Почти 2 млрд почтовых адресов и 1,3 млрд паролей оказались в крупнейшем архиве слитых данных, собранном из даркнета
Изображение: recraft
Эксперты по кибербезопасности выявили одну из самых масштабных подборок украденных учётных записей за всю историю наблюдений. В общей сложности в базе содержится почти 2 млрд уникальных адресов электронной почты и 1,3 млрд паролей. Информацией об этом поделился Трой Хант, основатель известного проекта Have I Been Pwned, занимающегося отслеживанием утечек.
По словам Троя Ханта, новая база по объёму в разы превышает всё, с чем сталкивался его сервис на протяжении своей работы.
Он уточнил, что не идёт речь о конкретной утечке с одного сайта. Материал представляет собой результат работы компании Synthient, которая собрала учётные данные, доступные в даркнете, с различных источников, а затем объединила их в единую структуру. При этом повторяющиеся строки были удалены, что позволило получить точный объём уникальной информации.
По расчётам, количество уникальных электронных адресов в базе достигает 1 957 476 021. Из 1,3 млрд паролей около 625 млн ранее не фигурировали в известных утечках. Это означает, что почти половина базы представляет собой новые данные, которые потенциально могут быть использованы злоумышленниками.
На основе анализа структуры базы эксперты пришли к выводу, что она ориентирована на так называемые credential stuffing-атаки. Разговор идёт об автоматизированных попытках авторизации на различных сервисах с использованием известных комбинаций логина и пароля. Преступники проверяют, не совпадает ли введённая пара с данными, использованными на других сайтах. Такая стратегия оказывается успешной, если пользователь использует один и тот же пароль на нескольких ресурсах.
В своём комментарии Трой Хант напомнил, что уникальные пароли для каждого сайта являются важнейшей защитной мерой. Он отметил, что даже наличие двухфакторной аутентификации не всегда защищает от взлома, если используется дублирующийся пароль.
Для тех, кто хочет убедиться, не оказались ли их данные в новой базе, автор проекта предлагает воспользоваться сервисом Pwned Passwords. Проверка происходит прямо в браузере, без передачи данных на сервер. Таким образом, введённый пароль остаётся недоступным для самой платформы.
