Масова публікація зламаних паролів, ймовірно, включає і ваші

Auth0

Раніше ми думали, що для забезпечення безпеки паролі повинні бути незрозумілими безглуздими рядками, що складаються з випадкових символів, великих літер, цифр і символів. Це вже не так.

Не проходьте повз

Зловмисники опублікували гігантську криницю паролів, і дуже велика ймовірність, що і ваш там знаходиться.

За словами Троя Ханта, автора чудового сайту повідомлень про злами «Have I Been Pwned», який дозволяє користувачам переглядати вашу електронну пошту і визначати, чи були та де були скомпрометовані ваші паролі та інша інформація користувача, — це одна з найбільших колекцій зламаних даних, які він коли-небудь бачив у мережі.

Для такого захисника даних як Хант слово «великий» не є применшенням. Кеш файлів, що отримав назву Naz.API, містить понад 71 мільйон адрес електронної пошти й 100 мільйонів паролів. Наразі досягнуто понад 400 000 передплатників Have I Been Pwned (HIBP).

New breach: The Naz.API stealer logs and cred stuffing lists were posted to a hacking forum in Sep. Data included 71M email addresses and 100M plain text passwords, often alongside the service they were used for. 67% were already in @haveibeenpwned. More: https://t.co/Uef4G7gOei
— Have I Been Pwned (@haveibeenpwned) January 17, 2024

Це не все свіже. Дослідник повідомив у своєму повідомленні в блозі, що понад 65 відсотків адрес електронної пошти, які зазнали злому, вже зустрічалися раніше в інших наборах даних HIBP. Це говорить про те, пояснив Хант, що, хоча більшість украдених даних вже перебуває у вільному доступі, більше третини з них, схоже, були зібрані нещодавно.

"Якщо третина адрес електронної пошти ніколи раніше не проглядалася, це статистично значуще", — написав він. "Це не просто звичайна колекція перепрофільованих списків, загорнутих у новий бант і що видаються за чергову велику річ; це значний обсяг нових даних".

Виконаний вхід

Як пояснює Хант, більша частина даних надходить з так званих «логів крадіїв» або шкідливих програм, встановлених на пристрої чи фіксують дані для входу в систему. У випадку з Naz.API ці списки імовірно були отримані з illicit.services, нині не робочого сайту, який легко дозволяв зловмисникам шукати дані на ім'я чи адресу електронної пошти.

Переглядаючи власні скомпрометовані дані, Хант виявив пароль, який він використовував до 2011 року, що, схоже, вказує на те, що деяка інформація справді дуже стара.

When we weren't looking, @haveibeenpwned's Pwned Passwords rocketed past 7 *billion* requests in a month ???? pic.twitter.com/hVDxWp3oQG
— Troy Hunt (@troyhunt) January 16, 2024

Можливо, найважливіший висновок, особливо якщо врахувати його власний пароль більш ніж десятирічної давності, який Хант знайшов у наборі даних, полягає в тому, що повторне використання паролів у різні роки та на різних сайтах є дуже небезпечною практикою обробки даних. Посилаючись на недавній злом 23andme, дослідник зазначив, що доти, доки «повторне використання паролів залишатиметься нестримним», будуть і наслідки подібних зламів.

Його порада?

"Обов'язково встаньте перед цим якомога раніше", замінивши свої перероблені облікові дані менеджером паролів.