在線銷售了4000萬個Wishbone App用戶記錄

正如我們昨天提到的那樣 ，網絡犯罪分子經常試圖從幾年前被盜用的數據中獲利。 ZDNet的安全記者之一Catalin Cimpanu在一個地下論壇上發現了一則出售Wishbone應用程序用戶信息的廣告時，他可能認為這正是正在發生的事情。

流行的測驗應用程序在2016年遭受數據洩露，當時黑客洩露了一個包含約220萬用戶個人信息的數據庫。當時，網絡罪犯聲稱他們只釋放了一小部分被盜信息，新廣告看起來可能包含了四年前竊取的其餘細節。在查看了新發布的數據庫中的示例之後，Cimpanu意識到這是一個全新的黑客。

一名網絡犯罪分子以8000美元的價格出售了4000萬份Wishbone唱片

賣方確實指出該數據庫是在2020年建立的，ZDNet的記者通過檢查時間戳並對照幾個違規通知服務檢查了樣本數據來證實了這一點，這表明它確實是最近的。受影響的人數約為4000萬人，記錄中包括姓名，用戶名，電子郵件地址，電話號碼，地理位置和哈希密碼。賣方要價0.85比特幣（約合8000美元），這意味著每個賬戶的價格為0.0002美元。

Wishbone的開發人員尚未發表正式聲明，但ZDNet已確認該數據是真實的。它相對便宜，由經驗豐富的交易員提供。 Catalin CImpanu的調查顯示，同一賣方正在提供從各種服務提供商那裡竊取的數十個數據庫。總體而言，記者估計網絡犯罪分子擁有多達15億條被盜記錄。

賣方很可能在轉移Wishbone數據庫方面不會有任何問題，並且當他/她計算利潤時，應用程序的用戶必須考慮違規的潛在後果。

Wishbone的數據洩露如何影響用戶？

儘管不涉及財務數據，但是有足夠的個人可識別信息來促進各種騙局。通過聯繫方式，黑客可以輕鬆地與潛在目標取得聯繫，其餘數據可以幫助他們發動受害者可能陷入的社會工程陷阱。考慮到Wishbone的用戶群中絕大多數是對於十幾歲的女孩來說，數據洩露的後果是可怕的。

您可能會辯稱，該漏洞不應該發生，但正如我們過去所說的那樣，沒有哪家公司能夠倖免於遭受網絡攻擊的打擊。然而，事實是，儘管Wishbone已經經歷了一次安全事件，但其開發人員似乎並未吸取教訓。

在廣告中，數據的賣方說密碼是用SHA1哈希的。這是一個問題，因為SHA1不是最可靠的哈希函數，並且可以反轉。但是，當Catalin Cimpanu查看洩露的憑證的樣本時，他意識到密碼實際上是用MD5進行哈希處理的-該算法可以用可自由訪問的工具在幾秒鐘內破解。

對人們的Wishbone帳戶的威脅是非常現實的，如果受影響的用戶將相同的密碼重新用於多種服務，則損失可能會更大。