Vimeo: פריצה לספק Anodot חשפה כתובות מייל של כ-119 אלף איש, לפי HIBP
ב-27 באפריל 2026 הודיעה Vimeo שגורם לא מורשה ניגש לנתוני משתמשים ולקוחות שלה, אחרי פריצה לספק האנליטיקה Anodot. ShinyHunters טוענת שהיא מאחורי המתקפה.
TL;DR בקצרה
- Vimeo מסרה ב-27 באפריל שהנתונים שנחשפו הם בעיקר טכניים, כותרות סרטונים ומטא-דאטה, ולעיתים כתובות מייל של לקוחות.
- לפי Vimeo, סרטונים, פרטי כניסה תקפים ופרטי כרטיס אשראי לא נחשפו.
- BleepingComputer מדווח שתוקפים גנבו מ-Anodot טוקני אימות ופתחו בהם סביבות של לקוחות, בעיקר ב-Snowflake. Vimeo עצמה לא אישרה את הפרט הזה.
- ב-5 במאי הוסיף HIBP את הדליפה: כ-119,200 כתובות מייל, ולעיתים גם שמות.
ב-27 באפריל 2026 הודיעה Vimeo שגורם לא מורשה ניגש לנתוני משתמשים ולקוחות שלה, בעקבות פריצה לספק האנליטיקה Anodot. לפי Vimeo, המסדים שנחשפו כוללים בעיקר נתונים טכניים, כותרות סרטונים ומטא-דאטה. בחלק מהמקרים נחשפו גם כתובות מייל של לקוחות. סיסמאות תקפות, כרטיסי אשראי והסרטונים עצמם לא נחשפו, לדברי החברה.
מה Vimeo אומרת על הפריצה ל-Anodot
בפוסט שפרסמה Vimeo היא מתארת אירוע אבטחה אצל Anodot, ספק אנליטיקה שהיא עובדת איתו. Anodot מזהה חריגות בנתונים, כך לפי BleepingComputer. מיד כשזיהתה את האירוע, היא ניתקה את כל פרטי הגישה של Anodot והסירה את החיבור למערכות שלה.
Vimeo שכרה גם מומחי אבטחה חיצוניים והודיעה לרשויות החוק. היא מסרה שהאירוע לא שיבש את המערכות או את השירות. ב-15 במאי עדכנה שהחקירה הסתיימה, ושלקוחות ומשתמשים שנפגעו קיבלו פנייה לפי הצורך.
איך פריצה לספק פתחה גישה לנתוני לקוחות
הפוסט של Vimeo לא מפרט איך התוקפים נכנסו. BleepingComputer ו-Security Affairs מדווחים על תבנית אחרת. לפיהם תוקפים גנבו מ-Anodot טוקני אימות, מפתחות שמאפשרים לשירות להתחבר בלי סיסמה, והשתמשו בהם כדי להיכנס לסביבות של לקוחות. היעד העיקרי היה Snowflake. הדיווח מקשר את הפעילות לקבוצת ShinyHunters, ו-Vimeo אינה מאשרת את הפרט הזה.
זו תבנית מוכרת של פריצה דרך ספק. מבחינת הלקוח, הספק צריך רק טוקן כדי לעבוד, ולכן האבטחה של הלקוח תלויה באבטחה של הספק. לפי BleepingComputer, התוקפים לא הסתפקו ב-Vimeo. הם השתמשו בטוקנים כדי לשאוב נתונים מכמה ארגונים.
ShinyHunters הכניסה את Vimeo לפורטל הסחיטה שלה ב-27 באפריל. היא טענה שבידיה נתונים מסביבות Snowflake ו-BigQuery של החברה. הדדליין שהציבה לתשלום היה 30 באפריל. לפי Security Affairs, היא טוענת גם שלקחה מעל 78.6 מיליון רשומות ממשחקי Rockstar. הטענה לא אומתה.
מה הפריצה ל-Anodot אומרת למשתמשי Vimeo
לפי Vimeo, ההדלפה כוללת כותרות סרטונים ומטא-דאטה. זה יכול להספיק לתוקף כדי לנסח פישינג משכנע. מייל שמזכיר את שם החברה ואת הסרטונים שלכם נראה אמין. לכן כדאי לחשוד במיילים כאלה, גם אם הם נראים אישיים.
Vimeo היא פלטפורמה לאירוח סרטונים, ולפי BleepingComputer יש לה מעל 300 מיליון משתמשים רשומים. הדליפה שדווחה כוללת כ-119 אלף כתובות, חלק קטן מהבסיס הזה. Vimeo לא מסרה את המספר הכולל, ולכן ההיקף האמיתי אינו ידוע.
Vimeo מדגישה שפרטי הכניסה התקפים לא נחשפו. לכן ההגנה העיקרית היא זהירות, ולא החלפת סיסמה בפאניקה. מי שמשתמש באותה סיסמה בשירותים אחרים צריך להחליף אותה בכל מקרה.
מה זה אומר עבורכם
- בדקו את הכתובת שלכם. חפשו אותה ב-Have I Been Pwned. הדליפה של Vimeo נוספה אליו ב-5 במאי.
- חשדו במיילים על Vimeo. התוקפים מחזיקים כתובות וכותרות סרטונים, והם יכולים לנסח הודעה מדויקת.
- מפו ספקים עם גישה לנתונים. רשמו אילו שירותי צד שלישי מחזיקים טוקנים לסביבות Snowflake, BigQuery או מחסן נתונים אחר.
- החליפו וצמצמו טוקנים. החליפו מפתחות ישנים, תנו לכל ספק רק את ההרשאות שהוא צריך, והגבילו גישה לכתובות מוכרות.
- כשספק מדווח על פריצה, נתקו אותו. זה מה ש-Vimeo עשתה. נתקו את החיבור ואת פרטי הגישה, ואז חקרו.
מה קרה מאז
ב-5 במאי 2026 דיווח BleepingComputer ש-ShinyHunters פרסמה ארכיון של 106GB באתר ההדלפות שלה. לדברי הקבוצה, Vimeo לא הגיעה איתה להסכם. באותו יום הוסיף Have I Been Pwned את הדליפה, עם כ-119,200 כתובות מייל, ולעיתים גם שמות. Vimeo לא פרסמה את מספר הנפגעים הכולל.
מקורות והרחבה
- Anodot third-party security incidentVimeo
- Video service Vimeo confirms Anodot breach exposed user dataBleepingComputer
- ShinyHunters exploit Anodot incident to target VimeoSecurity Affairs
- Vimeo data breachHave I Been Pwned
- Vimeo data breach exposes personal information of 119,000 peopleBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
