Kilka milionów haseł i loginów hula po sieci
O wycieku poinformował po raz pierwszy portal Zaufana Trzecia Strona, zajmujący się tematyką bezpieczeństwa. Dane zostały opublikowane na forum Cebulka w sieci Tor. Plik nazywa się pl.txt i zawiera 6 274 679 wierszy zawierających adres strony, login oraz hasło. Część wierszy zawiera dane niekompletne lub uszkodzone, lecz większość wygląda zupełnie poprawnie.
Zgodnie z informacjami ZTS, plik wygląda na wycinek większej całości, odfiltrowany pod kątem występowania ciągu znaków >.pl<. Dane zawierają zatem zarówno informacje dotyczących stron i maili w domenie .pl, jak i zagranicznych serwisów zaczynających swoją nazwę tym ciągiem znaków. Najwięcej dotyczy domen facebook.pl i allegro.pl, lecz nie brak także wpisów z domen gov.pl. Przeprowadzony przez Zaufaną Trzecią Stronę test dał poniższe wyniki:
- facebook.com – 119 334
- allegro.pl – 88 282
- .gov.pl – 44 385
- poczta.onet.pl – 28 747
- poczta.wp.pl – 12 056
- x-kom.pl – 10 761
- morele.net – 2672
- online.mbank.pl – 10 140
- .ingbank.pl – 1227
Ponieważ w ciągach znaków haseł nie brak odniesień do roku 2023 (zbyt popularna maniera, by spać spokojnie) można wnioskować, że zbiór może być stosunkowo nowy i aktualny.
Co do pochodzenia danych, jest to najprawdopodobniej efekt działania złośliwego oprogramowania działającego na indywidualnych komputerach użytkowników i wykradającego dane o zapamiętanych w przeglądarkach loginach hasłach. Realna liczba poszkodowanych jest trudna do ustalenia, lecz na pewno znacznie mniejsza niż liczba loginów – przeciętna baza danych przeglądarki z pewnością zawiera od kilkunastu do kilkudziesięciu zachowanych wpisów na każdego użytkownika. Nie ma niestety w tej chwili możliwości sprawdzenia, czy nasze dane znalazły się w paczce.
Jak się zabezpieczyć przed wyciekami i ich skutkami
Dobrą praktyką jest przede wszystkim wybór innej metody zapamiętywania haseł niż przeglądarka, która jest stosunkowo łatwym celem ataku. Znacznie trudniejszym są wyspecjalizowane programy do zarządzania hasłami – programy działające lokalnie zwykle nie radzą sobie z ich szyfrowanymi bazami. Tu mogę polecić międzyplatformowy 1Password, który od wielu lat okazuje się odporny na zakusy szkodników, pomaga w tworzeniu bezpiecznych haseł, a do tego po większych wyciekach może automatycznie informować o zagrożeniu. Dobrą bezpieczną alternatywą jest też BitWarden lub Microsoft Authenticator.
Czytaj też: Hasło “hasło” nadal na topie. Podpowiadamy, jak wymyślić hasło, którego nie złamie trzylatek
Dobrą praktyką jest także stosowanie, gdzie tylko się da, dwuskładnikowego logowania, które daje zabezpieczenie nawet w przypadku ujawnienia danych logowania. Godne polecenia jest wykorzystanie jako zabezpieczenia dwuskładnikowego logowania sprzętowych kluczy w rodzaju Yubikey.
