Летом 2016 г. хакер под ником Peace выставил на продажу сразу 100 млн. аккаунтов пользователей социальной сети ВКонтакте. Хакер не скрывал, что данные могли утратить свою актуальность: по его словам, взлом произошёл ещё в 2011-2013 гг. Администрация сайта отрицает факт взлома, объясняя кражу данных банальным фишингом. Вот только в те годы у ВКонтакте было как раз в районе 100 млн. пользователей… Перевод заметки Vice.

Новый день, новый взлом:
Украдены логины и пароли от 100 миллионов аккаунтов пользователей ВКонтакте (российский аналог Facebook)

Злоумышленникам удалось получить доступ к адресам электронной почты, паролям, номерам телефонов и именам 100 миллионов пользователей ВКонтакте. Украденные данные хакеры пытались продать на «черном» рынке.

LeakedSource (сайт, анализирующий сливы и утечки) узнал о взломе в начале июня 2016 г. Анализ полученных данных не занял много времени, но хакер, известный под ником Peace, успел выставить архив на продажу.

ВКонтакте очень похож на Facebook и особенно популярен в России и странах СНГ. Функционал в целом тоже схож с Facebook: обмен сообщениями, пользовательские профили, альбомы с фотографиями, лайки и т. д. Основатель ВКонтакте Павел Дуров продал свою долю в компании и успел запустить мессенджер Telegram. По данным TechCrunch, к 2014 г. ВКонтакте было зарегистрировано чуть больше 100 миллионов пользователей.

Peace предоставил MotherBoard архив, содержащий в себе 100 544 934 записи. Для проверки достоверности предоставленных данных LeakedSource составил свою выборку. В архиве содержались данные об именах и фамилиях пользователей, адреса их электронной почты, номера телефонов и пароли.

Если верить хакеру, ему не пришлось взламывать пароли каждого пользователя: на сайте они и так хранились в открытом виде. Peace выставил цену в 1 биткоин, что на июнь 2016 г. составляло примерно $570.

Мы проверили часть украденных данных. Из 100 случайно выбранных адресов электронной почты 92 соответствовали активным учётным записям. Наши друзья из России подтвердили, что пароли к их записям указаны верно.

Номера телефонов тоже оказались подлинными. Однако в украденной базе данных номер сотового указан далеко не у всех. На момент написания данной статьи при регистрации ВКонтакте вам придётся указать и свой номер, но так было не всегда.

Peace признаёт, что сайт был взломан между 2011 и 2013 гг., однако не уточняет когда именно. И это похоже на правду. Хакер утверждает, что у него есть доступ ещё к 71 миллиону аккаунтов, которые он пока не выставлял на продажу.

В публикации LeakedSource сказано, что данные им предоставил некто под ником «Tessa88». Этот же ник был связан и с недавним распространением украденных данных пользователей MySpace.

Согласно анализу LeakedSource, самым популярным паролем на сайте ВКонтакте был «123456», его использовало 709 067 пользователей. Другие популярные пароли также были весьма предсказуемы: «qwerty», «123123», «qwertyuiop» и т. д.

Подавляющее большинство пользователей (41 132 524 аккаунта), по данным LeakedSource, пользовались почтовым сервисом Mail.Ru. Другие российские сервисы также вошли в топ почтовых доменов.

Павел Дуров отказался давать комментарии.

Выводы

Огромный массив пользовательских данных (включая их логины и пароли) дрейфует где-то на просторах сети. Какие уроки мы должны извлечь из этой истории? Ну, во-первых, не стоит полагаться на столь простые и предсказуемые пароли. Придумайте что-то по-настоящему сложное. Причём вы должны использовать для каждого сайта свой уникальный пароль. Нельзя, чтобы ваши пароли повторялись, иначе любая утечка ставит под угрозу все ваши учётные записи. Это не прихоть и не бзик! Это действительно поможет остановить хакеров, которые попытаются нажиться на ваших данных. Чем популярнее сайт и чем деликатнее информация, которая на нём содержится, тем важнее придумать сложный и уникальный пароль.

UPD

Представители ВКонтакте отрицают факт взлома:

«Базы данных ВК не были взломаны. Речь идёт о старых логинах / паролях, собранных мошенниками ещё в 2011-2012 гг. Пароли пользователей, чьи данные были скомпрометированы, были изменены в принудительном порядке. Пожалуйста, не забывайте, что устанавливая неофициальный софт, вы рискуете потерять важные данные. В целях безопасности мы рекомендуем включить двухфакторную аутентификацию в настройках вашего профиля и использовать по-настоящему надёжный пароль».

Джозеф Кокс,
MotherBoard, Vice
6 июня 2016 г.

---

Что почитать?

• Хакер выставил на продажу данные 100 млн. взломанных аккаунтов ВКонтакте / RNS
• СМИ: Данные 100 млн. пользователей ВКонтакте выставлены на продажу / РИА Новости
• На продажу выставлены данные 100 млн. пользователей ВКонтакте / Xakep.ru
• Хакер выставил на продажу более 100 млн. аккаунтов ВКонтакте / Roem.ru
• Взлом ВКонтакте: украдены данные 171 млн. пользователей / Хабрахабр
• Данные более 100 млн. аккаунтов ВКонтакте: статистика паролей и почтовых сервисов / Хабрахабр
• Администрация ВКонтакте прокомментировала сообщения о взломе 100 млн. пользователей / РБК
• Статистика активных пользователей ВКонтакте на 2011 г. / Хабрахабр