В сеть утекли пароли 412 миллионов пользователей крупнейшего сайта знакомств AdultFriendFinder Статьи редакции
Хакеры взломали базу логинов и паролей пользователей крупнейшего в мире сайта знакомств для взрослых AdultFriendFinder и других сайтов, принадлежащих той же компании. Эксперты проекта LeakedSource, сообщившие об утечке, назвали её крупнейшим взломом 2016 года.
По данным исследователей, причиной взлома стала раскрытая ранее информация об уязвимости AdultFriendFinder (AFF) атаке, известной как local file inclusion — PHP-инъекции, позволяющей загружать на сервер исполняемые файлы и контролировать его удалённо. Нападавшим стала доступна вся пользовательская база AdultFriendFinder.com, а также сайтов Cams.com, Penthouse.com, Stripshow.com, iCams.com и других проектов компании.
Всего в базе содержится более 412 миллионов пользователей. Значительная часть их паролей хранилась в открытом виде, а остальные были зашифрованы при помощи небезопасного SHA1-хеширования: в итоге 99% паролей оказались расшифрованы.
Судя по адресам электронной почты, изученных LeakedSource, часть имела вид [email protected]@deleted1.com. Учитывая, что зарегистрироваться при помощи такого типа адресов почты на AFF невозможно, эксперты сделали вывод, что компания хранила данные даже об удалённых пользователях и их уже совершённых на сайте действиях.
Среди топ-75 самых распространённых паролей часто встречаются слова сексуальной тематики, а также упоминания Франции и Пакистана. Почти миллион пользователей использовали самый простой пароль [123456]. Самым длинным паролем на сайте был [pussy.passwordLimitExceeded:07/1].
1: 123456, 900420 раз
2: 12345, 635995 раз
3: 123456789, 585150 раз
4: 12345678, 145867 раз
5: 1234567890, 133414 раза
6: 1234567, 112956 раз
7: password, 101046 раз
8: qwerty, 86050 раз
9: qwertyuiop, 43755 раз
10: 987654321, 40627 раз
11: 123123, 39614 раз
12: 111111, 38848 раз
13: pussy, 37938 раз
14: fuckme, 36008 раз
15: asdfghjkl, 35021 раз
16: 000000, 34631 раз
17: fuckyou, 34498 раз
18: abc123, 34080 раз
19: 00000, 33796 раз
20: 11111, 33263 раза
Есть ли среди взломанных пользователи из России, неизвестно: в топ-100 доменов электронной почты нет ни одного из зоны .ru. Однако среди них содержится информация об аккаунтах 264 тысяч пользователей iCloud и 61 миллионе пользователей Gmail. Кроме того, там присутствует 5650 правительственных адресов с американского домена .gov и 78301 адрес, принадлежащий доменам Министерства обороны США (.mil).
Кто стоит за атакой, неизвестно. Издание ZDNet предположило, что взлом мог организовать тот же хакер под ником Revolver, который первым сообщил об уязвимости AFF, однако сам Revolver в разговоре с изданием указал на пользователей некоего российского андеграундного сайта, посвящённому взломам.
На сайте AFF никаких упоминаний о взломе нет. В твиттере проекта продолжают публиковаться сообщения сексуально-рекламного характера.
За полтора года это уже второй взлом AFF, о котором стало известно широкой публике. В 2015 году в сеть попали фотографии и информация о сексуальных предпочтениях 3,9 миллиона пользователей сайта, при этом администрация продолжила хранить персональную информацию пользователей в незашифрованном виде. Сама администрация сайта называет его «крупнейшим в мире сообществом, посвященным свингерству и сексу».
17: fuckyou, 34498 раз
совет да любовь
Потому что на десять девчонок
По статистике девять ребят
Чтобы проверить, не украдена ли ваша учётная запись, введите логин и пароль в нашу форму.
asdfghjkl - вк этот пароль показывает как "сложный" 🙋🏽♂️
Вк не шарит в безопасности
каким дебилом надо быть, чтобы с такой почты регистрироваться в adult сервисах?
До шуток про Трампа осталось 3…2…1…
Комментарий недоступен
— Я вас зарегистрировала, как вы просили.
— Ой, спасибо. А документы, которые я тебе отдавала, ты распечатала?
Комментарий недоступен
Вопрос в том, аутентифицированы ли это адреса. А то можно и на POTUS зарегать, например.
Верифицированы, конечно же, а не аутентифицированы.
Комментарий удален модератором
Да не было там столько пользователей
Откуда такая уверенность сколько там было пользователей?
То что тебе никто не ответил , ещё не значит что там никого нет.
Ого, Лихачёв дизлайкнул. Интересно, это тоже входило в рекламный контракт?
Я считаю, что в этой новости фэйл не в том, что ломанули. Периодически много кого из крупняка ломают. Фэйл в способе хранения паролей.
Обычно всё обходится тем, что выгрузили базу хэшей и смогли распознать самые простые, которым сам же сервис обычно принудительно сбрасывает пароли, а остальные продолжают жить спокойно.
Там LeakedSource еще пишет, что перед хешированием пароли преобразовывались в нижний регистр, что делало их еще более уязвимым к перебору.
На сайте AFF никаких упоминаний о взломе нет. В твиттере проекта продолжают публиковаться сообщения сексуально-рекламного характера.Вкупе с вот этим:
это пиздец отношение, конечно. Надеюсь, обладатели .gov почт смогут нормально их засудить.
Зусулы.
Pussies pussies pussies
Как показала прошлая утечка, там скорее сосисочная вечеринка
А как же idontcareaboutpassword
Нет цифр, спецсимволов и разного регистра. Говно пароль кароч
Комментарий недоступен
Когда ни разу не слышал про этот ресурс чувствуешь себя особенно хорошо.
Ого вот это новость
Спасибо, что напомнили про этот сайт, пойду зарегистрируюсь.
Редакция, пофиксте:
1: 123456, 900421 раз
Сейчас бы в 2016 пароли SHA1 без соли хэшировать .
Сейчас бы addmeto почитать.
Посмотрел на пароли - разочаровался в человечестве.
Комментарий недоступен
Пароли фейковых акков?
Мм, ну и что? Разве юзеры в таких местах оставляют свои реальные персданные? Или почему это событие может быть важно?
Ну естественно оставляют (а как ещё поебёшься без реальных данных), более того, там фото, сексуальные предпочтения, вот эта вся компрометирующая информация.