Первым утечку обнаружил австралийский специалист по кибербезопасности Трой Хант. База данных с адресами электронных почт и паролями от них состоит из 12 тыс. файлов и «весит» 87 Гб.
Этот архив стал самым большим из тех, что когда-либо выкладывали открытый доступ. Его назвали «Коллекция №1». База данных появилась на сервисе MEGA.
Источники утечки
Хант отметил, что часть коллекции хакеры позаимствовали из других баз данных. Папки архива называются Games, BTC, Mail Access, что может указывать на возможный источник утечки. Тем не менее, в «Коллекции» 140 млн адресов электронной почты, которые не выкладывались публично.
Этот архив злоумышленники могут использовать, чтобы перебрать комбинации адресов электронной почты и паролей и получить доступ к аккаунтам пользователей. В «Лаборатории Касперского» уже прокомментировали ситуацию:
«Эта огромная база данных собиралась долгое время, – отметил антивирусный эксперт Сергей Ложкин. – В нее добавлялись учетные записи и пароли, в том числе российских пользователей, которые становились публичными после крупных утечек, поэтому некоторые учетные данные, вероятнее всего, уже устарели».
Но и здесь есть свои нюансы: некоторые пользователи подолгу не меняют или используют одни и те же пароли для аккаунтов на разных сайтах.
А ваш адрес есть в «Коллекции»?
Трой Хант поддерживает сайт Have I Been Pwned с данными о миллионах украденных аккаунтов. Достаточно ввести в строку поиска свой email, чтобы проверить его на предмет утечки. Красное поле свидетельствует о том, что аккаунт взломан, и пароль к нему лучше поменять, зеленое – вам повезло, и хакеры до вашей почты еще не добрались.
Специалисты «Лаборатории Касперского» напомнили пользователям о двухфакторной аутентификации. Этот метод обеспечивает двухслойную защиту аккаунта от злоумышленников. Пользователь дважды подтверждает свою личность: сначала вводит логин и пароль, а затем получает специальный код в SMS-сообщении или по электронной почте. Часто вторым слоем защиты становятся USB-ключ или биометрические данные пользователей.
Позаботиться о двухфакторной аутентификации рекомендуют на следующих ресурсах:
- интернет-банкинг;
- аккаунты в социальных сетях;
- учетная запись в iCloud;
- почтовые ящики;
- служебные учетные записи.
Панацеей такой способ защиты не назовешь, но он сводит к минимуму недостатки парольной защиты и усложняет задачу злоумышленникам. Ведь если пароль к аккаунту удалось подобрать, то для преодоления второго барьера хакеру придется раздобыть телефон жертвы или ее почтовый ящик.