Пароли 6,5 миллионов пользователей социальной сети LinkedIn оказались в сети

Пароли 6,5 миллионов пользователей LinkedIn оказались в сети

Несколько дней назад российский хакер опубликовал на одном из форумов сообщение о том, что ему удалось обойти систему безопасности профессиональной социальной сети LinkedIn и скопировать базу из 6,5 миллионов паролей ее пользователей.

В качестве доказательства он опубликовал файл (271 Mb), в котором содержались хэши паролей пользователей социальной сети. Спустя некоторое время на форуме стали появляться сообщения о том, что 300000 из них уже расшифровано.

Достоверность опубликованной информации подтвердили сами пользователи, сообщив в своих твиттерах о том, что их пароли присутствуют среди скомпрометированных.

Пароли были зашифрованы при помощи криптографической хеш-функции SHA-1. По мнению специалистов в области безопасности данный алгоритм шифрования является достаточно надежным, и расшифровать его довольно сложная задача, но в случае использования простых комбинаций гарантий никаких нет.

Сегодня администрация социальной сети опубликовала через твиттер официальное обращение к пользователям: «Наша команда на данный момент работает над отчетами об украденных паролях. Оставайтесь на связи».

Несмотря на то, что в файле нет ни адресов электронной почты, ни логинов, ни иной другой конфиденциальной информации, которая могла бы помочь ассоциировать пароли с конкретными пользователями, специалисты настоятельно рекомендуют сменить пароли как можно скорей.

Напомним, что недавно LinkedIn обвиняли в том, что ее версия для операционной системы iOS имеет несанкционированный доступ к адресной книге пользователя и передает некоторые данные из нее на серверы компании без ведома пользователей.

 

Николай Федотов, главный аналитик InfoWatch считает, что сам факт не слишком взволновал айтишную общественность, хотя новость о ней разлетелась мгновенно. Специалисты знают, что монетизировать линкединовский аккаунт невозможно, соответственно, на чёрном рынке этот товар не купят. Поэтому айтишники нынче ночью не торопились бежать и менять свои пароли, а скачивали себе утекшую базу, рассматривали её, пробовали брутфорс и перебор по словарям, степенно обсуждали стойкость хешей и возможности их массового обращения.

«Наибольшее возмущение общественности вызвал тот факт, - продолжает Федотов. - Что пароли этой "соцсети профессионалов" хешировались не профессионально - т.е. без использования соли (добавки к хешируемому значению). С солью обратить хеш-функцию было бы немного труднее. А ресурсов это почти не занимает.
Данное упущение, согласно общему мнению, не делает чести разработчикам системы, Скорее всего, что и инцидент произошел из-за подобной недоработки, а не в результате направленных или неосторожных действий сотрудников соцсети. Для нас, разработчиков DLP-систем, это разница принципиальна».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Обратные звонки стали самой популярной уловкой мошенников

Телефонные мошенники начали применять новую тактику: вместо привычных обзвонов они стараются вынудить потенциальную жертву самостоятельно перезвонить по указанному номеру. Такой приём позволяет обходить антифрод-системы банков и операторов связи, которые отслеживают и блокируют подозрительные входящие вызовы.

В результате у человека создаётся иллюзия, что инициатива разговора исходит от него самого, что снижает уровень настороженности.

Как сообщает официальный телеграм-канал Управления по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России (УБК МВД) «Вестник киберполиции России», рост подобных схем заметен в последние месяцы.

Такая тактика позволяет злоумышленникам обходить технические средства блокировки внешних вызовов, которые активно применяются банками и операторами связи.

«Все схемы начинаются с создания иллюзии угрозы: «взлом госуслуг», «утечка данных», «несанкционированный доступ»… Затем гражданину приходит сообщение с «подсказанным» номером, звонок по которому якобы решит проблему. На деле же этот номер ведёт напрямую в мошеннический кол-центр», — предупреждает УБК МВД.

УБК МВД выделяет следующие характерные признаки подобных сообщений:

  • Нестандартный отправитель: SMS или письма поступают с случайных адресов и номеров, не связанных с организациями, от имени которых якобы отправлены.
  • Акцент на срочности действий — требование немедленно позвонить или выполнить указания является главным маркером мошенничества.
  • Ошибки в тексте: грамматические, стилистические, а также искажённые факты или некорректные данные.

В МВД напоминают: ни банки, ни госслужбы не просят граждан перезванивать по случайным номерам для решения проблем. В подобных ситуациях стоит проверять информацию только через официальные каналы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru