16家國(guó)外網(wǎng)站近6.2億用戶信息被掛暗網(wǎng)出售
前言
近日，一個(gè)名為Dream Market暗網(wǎng)市場(chǎng)上掛出了6.2億用戶信息，交易通過(guò)比特幣轉(zhuǎn)賬進(jìn)行，售價(jià)不高于2萬(wàn)美元，該賣(mài)家宣稱這些數(shù)據(jù)來(lái)自16個(gè)被攻擊的網(wǎng)站：
| Dubsmash(1.62億)、MyFitnessPal(1.51億)、MyHeritage(9200萬(wàn))、ShareThis(4100萬(wàn))、HauteLook(2800萬(wàn))、Animoto(2500萬(wàn))、EyeEm(2200萬(wàn))，8fit(2000萬(wàn))、Whitepages(1800萬(wàn))、Fotolog(1600萬(wàn))、500px(1500萬(wàn))、Armor Games(1100萬(wàn))、BookMate(800萬(wàn))、CoffeeMeetsBagel(600萬(wàn))、Artsy(100萬(wàn))和DataCamp(70萬(wàn))。 |
從放出的部分樣本來(lái)看，包含的用戶信息有效性很高，主要有帳戶持有人姓名、電子郵件地址和密碼等數(shù)據(jù)。密碼經(jīng)過(guò)哈希處理或單向加密，因此必須先破解才能使用。根據(jù)來(lái)源網(wǎng)站的不同，某些數(shù)據(jù)還包含位置、個(gè)人詳細(xì)信息和社交媒體身份驗(yàn)證信息等內(nèi)容，而付款或銀行卡詳細(xì)信息不在其中。
潛在買(mǎi)家
目前掛出這些數(shù)據(jù)的賣(mài)家僅有一個(gè)，該賣(mài)家自稱通過(guò)網(wǎng)站漏洞獲得遠(yuǎn)程代碼執(zhí)行權(quán)限后提取了數(shù)據(jù)庫(kù)，2018年已經(jīng)洗過(guò)這些數(shù)據(jù)，這次是在暗網(wǎng)首次開(kāi)賣(mài)。
從放出的數(shù)據(jù)類(lèi)型來(lái)看，最有可能的買(mǎi)家是發(fā)送垃圾郵件/消息的群體，根據(jù)電子郵件地址直接發(fā)送或者拿去其他網(wǎng)站撞庫(kù)之后發(fā)送垃圾信息，或許這也解釋了售價(jià)相對(duì)便宜的原因。
截止發(fā)稿時(shí)，至少有一人已經(jīng)購(gòu)買(mǎi)了Dubsmash的數(shù)據(jù)。而MyHeritage、MyFitnessPa和Animoto三家公司在去年通知過(guò)用戶數(shù)據(jù)泄露的情況，也就是說(shuō)如果本次售賣(mài)的數(shù)據(jù)庫(kù)是真實(shí)有效的，那么這些信息應(yīng)該是一手的。
數(shù)據(jù)的真實(shí)性
MyHeritage發(fā)言人證實(shí)，該賣(mài)家現(xiàn)在出售的數(shù)據(jù)庫(kù)樣本是真實(shí)有效的，這些數(shù)據(jù)是2017年10月從其服務(wù)器泄露的，公司已在2018年發(fā)出通報(bào)。
賣(mài)家在按網(wǎng)上掛出數(shù)據(jù)后即刻通知了上述網(wǎng)站中的6個(gè)：Dubsmash、Animoto、EyeEm、8fit、Fotolog和500px。上周末，該地下交易網(wǎng)站遭到DDoS攻擊，本周一恢復(fù)后增加了剩下的網(wǎng)站，外媒The Register根據(jù)網(wǎng)站列表聯(lián)系了賣(mài)家和網(wǎng)站方面，得到的信息如下：
1. Dubsmash
- 數(shù)據(jù)量：161,549,210
- 售價(jià)：0.549 BTC(1,976美元)
Dubsmash是一款頗受年輕人歡迎的視頻消息應(yīng)用，目前未公開(kāi)披露安全漏洞信息，泄露的數(shù)據(jù)包含：用戶ID、SHA256密碼、用戶名、電子郵件地址、語(yǔ)言、國(guó)家/地區(qū)以及一些(但不是所有用戶)名字和姓氏信息。
Dubsmash聘請(qǐng)了律師事務(wù)所Lewis Brisbois來(lái)調(diào)查暗網(wǎng)上的數(shù)據(jù)售賣(mài)事件，后者表示：
| 我們?cè)谶@個(gè)問(wèn)題始終全力協(xié)助Dubsmash。相關(guān)調(diào)查已經(jīng)展開(kāi)，我們計(jì)劃在適當(dāng)?shù)臅r(shí)候通知所有相關(guān)方和個(gè)人。 |
2. 500px
- 數(shù)據(jù)量：14,870,304
- 售價(jià)：0.217 BTC(780美元)
500px是一個(gè)面向攝影師和攝影愛(ài)好者的社交網(wǎng)站，目前未披露安全漏洞的信息。泄露的數(shù)據(jù)包含：用戶名、電子郵件地址、MD5-或SHA512-或bcrypt-hashed加密的密碼、名字、姓氏、生日、性別、國(guó)家、城市和Facebook ID 。
500px發(fā)言人Stephanie Newell表示：
| 我們的工程團(tuán)隊(duì)正在進(jìn)行調(diào)查，如果確認(rèn)存在違規(guī)行為，我們將采取必要措施，按照GDPR標(biāo)準(zhǔn)通知用戶。 |
3. EyeEm
- 數(shù)據(jù)量：22,360,765
- 售價(jià)：0.289 BTC(1040美元)
EyeEm是面向攝影師的在線聊天應(yīng)用，本次泄露的數(shù)據(jù)包括電子郵件地址和SHA1i加密的密碼。
EyeEm沒(méi)有回復(fù)記者的問(wèn)題。
4. 8fit
- 數(shù)據(jù)量：20,180,667
- 售價(jià)：0.2025 BTC(728美元)
8fit致力于為健身愛(ài)好者提供個(gè)性化的鍛煉和飲食計(jì)劃，目前未披露安全漏洞的信息。泄露的數(shù)據(jù)包含：電子郵件地址、加密密碼、國(guó)家/地區(qū)代碼，F(xiàn)acebook身份驗(yàn)證令牌、Facebook個(gè)人資料圖片、姓名、性別和IP地址。
8fit首席執(zhí)行官Aina Abiodun表示正在進(jìn)行調(diào)查，目前不能提供更多信息。
5. Fotolog
- 數(shù)據(jù)量：16,000,000
- 售價(jià)：0.52 BTC(1872美元)
Fotolog也是一個(gè)面向攝影領(lǐng)域的社交網(wǎng)站。在2018年12月泄露了5.9GB的數(shù)據(jù)，包括5個(gè)SQL數(shù)據(jù)庫(kù)，有電子郵件地址、SHA256哈希密碼、安全問(wèn)題和答案、全名、位置、興趣和其他配置文件信息。
Fotolog沒(méi)有回復(fù)記者的問(wèn)題。
6. Animoto
- 數(shù)據(jù)量：25,402,283
- 售價(jià)：0.318 BTC(1144美元)
該公司在2018年首次披露了相關(guān)安全漏洞，當(dāng)時(shí)有2.1GB的數(shù)據(jù)遭到竊取，包含用戶ID、SHA256密碼、密鑰、電子郵件地址、國(guó)家/地區(qū)、姓名和出生日期等信息。
Animoto發(fā)言人告訴記者：
| 在發(fā)現(xiàn)系統(tǒng)有異常活動(dòng)后，我們?cè)?018年8月通知了可能受影響的客戶。在確定可疑活動(dòng)后，我們立即將系統(tǒng)脫機(jī)并部署了多項(xiàng)安全控制措施防止此類(lèi)事件再次發(fā)生。 |
7. MyHeritage
- 數(shù)據(jù)量：92,284,478
- 售價(jià)：0.549 BTC(1976美元)
MyHeritage是一款家庭樹(shù)跟蹤服務(wù)，用于研究用戶的基因概況。該公司在2018年披露了一起2017年10月發(fā)生的數(shù)據(jù)泄露事件，共有3.6GB數(shù)據(jù)被竊取，包含電子郵件地址、SHA1密碼以及創(chuàng)建帳戶的日期，用戶的基因等敏感信息沒(méi)有泄露。
MyHeritage發(fā)言人表示：
| 此次按網(wǎng)上售賣(mài)的我司數(shù)據(jù)全部來(lái)自于2017年的數(shù)據(jù)泄露事件，沒(méi)有新的違規(guī)行為發(fā)生。我們將立即對(duì)此進(jìn)行調(diào)查并向當(dāng)局報(bào)告銷(xiāo)售情況，以便當(dāng)局可以追蹤賣(mài)家。我們還沒(méi)有看到任何證據(jù)表明數(shù)據(jù)已經(jīng)用于惡意行為。 |
8. MyFitnessPal
- 數(shù)據(jù)量：150,633,038
- 售價(jià)：0.289 BTC(1040美元)
MyFitnessPal是一款飲食和運(yùn)動(dòng)跟蹤應(yīng)用，去年該公司披露過(guò)一個(gè)安全漏洞。本次泄露的數(shù)據(jù)包含：用戶ID、用戶名、電子郵件地址、SHA1密碼和IP地址。
該公司沒(méi)有回復(fù)記者的問(wèn)題。
9. Artsy
- 數(shù)據(jù)量：1,070,000
- 售價(jià)：0.0289 BTC(104美元)
Artsy是一款面向藝術(shù)領(lǐng)域的應(yīng)用，本次泄露的數(shù)據(jù)包含：電子郵件地址、名稱、IP地址、位置和SHA512密碼。
該公司沒(méi)有回復(fù)記者的問(wèn)題。
10. Armor Games
- 數(shù)據(jù)量：11,013,617
- 售價(jià)：0.2749 BTC(988美元)
Armor Games是一個(gè)瀏覽器游戲的門(mén)戶網(wǎng)站，擁有大量的用戶。本次泄露的數(shù)據(jù)來(lái)自于2018年12月的一次安全事件，共有1.8GB數(shù)據(jù)遭到竊取，包含：用戶名、電子郵件地址、SHA1密碼、出生日期、性別、位置和其他個(gè)人資料詳細(xì)信息。
該公司沒(méi)有回復(fù)記者的問(wèn)題。
11. Bookmate
- 數(shù)據(jù)量：8,026,992
- 售價(jià)：0.159 BTC(572美元)
Bookmate是一款電子書(shū)應(yīng)用，本次泄露的數(shù)據(jù)包含：用戶名、電子郵件地址、SHA512密碼、性別、出生日期和其他個(gè)人資料詳細(xì)信息。
該公司沒(méi)有回復(fù)記者的問(wèn)題。
12. CoffeeMeetsBagel
- 數(shù)據(jù)量：6,174,513
- 售價(jià)：0.13 BTC(468美元)
CoffeeMeetsBagel是一個(gè)在線約會(huì)網(wǎng)站，本次泄露的數(shù)據(jù)來(lái)源于2017年12月泄露的673MB數(shù)據(jù)，包含全名、電子郵件地址、年齡、注冊(cè)日期、性別以及SHA256密碼。
CoffeeMeetsBagel的一位發(fā)言人表示：
| 目前尚未發(fā)現(xiàn)違規(guī)情況，但我們的安全團(tuán)隊(duì)現(xiàn)在正在調(diào)查這個(gè)問(wèn)題。CoffeeMeetsBagel不存儲(chǔ)密碼，使用第三方網(wǎng)站，如Facebook進(jìn)行身份驗(yàn)證。很可能這些泄露的信息可以追溯到網(wǎng)站開(kāi)始使用Facebook登錄之前的步驟。 |
13. DataCamp
- 數(shù)據(jù)量：700,000
- 售價(jià)：0.013 BTC(46.8美元)
DataCamp是一款面向教師的科學(xué)和編程工具，本次泄露的數(shù)據(jù)包含電子郵件地址、bcrypt-hashed密碼、位置和其他配置文件詳細(xì)信息。
該公司的發(fā)言人告訴記者：
| 我們認(rèn)真對(duì)待此事，并希望進(jìn)一步驗(yàn)證該事件是否屬實(shí)。我們還將研究訪問(wèn)和審核日志，看看是否可以追溯到任何潛在的未經(jīng)授權(quán)訪問(wèn)事件。如果確實(shí)進(jìn)一步調(diào)查顯示這些數(shù)據(jù)是真實(shí)有效的，我們將與您和受影響的最終用戶進(jìn)行溝通。 |
14. Hautelook
- 數(shù)據(jù)量：28,000,000
- 售價(jià)：0.217 BTC(780美元)
Hautelook是一款網(wǎng)上商城應(yīng)用，專(zhuān)營(yíng)時(shí)尚配飾產(chǎn)品。本次泄露的數(shù)據(jù)來(lái)源于2018年的安全事件，當(dāng)時(shí)共有1.5GB文件遭到竊取，包含電子郵件地址、bcrypt-hashed密碼和名稱信息。
該公司沒(méi)有回復(fù)記者的問(wèn)題。
15. ShareThis
- 數(shù)據(jù)量：41,028,098
- 售價(jià)：0.217 BTC(780美元)
ShareThis是鏈接分享的小應(yīng)用。本次泄露的數(shù)據(jù)來(lái)源于2018年7月的安全事件，當(dāng)時(shí)共有2.7GB文件遭到竊取，包含姓名、用戶名、電子郵件地址、DES密碼、性別、出生日期和其他個(gè)人資料信息。
該公司沒(méi)有回復(fù)記者的問(wèn)題。
16. Whitepages
- 數(shù)據(jù)量：17,775,679
- 售價(jià)：0.434 BTC(1560美元)
Whitepages是一款在線電話和地址收錄應(yīng)用。本次泄露的數(shù)據(jù)來(lái)源于2016年安全事件，當(dāng)時(shí)共有2.9GB內(nèi)容遭到竊取，包含電子郵件地址、SHA1-或bcrypt-hashed密碼以及名字和姓氏。
該公司沒(méi)有回復(fù)記者的問(wèn)題。
賣(mài)家告訴The Register：
| 有多達(dá)20個(gè)數(shù)據(jù)庫(kù)可以在線轉(zhuǎn)儲(chǔ)，同時(shí)保留一些數(shù)據(jù)庫(kù)供私人使用，并且自2012年開(kāi)始網(wǎng)絡(luò)攻擊以來(lái)，我已經(jīng)從各個(gè)服務(wù)器提取了大約10億個(gè)帳戶。我不是壞人，讓黑客“生活更輕松”是我的目標(biāo)。安全只是一種幻覺(jué)，很久以前我就開(kāi)始網(wǎng)路攻擊，而且只使用一些系統(tǒng)工具。 |
