LinkedIn znów w tarapatach. Wyciek w 2012 roku był większy, niż mogliśmy sobie wyobrazić

Dane te nie pochodzą ze świeżego włamania i możliwe, że część z nich jest już nieaktualna, ale i tak są łakomym kąskiem dla cyberprzestępców. Według informacji podanych przez hakera pod pseudonimem „Peace”, informacje pochodzą z osławionego włamania w 2012 roku. Wtedy jedynie 6,5 miliona wydobytych haseł zostało udostępnionych w Sieci, a LinkedIn nigdy nie potwierdził, ile dokładnie kont mogło paść ofiarą włamania.

Włamanie było większe, niż się wszystkim wydawało. 6,5 miliona udostępnionych haseł to zaledwie ułamek tego, co wydobyli włamywacze. Hakerzy twierdzą, że zaatakowanych zostało 167 milionów kont, z czego zestaw zawierający adres e-mail i zakodowane hasło udało się uzyskać dla 117 milionów. Nic dziwnego, że LinkedIn oficjalnie nie podał tych liczb, jeśli wiedział, jaka była skala włamania.

Peace wystawił dane na sprzedaż na darknetowym The Real Deal. Cena wynosi 5 bitcoinów, czyli w chwili pisania artykułu 2005 euro (według Preev). Autentyczność danych potwierdza LeakedSource. Jedna z osób stojących za wyszukiwarką twierdzi, że pliki wystawione na sprzedaż były utrzymane w rękach małej grupy Rosjan i nie były w żaden sposób rozpowszechniane. Hasła były zakodowane algorytmem SHA1 bez soli, a skróty były uzupełniane losowymi znakami, by trudniej było je odkodować. Nie było to jednak niemożliwe i już 90% zostało złamanych. Zajęło to raptem 3 doby i udało się potwierdzić (za zgodą użytkowników), że hasła pasują przynajmniej do dwóch losowo wybranych do kont. Jedno z haseł wciąż było używane.

W 2012 roku sprawa przeszła bez większego echa i jest spora szansa, że wciąż wiele kont korzysta ze starego hasła. Zwłaszcza że początkowa próbka zawierała tylko skróty haseł, bez adresów e-mail, więc nie wiadomo było do czego pasują i jak można je wykorzystać.

Użytkownikom serwisu LinkedIn przypominam, że najlepszą w tej chwili obroną jest zmiana hasła, jeśli nie zrobiliście tego w 2012 roku… choć kolejna zmiana dzisiaj też nie zaszkodzi. Nie muszę chyba przypominać, że używanie tego samego hasła w kilku miejscach to fatalny pomysł w takiej sytuacji.