Clubhouse, 13 लाख उपयोगकर्ताओं की जानकारी लीक

• उपयोगकर्ता जानकारी वाली SQL फ़ाइल सार्वजनिक हुई

→ पासवर्ड और ईमेल अकाउंट जैसी संवेदनशील जानकारी शामिल नहीं है

→ User ID, नाम, Photo URL, Username, Twitter/Instagram ID, followers की संख्या, following की संख्या, अकाउंट बनाने की तारीख, आमंत्रित करने वाला व्यक्ति

• Clubhouse की ओर से आधिकारिक जवाब: यह हैक नहीं हुआ था, बल्कि API के ज़रिये एक्सेस की जा सकने वाली सार्वजनिक जानकारी थी

• फिर भी, संभवतः इसका उपयोग social engineering हमलों आदि में किया जा सकता है, इसलिए सावधानी ज़रूरी है

[reedids]

🤦‍♀️

[xguru]

https://news.ycombinator.com/item?id=26768299

कहा गया है कि इस मुद्दे के बारे में फरवरी में Clubhouse को रिपोर्ट करने वाले यूज़र को कोई जवाब नहीं मिला।

• MITM से पता लगाया गया token भर हो तो पूरे public user profile को बिना किसी सीमा के query किया जा सकता है

• search results की संख्या पर सीमा और कम से कम Rate Limiting जैसी चीज़ें लागू कर देते तो इसे रोका जा सकता था, लेकिन लगता है कि ऐसा बिल्कुल नहीं किया गया