook o Google, potremmo avere resettato il tuo accesso. Sarà sufficiente effettuare nuovamente l'accesso al tuo account Canva.
• Aggiornamento delle informazioni di contatto: una volta effettuato l'accesso a Canva, aggiungi o aggiorna le tue informazioni di contatto per consentirci di contattarti in merito al tuo account.

Siamo estremamente dispiaciuti dell'accaduto. Tutti noi di Canva abbiamo ricevuto aggiornamenti come questo e sappiamo bene cosa si prova a livello personale. Vogliamo ricostruire e recuperare la tua fiducia e lavoreremo sodo per farlo.

Sebastian Welsh (