Дамп, содержащий данные более 68 млн аккаунтов пользователей Dropbox, опубликован в интернете, в базе содержатся почтовые адреса, а также захешированные пароли. Компания подтвердила факт публикации и оповестила пользователей о возможном принудительном сбросе пароля — сообщения об этом появились еще несколько дней назад, однако тогда не был известен реальный масштаб утечки.
В разговоре с изданием Motherboard неназванный сотрудник Dropbox подтвердил тот факт, что хакерам удалось завладеть актуальными данными. Однако представители компании отмечают, что значительная часть паролей (32 млн) защищены с помощью функции хеширования BCrypt, что делает крайне трудоемким извлечение реальных паролей. Остальные пароли защищены алгоритмом хеширования SHA-1 с солью.
Взлом, который привел к утечке данных, произошел еще в 2012 году — тогда Dropbox пришлось признать, что злоумышленником удалось завладеть паролями сотрудников компании, что позволило им получить доступ к файлу с email-адресами пользователей. Однако тогда представители компании ничего не говорили о том, что хакеры смогли украсть и пароли.
Серьезность проблемы начала проясняться лишь на прошлой неделе, когда Dropbox разослал пользователям письмо, в котором говорилось о том, что если они не меняли пароль с 2012 года, то при следующем входе в систему им будет предложено его сменить.
Следует отметить, что Dropbox стала далеко не первой компанией, подвергнувшейся масштабной утечке данных. Ранее в темном интернете продавались дампы с данными пользователей LinkedIn, MySpace, «ВКонтакте» и Tumblr.
Комментарии (33)
Dimd13
31.08.2016 12:50+3Зашел в Dropbox, ни чего поменять он мне не предложил, хотя письмецо присылал.
Dimd13
31.08.2016 12:58И да, с 2012 года я точно минимум 1 раз менял пароль от аккаунта. Видимо рассылка была просто по всем пользователям. Почему-то сразу так и подумал, что поломали коробочку.
Ashot
31.08.2016 18:34Мне письмецо так же приходило, но при попытке изменить пароль он мне сказал, что пароль протух, и дал ссылку на сброс пароля.
tropico
31.08.2016 13:08+6На https://www.leakedsource.com/ можно проверить утек ли ваш дропбоксовый имейл.
drcolombo
31.08.2016 15:44Оченно интересно… проверил себя — ок, куча старинных аккаунтов, которыми не пользуюсь давно или же пароль регулярно менялся с момента их создания и один аккаунт на Badoo, который был создан от силы месяца 2-3 назад не помню уж для чего, а про взлом Badoo что-то нигде ничего не читал…
Beaglz
01.09.2016 00:20Немного напрягло:
Dropbox.com has: 1 result(s) found. This data was hacked on approximately 2012-01-01 00:00:00 email, hash
Письмо было, предложения сменить пароль — не было.
s778
01.09.2016 00:20+2А заодно и пополнить базу email для рассылки тем, у кого не утек email
periskop
01.09.2016 12:26Можно искать со звездочкой: pavel.p*v@gmail.com
Waki
01.09.2016 12:55Там вроде звездочка не поддерживается, для поиска по маске или как тут будет правильно сказать, надо поставить галочку ниже
periskop
02.09.2016 10:55Поддерживается. https://www.leakedsource.com/main/wildcard
Waki
02.09.2016 11:01я когда пробовал искать со звездочкой, мне отображалось такое сообщение
You used a * in your search. We don't support *. Instead click «Wildcard» checkbox above and remove the *.
periskop
02.09.2016 11:11Оу, действительно, я невнимательно прочитал. Судя по тому, что написано, действительно, звездочка не должна работать. Тем не менее, поиск по pavel.p*v@gmail.com и по pavel.pv@gmail.com выдает разные результаты, так что можно считать недокументированной фичей.
altman
06.09.2016 11:21Каждый раз не могу отделаться от мысли, что именно таким способом кто-то узнает мой адрес, на который у меня зарегистрирован дропбокс… я параноик?
Skerrigan
07.09.2016 09:42Я просто не писал свой полный «логин» — написал лишь его часть… минимальную — выдало всего два результата из всей базы: в VK и Unknown email. Скорее всего это я (даю 95%).
kast218
06.09.2016 14:07Также на https://haveibeenpwned.com/, вообще Troy Hunt очень интересные статьи по безопасности пишет, советую почитать если есть время
akamensky
01.09.2016 12:25Емейл получил, хотя я менял свой пароль с 2012 года раза 3 наверное. После того как получил письмо залогинился чтобы поменять пароль, все поменял, но само ничего не предложилось… Что-то в их системе пошло не так.
Sliver
06.09.2016 11:13Opera среди пострадавших не упомянута: http://www.opera.com/blogs/security/2016/08/opera-server-breach-incident/
И кстати, мне тоже никакого письма не пришло.
Видимо, всё-таки, есть какая-то выборка, кому слали. Например, только тем, у кого не BCrypt и кого, есть вероятность, сдампили.
Waki
Непонятно для чего было рассылать всем пользователям?
pwrlnd
У меня два аккаунта дропбокс — ни на один письмо не пришло. Выборка какая-то наверное есть.
Waki
Оба аккаунта 2012 года или старше?
У меня был создан как раз примерно в 2012 году, разумеется после этого уже несколько раз менял пароль, и все равно получил уведомление.
pwrlnd
Оба старше 2012 года. На первом пароль менялся несколько раз, на втором ни разу.
Iceg
А мне пришло. И адрес нашёлся в утёкших на leakedsource.com. Ваши там есть?
Waki
Мой есть, но дата почему-то указана 2012-01-01
Сейчас для интереса проверил дату регистрации, у меня март 2012 года.
Iceg
Та дата похоже левая, дефолтная, у меня так же.
KIBIs
У меня тоже ничего, но на всякий случай поменял.