بزرگ ترین مجموعه داده های سرقت شده کشف شد

آی‌تی‌من- این مجموعه داده ها را که 87 گیگابایت حجم دارد، یک متخصص امنیت به نام «تروی هانت» کشف کرده است؛ هانت صاحب وبسایت معروف Haveibeenpwned.com است.

هانت که این داده های لو رفته را مجموعه شماره یک (Collection #1) نام گذاری کرده، می گوید که این مجموعه عظیم احتمالا متشکل از داده های در اختیار افراد مختلف بوده و از هزاران منبع مختلف جمع آوری شده است و مربوط به هک یک سرویس بزرگ اینترنتی نیست. به گفته هانت در مجموع یک میلیارد و 160 میلیون و 253 هزار و 228 زوج یگانه ایمیل و گذرواژه در این مجموعه وجود دارد. تعداد گذرواژه های یکتا در این مجموعه نیز 21 میلیون و 222 هزار و 975 عدد است.

بنا به گزارش گاردین، بخش عمده ای از این تعداد ایمیل لو رفته، پیش تر در سرقت های بزرگ اطلاعات دیده شده بود؛ از جمله در 360 میلیون حساب کاربری «مای اسپیس» که در سال 2008 هک شد و 164 میلیون حساب کاربری «لینکدین» که در سال 2016 به دست هکرها افتاد. اما نزدیک به 140 میلیون ایمیل هک شده نیز در این مجموعه هست که قبلا توسط سرویس یافتن ایمیل های هک شده هانت (Have I Been Pwned) شناسایی نشده بود. به گفته هانت منبع این ایمیل ها احتمالا از یک نشت بزرگ اطلاعاتی یا تعدادی هک کوچک تر است که تاکنون گزارش نشده است.

متخصصان امنیتی می گویند که کشف Collection #1 نشان می دهد که کاربران باید از ابزارهای مدیریت گذرواژه مثل 1Password یا LastPass استفاده کنند. با کمک این ابزارها می توان گذرواژه های یکتا و تصادفی برای سرویس های مختلف تعیین کرد، بدون اینکه کاربر نگران فراموش کردن این گذرواژه های متعدد باشد.

«جیک مور»، متخصص امنیت سایبری در دفتر انگلیس شرکت «ای ست» (ESET)، می گوید: احتمال اینکه در یک دهه گذشته، آدرس ایمیل و سایر اطلاعات شخصی هر یک از کاربران لو نرفته باشد، بسیار پایین است و اگر شما از آن دسته افرادی هستید که گمان می کنید این اتفاق برای شما نخواهد افتاد، احتمالا پیش از این اطلاعات شما لو رفته و خودتان خبر ندارید.

وی می افزاید: ابزارهای مدیریت گذرواژه اکنون به طور گسترده مورد پذیرش قرار گرفته اند و بسیار ساده با سایر پلتفرم ها یکپارچه می شوند. علاوه براین، این ابزارها به شما کمک می کنند که پسوردهایی کاملا تصادفی برای همه سایت ها و اپلیکیشن های خود تعیین کنید؛ در هر صورت امنیت این ابزارها بسیار بیشتر از آن است که خود شما سه تا گذرواژه درست کنید و همه جا از این پسوردهای تکراری استفاده کنید.

هانت هشدار می دهد که این مجموعه داده های سرقتی در وهله اول برای حمله Credential stuffing یا تکمیل مدارک استفاده می شود.

Credential stuffing نوعی از حملات سایبری است که در آن از داده های سرقت شده شامل نام کاربری، گذرواژه و آدرس ایمیل برای دسترسی غیر مجاز به حساب های کاربری از طریق اپلیکیشن های مربوطه به طور انبوه استفاده می شود. هکرها با استفاده از این نرم افزارها به طور خودکار، لاگین به حساب های سرقت شده را انجام می دهند. این روش، از آنجا که بسیاری از کاربران از گذرواژه های یکسان برای سرویس های مختلف خود استفاده می کنند، معمولا موفقیت آمیز است.