Dados de usuários da área de extensões do Firefox foram vazados

Uma falha (provavelmente humana) na Mozilla deixou aberto ao público uma coleção de nomes de usuário, e-mail e hashes de senhas de alguns desenvolvedores e usuários cadastrados na área de extensões do Firefox.

A falha havia sido reportada à Mozilla no dia 17 por uma empresa de segurança. O grupo confirmou o vazamento no seu blog.

Aparentemente os dados vazados eram de contas antigas, pois desde abril de 2009 eles usam SHA-512 para as senhas, não mais o MD5. Segundo o blog da Mozilla o banco de dados tinha dados de cerca de 44 mil usuários, sendo que apenas “uma parte” foi vazada.

O email enviado aos usuários que estavam na lista dá um aviso de que a conta foi bloqueada, sendo necessário criar uma nova senha. Embora as senhas originais não possam ser obtidas diretamente com os hashes, eles não são 100% seguros, ainda mais o famigerado MD5 – que pode ser “descodificado” com relativa facilidade baseando-se em “dicionários” para senhas comuns, já que força bruta seria inviável.

Os usuários precisam se registrar no site da Mozilla para comentar extensões, manter uma lista de extensões favoritas ou como desenvolvedores, para publicar extensões no site. A base vazada era de contas antigas, que não eram acessadas há um bom tempo. Mas fica a dica: para quem tinha conta lá sem entrar desde abril de 2009 vale a pena trocar a senha, ainda mais se ela for igual à do email cadastrado.

Com frequencia aparecem notícias desse gênero. Nem a Mozilla escapou. Mas foi algo feio, bem feio, já que o arquivo ficou numa área pública do site, mostrando uma boa dose de irresponsabilidade do funcionário envolvido.