2012. júl. 13.

Ezúttal a Yahoo-tól került ki félmillió jelszó

A LinkedIn óriási biztonsági fiaskója után alig több mint egy hónapot kellett várni az újabb nagyszabású hackeres akcióra. A Yahoo megerősítette, hogy közel félmillió felhasználójának jelszava került illetéktelenekhez.
Több mint 453 ezer felhasználó jelszavát tették közzé a Yahoo Contributor Networkhöz köthető állományból egy sikeres hackertámadását követően - ismerte el a Yahoo. Öröm az ürömben, hogy a megszerzett adatok egy régebbi adatbázisból származnak, így az internetes cég közlése szerint a publikált jelszavak mindössze 5 százaléka volt jelenleg is használatban. Legalábbis ami a Yahoo fiókokat illeti, ugyanis a támadás során más szolgáltatókhoz köthető adatok is kiszivárogtak. A hírek szerint Google Gmail, Microsoft Hotmail, AOL, Comcast és MSN fiókadatok is napvilágra kerültek.


A támadást végrehajtó D33Ds Company elnevezésű csoport elmondása szerint a közel félmillió jelszó publikálását nem rossz szándék vezette, sőt épp ellenkezőleg, ezzel kívánták felhívni a biztonsági hiányosságokra a figyelmet. Szakértők szerint a támadás során most is alkalmazott, úgynevezett SQL injection kedvelt módszere a hackereknek, és annak ellenére komoly sikereket tudnak elérni vele, hogy az ez elleni védekezés technikái ismertek. Azaz még az olyan óriási cégeknél, mint például a Yahoo sincs egyáltalán megfelelően kezelve a biztonsági kockázat.

A TOP10 jelszó
123456 = 1666 (0.38%)
password = 780 (0.18%)
welcome = 436 (0.1%)
ninja = 333 (0.08%)
abc123 = 250 (0.06%)
123456789 = 222 (0.05%)
12345678 = 208 (0.05%)
sunshine = 205 (0.05%)
princess = 202 (0.05%)
qwerty = 172 (0.04%)

Ugyanezt persze a felhasználókra is el lehetne mondani, akik az ESET biztonsági cég egyik blogbejegyzése szerint nem túl kreatívak (vagy éppen aggódóak), amikor jelszó begépelésére kerül a sor. A most kiszivárgott adatok gyors elemzéséből kiderült, hogy az "123456" kombinációval 1666 felhasználó fiókjába léphettünk volna be, ami mindenféle elektronikus betörés nélkül is elég könnyen kitalálható jelszó. 780 esetben a briliáns "password" kódot használták, de akadt 436 "welcome" és 333 "ninja" is. Érdekesség még, hogy a levélcímek elemzéséből az is kiderült, hogy 93 .gov és 81 .mil végződésű is van a publikált felhasználói adatok között, azaz százas nagyságrendben az USA kormányzatában illetve katonaságánál használt emailfiókok információi is nyilvánosságra kerültek.

Nagyszabású hackeres akció nélkül szinte most már nem is telhet el hónap. A legutóbbi ilyen nagyságrendű eset a LinkedIn közösségi portállal történt, ahonnan 6,5 felhasználói jelszó került ki. A június eleji sztorinál annyival volt jobb a helyzet, hogy akkor titkosított karaktersorokat szereztek a hackerek, most viszont teljesen szabadon hozzáférhető adatokat tulajdonítottak el, amit aztán egyszerű szövegfájlként fel is tettek az internetre. Mindettől függetlenül a LinkedIn a támadás után egy újabb réteget adott titkosítási módszeréhez. Igaz, erről is úgy nyilatkoztak a biztonsági szakértők, hogy már réges-régen alkalmaznia kellett volna egy ilyen óriási adatmennyiséget kezelő vállalatnak, mint a LinkedIn.

Forrás: Bitport