Pesquisadores de Segurança Descobrem um Dump de Dados que Expôs 21 Milhões de Senhas e 773 Milhões de Endereços de Email
Troy Hunt é um especialista em segurança australiano que administra o serviço Have I Been Pwned - o maior e mais abrangente serviço de notificação de violação de dados atualmente existente. Seu trabalho é, entre outras coisas, coletar e-mails e senhas que foram roubadas durante incidentes de hackers, notificar os seus assinantes se eles forem afetados e permitir que todos vejam se as suas credenciais de login foram expostas.
No domingo, ele postou um tweet que causou um pouco de agitação entre a comunidade infosec.
You know a data breach is big when... pic.twitter.com/rtWMdq0Cpt
— Troy Hunt (@troyhunt) January 13, 2019
Para aqueles que não sabem sobre o que ele está falando, a captura de tela mostra que ele estava processando um grande dump de dados e estava tentando descobrir quantos registros estavam nele. O erro afirmou que o número era muito grande para ser convertido em um integer de 32 bits assinado. Em outras palavras, era maior que 2.147.483.647. O dump de dados, mais tarde, continha um total de 2.692.818.238 registros.
Índice
Mais de 770 milhões de endereços de e-mails exclusivos foram expostos
Felizmente, esse não é o número de pessoas nem contas de e-mail afetadas. Como Hunt observa em uma postagem no seu blog, os hackers raramente se dão ao trabalho de organizar os seus depósitos de dados de maneira fácil de usar. Depois de arruma-los, ele acabou com pouco menos de 773 milhões de endereços de e-mail exclusivos. Não chega nem perto de 2,7 bilhões, mas ainda é um número substancial. Na verdade, é o maior número de endereços de e-mail que o Troy Hunt já carregou no I Have Pwned de uma só vez. Havia algumas senhas também.
Mais de 20 milhões de senhas exclusivas foram expostas
Endereços de e-mail por si só não são muito úteis. Quando eles são combinados com uma senha, no entanto, as coisas se tornam muito mais perigosas. O banco de dados que Troy Hunt estava procurando continha mais de 21 milhões de senhas únicas. Este número não inclui as senhas que se pareciam com instruções SQL e as que estavam no formato hash. Estas são apenas as senhas de texto simples.
Por que esses dados são despejados?
Só depois de mergulhar nos detalhes que você entende quanto trabalho Troy Hunt fez para obter todos os dados organizados em um formato pesquisável. O dump inteiro consistiu em mais de 2 mil arquivos separados com mais de 87 GB. Hunt postou os nomes dos arquivos no Pastebin, e uma vez que os examina, você verá que, talvez não surpreendentemente, os nomes de usuário e senhas não vêm de uma única violação de dados.
Na verdade, parece que quase todos os arquivos representam um incidente separado envolvendo vários serviços online de todo o mundo. E alguém colocou todas essas violações juntas em um grande dump.
Eles fizeram isso porque um banco de dados grande como esse é exatamente o que você precisa se quiser organizar um ataque de preenchimento de credenciais em grande escala e bem-sucedido. Um ataque de preenchimento de credenciais significa tentar pares de nome de usuário e senha roubados de um site contra outros. Como muitas pessoas reutilizam a mesma senha em toda a Internet, ataques de preenchimento de credenciais tendem a ser bem-sucedidos. Na verdade, essa é uma das maiores ameaças que os usuários enfrentam no momento e é um bom motivo para reconsiderar os seus hábitos de gerenciamento de senhas.
O que assusta um pouco
O stuffing de credenciais é um grande problema não apenas porque as pessoas reutilizam as senhas. O ataque também é extremamente fácil de realizar. Como Troy Hunt mencionou, tudo que você precisa é de uma ferramenta automatizada e de um dump de dados de nomes de usuário e senhas para iniciar um ataque. E eles são surpreendentemente fáceis de obter.
Obter as ferramentas de preenchimento de credenciais automatizadas é uma questão de executar alguns fóruns de hackers, e há até vídeos de demonstração no YouTube dizendo a você como usá-los. Além do mais, o banco de dados Hunt carregado em Have I Been Pwned não estava hospedado nos cantos mais escuros da Dark Web. Ele fez o download da plataforma de hospedagem na nuvem MEGA, e o link para ela foi "publicado em um fórum público conhecido". Tudo que alguém precisava para conseguir era uma conexão com a internet. Você quer saber a parte realmente assustadora?
O banco de dados foi nomeado "Coleção # 1 ".
