‘南宫NG体育’Dropbox泄密事件仍在蔓延一家成人网站被爆掉80万帐号密码

发布时间：2024-11-21 丨 浏览次数：

PingWest / 盛威　　上周黑客在暗网陆续外泄了 Dropbox 和 Last.fm 两家公司的上亿条账号密码，曝露了互联网公司在维护用户信息上的相当严重缺失。但现在这场“泄露事件”仍没暂停的迹象，近期的消息是黑客团队外泄了色情网站 Brazzers 将近 80 万条用户账号密码。　　这个被黑客发布在暗网上的数据库包括条 928072 个账号的信息，其中还包括 790724 个有所不同的电子邮箱地址以及许多用户名和明文密码。

　　在拒绝接受The Next Web专访时，Brazzers的公关经理Matt Stevens说道：“这个数据库最先是于 2012 在我们的 Brazzers 论坛上被外泄的，但这个论坛由一个第三方机构管理。”　　Stevens说道这个“第三方机构”用于的 vBulletin 管理软件上不存在的漏洞是数据库外泄的原因。而为了让用户使用方便， Brazzers 网站和 Brazzers 论坛之间的账号是分享的。

　　上周一，Dropbox透露该公司于 2012 年外泄的 6800 万条用户的账号密码早已流入至暗网中，当时的数据外泄源自Dropbox的一次“安全事故”。　　2012 年 Dropbox 官方博客回应事件的说明是：“遗失的密码被用作采访 Dropbox 的员工账号，其中还包括带上用户电子邮件地址的项目文件。我们指出，这一非法采访造成了垃圾邮件的经常出现。

我们回应深感难过，并采行了额外的控制措施，保证这种事故会再次发生。”　　也就是说 Dropbox 仍然指出被外泄的只有用户的电子邮箱地址，所以他们才不会担忧用户受到垃圾邮件的侵染。

但实际情况更为可怕，那就是这 6800 万用户的邮箱地址和密码都被外泄了。　　但令人欣慰的是，这些被外泄的密码是早已被加密过的暗文密码，而不是用户必要输出的明文密码。在 2012 年信息被外泄之前，Dropbox 曾将自己的加密算法从 SHA-1 升级为 bcrypt，此外这些密码还使用了随机数据串去增强加密的 salt 技术。

也就是说即使黑客获得了这些密码，他们也不能看见一串没意义的字符。　　而在上周五，黑客又将 2012 年从音乐服务网站 Last.fm 上盗取的 4357 万条用户密码发布在了 LeakedSource 网站上。这个数据库是在 2012 年 5 月 22 日被外泄的，当时 Last.fm 拒绝用户重置自己的密码。

　　LeakedSource 回应，他们花上了 2 小时之后密码了这个数据库里 96％ 的密码，这是因为 Last.fm 用户的密码并没用 salt 技术强化加密。　　在 2012 年 6 月 7 日，也就是密码被外泄之后，Last.fm 的研发人员 Russ Garrett 就曾在 Twitter 上否认该公司用户密码用于的是 MD5 加密方法，但这种方法早于在 2012 年之前就被确认是一种很弱加密方法，目前早已有很多网站获取了 MD5 加密的一键密码工具。

　　根据 LeakedSource 发布的信息，这批被外泄的数据还包括用户的电子邮箱地址、用户名、密码、登记日期和一些 Last.fm 内部的服务数据。　　在这些被外泄的密码中，诸如 123456、password、qwerty、abc123、music 这样的较低级别密码也占有了相当大一部分，可见用户对信息安全有多么不推崇。　　今年 5 月，职业社交网站 LinkedIn 也曾许宣告有 1 亿多条用户的电子邮箱和密码被外泄至暗网，这些数据某种程度来自 2012 年的一场黑客攻击。

　　2012 年 6 月，一个名为“dwdm”的黑客在一家俄罗斯论坛上发布了 650 万条 LinkedIn 的用户加密密码，随后 LinkedIn 证实有 1 亿用户的账号信息被外泄。　　直到最近，一个取名为“Peace”的黑客在暗网上以 5 个比特币（大约 2200 美元）的价格公开发表出售这个数据库。经验证，这个数据库里包括了 1.17 亿LinkedIn 用户的账号密码，而很多用户目前仍在用于这些密码。

　　有意思的是，2012 年 Dropbox 的用户密码被外泄的原因就是黑客利用了该公司开发人员的 LinkedIn 账号信息指定了 Dropbox 的后台管理系统。

本文来源：南宫NG·28-www.sandingip.com