Kickstarter informeerde in hun blog over een aanval die afgelopen woensdag werd gedaan. Hackers hebben toegang gekregen tot gebruikersnamen, e-mailadressen, telefoonnummers, postadressen en gecodeerde wachtwoorden. Gelukkig zijn er geen creditcardgegevens gelekt.
Kickstarter beantwoordde een paar vragen over dit incident:
- Hoe werden wachtwoorden versleuteld? Oudere wachtwoorden werden uniek gezouten en meerdere keren met SHA-1 gedigesteerd. Meer recente wachtwoorden zijn gehashed met bcrypt.
- Bewaart Kickstarter creditcardgegevens? Kickstarter bewaart geen volledige creditcardnummers. Voor toezeggingen aan projecten buiten de VS slaan we de laatste vier cijfers en vervaldatums op voor creditcards. Geen van deze gegevens was op welke manier dan ook toegankelijk.
- Als Kickstarter woensdagavond op de hoogte was gebracht, waarom werden mensen dan op zaterdag verwittigd? We hebben de overtreding onmiddellijk beëindigd en iedereen op de hoogte gebracht zodra we de situatie grondig hadden onderzocht.
- Werkt Kickstarter met de twee mensen van wie de accounts zijn gecompromitteerd? Ja. We hebben contact met ze opgenomen en hebben hun rekeningen beveiligd.
- Ik gebruik Facebook om in te loggen bij Kickstarter. Is mijn login gecompromitteerd? Nee. Uit voorzorg resetten we alle inloggegevens van Facebook. Facebook-gebruikers kunnen eenvoudig opnieuw verbinding maken wanneer ze naar Kickstarter komen.