Somos Marcos y Patch. Pregúntanos

Después del ataque y el robo de datos que hemos sufrido los últimos días, vamos a ir respondiendo a las preguntas que tengáis (de manera ordenada y explicando solo las cosas que sepamos y/o lo que no esté bajo investigación).

Relacionada: blog.meneame.net/2022/10/03/ataque-y-extraccion-de-datos-en-meneame-an

Viernes, 7 de octubre a partir de las 13h en vídeo.

[#1 Carme]

#0 La pregunta de rigor: la tortilla, ¿con cebolla o sin cebolla?

[#127 patchgirl]

#1 Respondida en el 4:17

[#182 Carme]

#127 marcos baneado

[#10 XavierGEltroll]

#1 ¿El robo de datos con o sin patatas?

[#128 patchgirl]

#10 Respondido en 5:06

[#34 quejio]

#1 ha habido un filtrado del gusto de la tortillas de los meneantes? Se sabe si alguien pagará algo por ello?

[#36 --134954--]

#1 Habeis probado la McRib ?

[#2 UnDousTres]

Es necesario tener en abierto nuestras IPs e emails en la BD?
Cuantas veces a la semana usas ese gif en tus chats de trabajo?
Cuantas horas extras sin pagar te has comido por este marron?

[#131 patchgirl]

#2 Respondido en 7:21

[#100 EmuAGR]

#2 Qué pesadilla con las IP, vamos a ver, ¿cómo guardas un dato consultable si no es "en abierto"?

Literalmente todos los sistemas de gestión de contenidos loguean las IP de los usuarios y de registro. Yo baneo rangos completos en un foro para atajar spam Pakistaní.

[#183 msrut]

#2 A mí me han hackeado el teléfono...gracias a esas IPs.
Y mi ID es superior a 600k.
Delante de mis narices he visto como me han colgado una llamada y al momento le ha enviado un SMS a ese contacto, que con lenguaje coloquial ponía que no podía coger ahora y que qué pasaba.

Puta gracia la broma de las IPs

[#3 BodyOfCrime]

Eres el becario? www.meneame.net/m/Artículos/meneame-busca-becario-aqui-punto-vista-us

[#4 paco_camps_2011]

¿Habeis comunicado a todos los usuarios afectados a través de su email?

¿Los usuarios afectados son los que su ID está dentro de los 250k primeros?

¿Cómo vais a compensar a los afectados? ¿Con una cuenta de Meneame Premium?

¿Podeis explicar técnicamente como ha sido el ataque?

¿Qué datos exactamente han sido robados?

¿Es cierto que los rancios nos hemos librado del robo?

[#132 patchgirl]

#4 Respondido en 15:30

[#152 DarthMatter]

#132 ¿Qué significa "15:30"? ... ¿Es la hora a la que pensáis responder?

[#27 rebrok]

#4 mi ID está entre los afectados, me salió una ventana para cambiar la password, pero de notificación por email nada

[#31 paco_camps_2011]

#27 A mi también me salió de cambiar la contraseña, pero di por hecho que eso era para todo el mundo, al menos no decía nada de que yo hubiera sido afectado concretamente. Mi ID es más de 300k y suponía que no, pero ahora ya no se.
#0 ¿Ha sido esta la notificación de los afectados?

[#40 MAD.Max]

#31 yo cambié clave y email en cuanto me enteré.

El sistema de Yahoo para crear cuentas de correo desechables es bastante bueno (si tienes la costumbre de usarlo con todo)

[#102 lolerman]

#27 Yo cambié la contraseña nada mas salir a la luz el suceso, y aun así meneame me saltó a los dos días con la obligación de volver a cambiar la contraseña... y me dejó repetir!!! ni siquiera comparó los hashes o comprobó la complejidad de la misma.

[#133 patchgirl]

#102 Respondido en 20:10

[#104 rebrok]

#102 A mi tambien me dejo poner la anterior si... jajaja

[#126 mdotg]

#40 Yo la cambié pronto y luego obligaron a cambiarla todo el mundo así que la he cambiado dos veces.

Edit: como #102

[#63 meneandro]

#27 A mi también, pero ya la había cambiado tras enterarme. Por cierto, que tras lo de meneame, me ha saltado un aviso de facebook de intento de cambio de password (si, uso el mismo correo). Lo divertido, es que se supone que yo borré mi página de facebook hace años... o al menos eso le ordené a FB.

[#29 Remenad0r]

#27 a mi tb, y ya la había cambiado dos días antes.

[#111 EstaCuentaEsTemporal]

#27 Yo me he enterado por una noticia, ni siquiera entro ya en Meneame. Ahora quiero borrar mi cuenta con todos mis comentarios y mis envíos, y no hay manera de hacerlo.

Tenían la obligación legal de informar directamente a los usuarios afectados y no lo han hecho en el plazo.
La AEPD ha entrado en el chat

[#5 manuelpepito]

¿Han accedido a mis datos? Es que una rusa que está muy buena me está escribiendo y no se si es una estafa o es que he ligado.

[#7 patchgirl]

#5 Dale una oportunidad al amor, yo estoy segura de que has ligado.

[#125 --508782--]

#7 No sé qué pasa que no me sale comentar así que me dirijo desde aquí y te dejo unas preguntas

No te parece grave que aunque se de por supuesto que se usen cuentas falsas para los registros alguien pueda conocer la dirección de mail de un usuario? Yo la verdad lo considero bastante grave, y eso no debiera poder darse ni por asomo. Tal vez convendría explorar algún sistema de validación más real porque también va en demérito de la página reconocer los que ya sabemos todos, que esto está lleno…   

[#32 pip]

#5 esa lo que quiere es casarse contigo, hacerte ruso y mandarte a Ucrania. Ojito con las recruiters.

[#62 patxix]

#5 Las dos cosas hermano. Las dos cosas. Y ahora que te veo más tranquilo gracias a mí, prepara la cartera para pagar ambas cosas.

[#203 pocomoco]

#5 Presentasela al principe nigeriano que tambien te escribe por un premio.

Lo mismo haces de celestina.

[#6 Charles_Dexter_Ward]

Hola, boinas.
- ¿Salgo guapo en la tabla?
- ¿Se ha filtrado mi tarjeta de crédito que no os he dado?
- ¿Es delito comprar o compartir esa tabla?
- Marcos, ¿Por qué no me amigas?

[#134 patchgirl]

#6 Respondido en 22:15

[#26 Ripio]

#6 Ya te contesto yo: es delito comprar material robado sabiendo que ha sido robado.

[#42 MAD.Max]

#26 como cuando compras discos a los manteros?

[#41 Batko]

#26 Es delito comprar material robado sin saber que es robado. Se llama receptación.

[#8 masde120]

¿Creéis que si hubiera habido un departamento informático con perspectiva de género esto se pudiera haber evitado?

[#135 patchgirl]

#8 Respondido en 23:40

[#67 patxix]

#8 Yo las dije que evitaran esto y ésta. Pero no me hicieran casa.

[#11 --615664--]

¿Cuándo vais a poner mas emojis? Así como por poneros un ejemplo, el emoji pelirrojo que se me prometió

#prayforamperobonus

[#137 patchgirl]

#11 Respondido en 24:50

[#17 fidelet]

#11 Síii, emojis, emojis.

No los cambiáis de hace décadas.

[#51 El_perro_verde]

#17 joder, si aún sigue el de profesor...

[#68 patxix]

#11 Quita, quita!

[#12 Papas07]

Puedo mudarme ya al nuevo diseño o sigue petando?

Que version de meneame usan ellos?

Hay tema oscuro en el nuevo diseño? Si no lo hay, cuando lo habrá?

[#138 patchgirl]

#12 Respondido en 25:30

[#14 Mosquitocabrón]

¿Es cierto que gracias a la nueva imagen y por cumplir con la paridad de sexo en MNM habéis contratado a una nueva becaria?  

[#85 Dalit]

#14 ¿quién es esa mujer?

[#15 Hangdog]

Si es verdad que os pagan por mantener la web y aguantar tanto troll, ¿Los cacahuetes llevan cáscara o vienen pelados?

[#140 patchgirl]

#15 Respondido en 28:14

[#158 Hangdog]

#140 Graciassss

[#16 --519574--]

Huele a SQL injection. Sanitisais las entradas?

'); SELECT password from users; - -

[#141 patchgirl]

#16 Respondido en 29:30

[#47 inar]

#16 www.youtube.com/watch?v=i_cVJgIz_Cs

[#70 TheIpodHuman]

#47 Y si das cuenta que la has cagado antes de hacer commit, puedes recurrir hacer un rollback y es como si no hubiera pasado nada

Tu amigo el DBA

[#18 Mltfrtk]

No he recibido ninguna notificación de Menéame y me gustaría que me dijeran si han accedido a mis datos, que datos se han filtrado y qué debo hacer en caso de que así sea.

[#142 patchgirl]

#18 Respondido en 30:00

[#19 ElPerroDeLosCinco]

Entonces al final qué, ¿me paso o no a Mediatize?

[#20 Jesuo]

¿de esos 660000 usuarios registrados cuántos son bots? una cifra concreta.

¿cuantas multicuentas? una cifra concreta.

¿que postean los bots? ¿están controlados por una IA?

[#143 patchgirl]

#20 Respondido en 30:15

[#46 MAD.Max]

#20 y ¿Se va a aprovechar para hacer limpieza de usuarios inactivos?

¿Queda información de los usuarios desactivados en la base de datos? En ese caso ¿Que información ha quedado expuesta de esos usuarios desactivados ?

¿ No hay alguna norma que obligue a borrar totalmente la información de un usuario que así lo quiera?

[#93 paco_camps_2011]

#20 ¿Hay 660.000 usuarios registrados? Por lo que he podido ir leyendo se ha llegado hasta el ID algo más del 300.000. Prácticamente el 50%, cuando se dijo que "sólo" había sido como un 17%.
#0 ¿Es esto correcto? ¿Qué porcentaje de usuarios han sido afectados?

[#21 --493164--]

#0 Viendo que hay usuarios a los que no les importa rascarse el bolsillo para conocer los emails y claves de los demás, y a nadie parece importarle, aunque lo reconozcan en portada:

www.meneame.net/story/hay-famoso-volcado-datos-meneame

¿Os habéis planteado vendérselos directamente y os ahorráis intermediarios?

[#145 patchgirl]

#21 Respondido en 33:50

[#23 Ripio]

#21 Si hay gente que haya pagado por la lista ( y la forma de conseguir esos datos, que sepamos, es pagar 200 euros) está cometiendo un delito de receptacion.

Y si se niega a decir su procedencia, de encubrimiento.

Si no me falla la memoria hay alguien que ha hecho las dos cosas.

[#82 Graffin]

#23 Yo tengo la lista pero no es robada, me han dicho que se cayó de un camión.

[#39 ccguy]

#21 no deberías dar cosas por supuestas y menos sin citar. Es lo mínimo.

[#89 --493164--]

#39 en tu artículo yo y otros te preguntamos para aclarar este tema y no nos has querido contestar, es lo mínimo, ya que se trata de nuestros datos.

[#24 Ripio]

#21 www.meneame.net/notame/3569455

[#78 turuleto]

#21 para eso habría que preguntar a los registrandos si quieren que sus datos sean vendidos

[#22 el_pepo]

Hola #0. En la nota del blog, comentásteis que las contraseñas almacenadas están hasheadas con MD5 y SHA256 pero no indicáis si usais "salt" o si el nº de iteraciones de cifrado es superior a 1. ¿Podríais dar más datos acerca de esto? ¿Usais simplemente MD5(pass), SHA256(pass), MD5(SHA256(pass)) o algo más robusto del tipo PBKDF2? Es por descartar que los hashes funcionen directamente en crackstation o sitios similares con rainbow tables "corrientes"

[#146 patchgirl]

#22 Respondido en 35:30

[#153 redscare]

#146 Respondido de aquella manera. La seguridad por ocultación de lo que estas haciendo no es seguridad real. Muy decepcionantes las respuestas que esta dando, deja claro que se pasan las buenas practicas de seguridad por el forro.

[#103 EmuAGR]

#22 No usan salt, del código de Menéame es en su mayoría open source y lo puedes mirar. Yo mismo probé a revertir algunos MD5.

[#123 el_pepo]

#103 Pues eso es a dia de hoy es solo un pelín más seguro que almacenar las contraseñas en texto claro

[#97 buginside]

#22 Esta es la pregunta más importante que se puede hacer.

[#25 Jakeukalane]

¿Cuándo vais a cumplir la LGPL?

[#147 patchgirl]

#25 Respondido en 36:25

[#175 Jakeukalane]

#147 o sea que nunca...

[#195 Jakeukalane]

#147 la LGPL depende de los programadores no del equipo legal. Me parece una vergüenza de respuesta...

[#179 mdotg]

#25 ¿Te ha quedado clara la respuesta, no?

[#33 el_vago]

Dentro de los datos robados ¿hay usuarios 'borrados'?

Es decir, los que se quedan como --123456--

[#149 patchgirl]

#33 Respondido en 37:15

[#38 ccguy]

#33 sí

[#43 el_vago]

#38 ¿y tienen los mails, por ejemplo, de dichos usuarios?

[#35 juanac]

¿Habéis comunicado la filtración a la AEPD como obliga la Ley? Gracias.

[#150 patchgirl]

#35 Respondido en 37:30

[#37 ccguy]

¿Por qué ya no es público el código fuente? ¿Qué tiene tan especial que no puedan ver y revisar los mortales?

[#151 patchgirl]

#37 Respondido en 37:50

[#57 neo1999]

#37 Porque con la de programadares que hay aquí pondrían a parir el código en cero coma.

[#75 Aitor]

#37 ¿Por qué ya no es público el código fuente?

¿Vergüenza?

[#172 DangiAll]

#37 para que no se rían de las chapuzas?

[#50 aughan]

Me habéis hecho cambiar de contraseña por primera vez en 15 años. ¿Os parece bonito?

[#155 patchgirl]

#50 Respondido en 39:28

[#52 MAD.Max]

#48 tampoco han robado la base de datos, aún la siguen teniendo en el servidor de Menéame

[#54 El_perro_verde]

#52 mu bien

[#53 eltercerhombre]

Como me parece que nadie lo dice (no lo he visto) lo digo yo.

¿Por qué tenemos que esperar al viernes y tratarnos un video? ¿No podéis responder y punto?

A mi personalmente me parece una chorrada. Gallir guardaba las contraseñas en texto plano. Y la información que se puede sacar de aquí es poca. Probablemente palmen los clones y nos los usuarios de verdad.

Pero ya que os ponéis ¿por qué tenemos que aguantar una espera y un formato insufrible?

[#156 patchgirl]

#53 Respondido en 39:50

[#170 eltercerhombre]

#156

[#73 --711853--]

#53 prefiero el hackeo que el video.

[#185 sorrillo]

#53 ¿Por qué tenemos que esperar al viernes y tratarnos un video? ¿No podéis responder y punto?

Respuesta en el vídeo: "no es cosa nuestra, es cosa de los preguntados", responde el preguntado

[#117 Jesuo]

#53 Yo te lo explico, cuando se puede hacer uso de una plataforma externa por fallos de seguridad se lleva a los usuarios a esas otras plataformas, y no solo por fallos de seguridad sino por haber sido creadas para que sea fácil acceder a los ordenadores de los usuarios.

En #112 explico con claridad uno de los porqués.

[#55 omegapoint]

#45 es increible Manolitro, ¿esto también?

Te ha tocado todo lo malo del mundo.

[#58 EsUnaPreguntaRetórica]

#55 A perro flaco todo son pulgas

[#56 neo1999]

Lo más grave a mi entender es que se ha revelado la identidad de muchos que comentábamos aquí con la idea de que esto es más anónimo que otras redes sociales.
Mi confianza en Menéame se ha visto totalmente traicionada. Quizá lo justo sería poder borrar comentarios antiguos de los usuarios afectados para que quien conozca la identidad no acceda a su contenido. No sé si me explico...

[#157 patchgirl]

#56 Respondido en 41:30

[#90 Quecansaometienes...]

#56 Muy buena idea Antonio García, de Segovia. El anonimato es lo principal

[#110 EstaCuentaEsTemporal]

#56 Estoy totalmente de acuerdo: @patchgirl, ¿cómo vais a ofrecer el borrado completo de los envíos y comentarios de los usuarios afectados?

[#61 Aimfain]

¿Por qué me habéis copiado la foto de perfil?

[#160 patchgirl]

#61 Respondido en 42:51

[#72 --711853--]

#61 te han hackeado. Lo mejor que puedes hacer es cambiar tu foto de perfil por una con 128 pixels alfanuméricos incluyendo mayúsculas, minúsculas y emoticonos.

[#64 patxix]

#41 El desconocimiento de la ley no exime de su incumplimiento. Esta ley es usada en todos los países del mundo conocido.
es.wikipedia.org/wiki/Ignorantia_juris_non_excusat
Es decir que todos los pobres mortalillos debemos estudiar leyes o contratar a un abogado.
Si yo soy de la pública y no tengo dinero ni para una caña, soy carne de cañón.
Antes de hacer cualquier cosa, tengo que empollarme el BOE .
No me cuadra.

[#69 sorrillo]

#24 Existencia de ánimo de lucro al cometer la receptación. Se deduce a partir de elementos objetivos, y se refiere no solamente a beneficios materiales sino incluso, en cierta forma, un reconocimiento social.

No parece que haya ánimo de lucro, lo del reconocimiento social muy cogido por los pelos.

Siendo víctima hacer el pago puede explicarse para valorar el alcance del daño.

Lo más reprochable es la financiación a quienes sí han cometido el delito, lo mismo aplica al pagar rescates tanto de personas como para descifrar datos por un virus.

No me consta que esto se persiga.

[#98 Ripio]

#69 Pues el texto no es mio, es copiado.

[#77 ccguy]

#71 es un borrado lógico, no físico. Personalmente creo que hay que buenas razones.

[#106 EstaCuentaEsTemporal]

#77 Desde la perspectiva del usuario, y del cumplimiento con las leyes de protección de datos, ¿podrías indicar qué razones puede haber para mantener datos que se puedan asociar a una persona?
Un borrado lógico implica disociación de los datos. Si se pueden recomponer, NO ha habido borrado (ni físico ni lógico).

[#87 Adson]

#85, www.youtube.com/watch?v=QNTZbJSQVis.

[#95 --493164--]

#91 prefiero no acceder a datos de usuarios robados, gracias.

[#105 sorrillo]

#98 El problema no está en el texto que has copiado sino en tu interpretación de que aplica a este caso para el usuario al que acusas de ello.

[#107 Ripio]

#105 Datos robados que están en venta.
Datos que afirmas tener.
Poca interpretación.

[#108 sorrillo]

#107 Quizá has hecho poca interpretación pero parece que la poca que has hecho la has hecho fatal.

No parece que haya ánimo de lucro, lo del reconocimiento social muy cogido por los pelos.

Siendo víctima hacer el pago puede explicarse para valorar el alcance del daño.

Lo más reprochable es la financiación a quienes sí han cometido el delito, lo mismo aplica al pagar rescates tanto de personas como para descifrar datos por un virus.

No me consta que esto se persiga.

[#113 Ripio]

#108 Eso explícaselo a la policía que es con quien acabo de hablar.
Ademas, no quiere revelar la fuente, eso es encubrimiento.

[#114 sorrillo]

#113 Yo conozco de una fuente porque fue publicada en menéame, se publicó una captura de la deep web donde sospecho había datos suficientes para encontrar dónde comprar los datos. Es esta: www.meneame.net/story/parece-meneame-ya-sufrido-hackeo

Si se han comprado por la deep web no hay ningún motivo para presuponer que se conoce a quien lo vende. No habría por lo tanto encubrimiento alguno.

Si tienes noticias del desenlace de las actuaciones de la policía te agradecería nos fueras informando, aunque ya te adelanto que no es la policía quien determina la culpabilidad de un acusado sino un juez.

[#116 Ripio]

#114 Si tu compras una tele sabiendo que es robada ya es un delito, al margen de que conozcas la identidad de quien hizo el robo.

[#120 sorrillo]

#116 En el caso de una tele robada es más defendible el ánimo de lucro que en la compra de datos entre los cuales están los tuyos.

En el caso del televisor te estás ahorrando comprar uno nuevo que es más caro y estás aprovechando la existencia de un televisor más barato, a sabiendas que es robado, para tu beneficio.

En el caso de la compra de datos robados entre los cuales están los tuyos pueden existir motivaciones legítimas para ello como conocer el alcance del daño, para poder tomar…   

[#129 patchgirl]

#34 Respondido en 5:31

[#130 patchgirl]

#36 Respondido en 6:21

[#136 patchgirl]

#9 Respondido en 24:15

[#139 patchgirl]

#13 Respondido en 27:30

[#144 patchgirl]

#46 Respondido en 31:35

[#148 patchgirl]

#28 Respondido en 36:40

[#178 Remenad0r]

#148 lol perdona, he votado negativo al comentario (lo mismo no he sido no yo) no se ni como. Arreglalo, o ya si eso lo edito yo en la base de datos

Dicho esto, no se que mierdas pasa con youtube o el vídeo que hace buffer unos segundos y se corta. Aún no he podido verlo.

Edit: ok, o sea en el principio del vídeo se explica.

[#154 patchgirl]

#49 Respondido en 39:05

[#180 Amino_Menhires]

#154 Gracie! A mi abuela le ha hecho ilu. Y gracias por contestar con el minuto de respuesta. Muy eficiente

[#161 patchgirl]

#80 Respondido en 43:50

[#162 patchgirl]

#81 Respondido en 44:30

[#163 patchgirl]

#83 Respondido en 44:50

[#168 ElPerroSeLlamabaMisTetas]

#163

Al menos lo leíste con voz de Parchgirl jajajajajaja

[#164 patchgirl]

#101 Respondido en 45:15

[#165 patchgirl]

#122 Respondido en 46:50

[#166 patchgirl]

#86 Respondido en 48:30

[#196 fanchulitopico]

#166 gracias!

[#167 patchgirl]

#94 Respondido en 50:48

[#169 patchgirl]

#99 Respondido en 52:15

[#171 patchgirl]

#106 Respondido en 53:45

[#173 patchgirl]

#124 Respondido en 55:50

[#174 patchgirl]

#152 No! Es el minutaje del vídeo de YouTube donde estamos respondiendo

[#176 DarthMatter]

#174 ¡Oh! .... ¡Nooo! ... Vosotros también habéis adoptado esa fea costumbre.

'Meneame' absorbido por 'YouTube' en 3, 2, 1, ...
(Y encima sin subtítulos).

_{Bueno. Al menos no habéis respondido mediante audios de 'Güasap'.}

[#187 ccguy]

#183 lo que dices now tiene ni pies ni cabeza

[#188 msrut]

#187 pues explícame cómo ha hecho eso, escuché la llamada fui corriendo y vi como borró la notificación. Fui a los sms para ver si salía quien había llamado y tenía un mensaje que yo no escribí y no tengo automatizado.
Y todo lo del #184 lo vi en directo.
Explícamelo, porque los fallos de pantalla táctil no hacen eso, son aleatorios o afectan solo a una parte de la misma.

[#189 ccguy]

#188 no tengo ni idea de qué tiene que ver una IP en una base de datos con tus problemas con el móvil, ¿tú sabes lo que es una IP?

[#197 msrut]

#189 #191 iros a cagar los dos, lo que tengo yo no es un problema con el móvil, me lo han hackeado y yo ni instalo mierdas y ando por 4 páginas y una es meneame.
Y vaya mierdas de hackers conoceis para no saber que con la IP si quieren, es el principio.

[#202 patchgirl]

#182 200% de acuerdo contigo