Найдена крупнейшая БД украденных паролей: что следует знать

[mediaman]

Забил свою почту в haveibeenpwned, оказалось, что почта засветилась в одном из недавних сливов. Не уверен, что 2fa поможет, если кто-то очень сильно захочет поломать, но в том числе и пароль все-таки пойду сменю

[mozg1986]

Тоже оказалась засвечена почта. Знать бы еще какой именно пароль был скомпрометирован, а я уже не помню, мог он повторяться он на других ресурсах или нет.

[barbadian]

На том же ресурсе есть возможность проверки пароля haveibeenpwned.com/Passwords

[AdamPirson]

Есть такая фича.
«If you write us an email to [e-mail] with subject line: 'Password Exposure Check' we will respond with the truncated list of found passwords for that email.»
Присылает пароли типа ******abc по вашему адресу почты.
На мой адрес нашлись три пароля, два из которых были когда то в использовании.
К счастью актуальные пароли вроде бы еще не засветились)

[leremin]

Забил свою почту, которой лет 10, на которой сотни аккаунтов — в сливе не замечен.

[Lord_Ahriman]

Недавно (пару недель как) на основную почту начал приходить спам, где меня величали тем самым именем и ником, которые были у меня ВК в 2010-2011 (или 2012, не помню точно уже). Сразу возникло подозрение о том, что сперли старую базу. Вбил почту в базу на сайте — и точно, засвечена в утечке данных у ВК.

[Bal]

Выкачал эту базу несколько дней назад. Нашёл там свои устаревшие пароли от Badoo, LinkedIn, MySpace, Вконтакте и LostFilm.TV. Нашёл старый, но ещё актуальный на многих ресурсах пароль жены. Сделал онлайн-проверялку для знакомых — себя там нашли около половины, наверное. Почти все устаревшие, но некоторые и с действующими попали… В общем, нужно чаще менять пароли и держать их разными в разных ресурсах :)

[mxms]

Ссылочку скиньте пожалуйста

[lexfrei]

Дискоеймер: Линк не мой, сам не выкачивал и не проверял
magnet:?xt=urn:btih:7ffbcd8cee06aba2ce6561688cf68ce2addca0a3&dn=BreachCompilation

[lasc]

Правильный и поиск там есть.

[mxms]

Благодарю вас, друзья!

[system22]

Скачал, проверил. Нашел пару ящиков со старыми паролями. НО на haveibeenpwned.com нашлись еще несколько ящиков которых нет в этой базе!
Получается базы отличаются. Если есть ссылка на более полную, скиньте пожалуйста.

[SerJook]

Мой аккаунт скомпрометирован на 10 сайтах. Тьфу-тьфу-тьфу, пока ничего не взломали.

[nachit]

Свои аккаунты тоже нашёл, но судя по паролю увели лет 10 назад, если не больше. И ещё странно, с моей почтой 4 записи, 2 пароля из них совсем старые, а два я точно никогда не использовал.

[Frankenstine]

два я точно никогда не использовал

Это могут быть коллизии.

[nachit]

Судя по тому что эти "левые' пароли очень простые, кажется что эти данные введены искусственно, например чтобы раздуть объем базы. Мотив, например, такой — чем больше база, тем дороже её можно продать…

[nachit]

Цитата: "… нет очевидной причины, почему злоумышленники удерживают украденные данные годами, а после пытаются продать, — все зависит от их личных мотивов."

По-моему, очень даже есть причина: вначале выжали что могли сами из базы, например попробовали увести другие данные и аккаунты, связанные с украденными, поспешили от их имени и т. д., а потом уже продали.

[nachit]

Прошу прощения, поспешили = поспамили.

[shuhray]

Запускаю под Windows7 — окно с результатами открывается на долю секунды. Что сделать, чтобы оно не закрывалось сразу?

[devalone]

Не знаю о чём ты, но возможно ты запускаешь какое-то консольное приложение, которое сразу закрывает своё окно. Если так, то открой cmd.exe (win + R -> cmd.exe -> enter), перейди в директорию с программой (cd /D PATH) и открой там

[shuhray]

Нет, я именно так и делаю (перехожу в директорию, запускаю query.sh, окно с ответом закрывается немедленно)

[devalone]

А, речь про ту базу, query.sh написан на баше и под виндой не должен работать(ну разве что в десятке в linux subsystem), а искать по базе можно вручную, если ник shuhray, то нужно перейти в data->s->h и найти запись в файле u.

[Yumashka]

Нашел одну свою столетнюю почту с паролем 10-летней давности. НО! и в почте (до @), и в пароле не хватало одного символа. Не припоминаю, чтобы я так изголялся при регистрации на каком-либо сервисе.
Поэтому, наверное, стОит искать (руками или query.sh) не точное соответствие, а большим куском.

[devalone]

grep -a -i -r 'your_phrase'

[Yumashka]

К сожалению, не могу править комментарий. Опечатался: "… а небольшим куском"

[devalone]

Неужели кто-то ещё не хеширует пароли?

[Lerk]

А за что минусите то человека? Многие отечественные ресурсы хранят пароли плейн-текстом и высылают их в письмах при запросе «Восстановить пароль». Пригорает от такого знатно, особенно если используешь пароли типа prefix + core(постоянное) + suffix.

[Simplevolk]

значит, не только я так формирую пароли…

[jazzl0ver]

В базе встречаются эккаунты с сервисов:
irr.ru
ladyauto.ru

[bisor]

хранить пароли в плейнтексте — высшее зло! Никаких напоминаний паролей, только смена.
hotmail, yahoo, gmx.de, web.de… вроде крупные сервисы, а реально лажают очень круто.
Зато где-то там на конференциях и книгах пишут и учат как нужно строить безопасность.