La messagerie HipChat victime d’une intrusion

Alerte sécurité du côté de la messagerie instantanée HipChat de l’éditeur Atlassian. Le service aurait été victime d’une intrusion sur ses serveurs, ce qui a mené à une réinitialisation forcée de certains mots de passe utilisateurs.

Si vous utilisez HipChat, sachez qu’il est possible que votre compte ait été compromis lors d’une attaque détectée le 24 avril par Atlassian. Par mesure de sécurité, l’éditeur a lancer une procédure de réinitialisation des mots de passe de certains comptes ayant pu être touchés. De manière générale, n’hésitez pas à changer vous-même votre mot de passe même si vous n’avez pas été prévenu par mail.

Parmi les éléments potentiellement compromis, on peut citer le nom, l’adresse mail et le hash du mot de passe des utilisateurs (bcrypt + grain de sel aléatoire, ce qui est normalement très fiable et robuste face au cracking). S’ajoute à cela les métadonnées liées aux salons de discussions et plus rarement, les messages des instances (0.05% seulement). L’application et le site Web sont tous deux touchés sans distinction. D’après Atlassian, le reste de ses produits, services et son infrastructure n’ont pas été concernés. De plus, aucune preuve concernant une compromission des information bancaire liées aux paiements n’a été relevé par la société australienne.

Atlassian précise officiellement que la vulnérabilité a été identifiée et qu’elle se trouve dans un composant tiers.

Source : Numerama