Что случилось?
Несколько неизвестных хакеров, которых западные издания (например, Motherboard) называют российскими, последовательно выставили на продажу в даркнете сначала огромную базу учетных записей LinkedIn и Tumblr, а затем «ВКонтакте» и Twitter.
За каждую базу хакеры, использующие ники Peace of Mind и Tessa88, требовали в среднем от 1 до 10 биткоинов ($580 — $5,8 тыс.). Самыми дорогими оказались пароли к чужим аккаунтам в Twitter (10 биткоинов), а вот базу пользователей во «ВКонтакте» оценили в один биткоин.
Чьи пароли украдены?
По данным самого хакера, ему удалось завладеть следующими данными:
— 117 млн пользователей соцсети LinkedIn
— 65 млн учетных записей блог-платформы Tumblr
— 100 млн аккаунтов российской соцсети «ВКонтакте»
— 32 млн учетных записей Twitter
Несмотря на то что число пользователей, которые могут пострадать от взлома, достаточно впечатляющее, по данным экспертов, практически все учетные записи относятся к 2012 году.
Поэтому под угрозой могут быть те аккаунты, пользователи которых не меняли пароль в течение нескольких лет.
Проверить, попал ли ваш личный пароль от одного из четырех сервисов в базу, можно на сайте LeakedSource или Have I been pwned. К примеру, у корреспондента «Газеты.Ru» утекли в сеть устаревшие пароли от сервисов «ВКонтакте» и Tumblr.
Как хакерам удалось взломать сразу несколько соцсетей?
По словам специалистов, никакого взлома на самом деле не было.
Как рассказал «Газете.Ru» ведущий вирусный аналитик компании ESET Артем Баранов, данные о скомпрометированных учетных записях социальных сервисов были, скорее всего, получены с помощью вредоносного ПО и ботнетов.
Проще говоря, хакеры целенаправленно рассылали фишинговые письма и заражали компьютеры пользователей сети или же с помощью подставных сайтов вынуждали ввести логин и пароль.
На то, что злоумышленники не применяли никаких высокотехничных навыков, указывает и сам вид баз данных. Логины и пароли в них содержатся в виде простого текста, а это значит, что они либо были перехвачены, либо подобраны вручную. Вероятно, хакеры занимались подобными действиями несколько лет.
Как соцсети отреагировали на столь крупную утечку?
Журналисты издания Motherboard, которым удалось получить доступ к части хакерской базы данных, проверили несколько учетных записей, и в большинстве случаев они оказались верными.
Так, в случае с «ВКонтакте» активными оказались 92 из 100 случайно выбранных аккаунтов. С Twitter выборочная проверка нескольких аккаунтов показала, что 15 из 15 паролей являются действительными.
В пресс-службе соцсети «ВКонтакте» уточнили, что речи о взломе данных компании не идет и всем упомянутым в базе пользователям данные для входа на страницы менялись принудительно. В Twitter владельцам аккаунтов, которые могут быть под угрозой, разослали сообщения с просьбой срочно сменить пароль.
Как защитить свой аккаунт?
На примере утекшей базы данных во «ВКонтакте» оказалось, что самым популярным паролем до сих пор является комбинация «123456» — из 100 млн учетных записей она встречается 709 тыс. раз. Часто используемыми также являются «qwerty», «123123» и «qwertyuiop».
Поэтому для лучшей защиты пароль должен содержать как минимум буквы в разном регистре и цифры. Еще лучше, если это не будет перекликаться с фамилией, именем и логином.
Кроме того, необходимо использовать разные пароли для разных учетных записей, причем желательно, чтобы пароли различались не на одну букву. В идеале следует использовать пароль, сгенерированный случайным образом. Для этого существует несколько специальных сервисов, которые создают комбинации разной степени сложности.
Еще одна степень защиты, которая поможет не дать злоумышленникам получить доступ к личному аккаунту, — двухфакторная аутентификация.
Помимо обычного логина и пароля практически все соцсети и мессенджеры предлагают привязать аккаунт, например, к номеру телефона. В этом случае хакер, который может знать логин и пароль для входа в аккаунт, не сможет его взломать, поскольку для этого ему необходимо, помимо прочего, ввести код, который обычно отправляется в SMS-сообщении.
Использование в качестве «второго рубежа» именно SMS-сообщений является наиболее простым и распространенным способом, хотя код может быть отправлен по почте, в виде голосового сообщения или же вообще с использованием отдельного устройства, считывающего биометрические данные — голос, сетчатку глаза, отпечаток пальца.
Более того, SMS-сообщения с кодом могут выступать в качестве оповещения о попытке взлома аккаунта. Это послужит признаком того, что кто-то знает ваш пароль и его необходимо сменить.