Wyciek danych z polskiej strony dla modelek. 180 tysięcy rekordów

Nie podano sposobu kradzieży danych. Nie poinformowano również skąd pochodzi wyciek. Wiadomo jednak, że informacje zawarte w pliku wyglądają na prawdziwe. Dane pochodzą z profili na wspomnianym portalu. Należy również odnotować, że wiele kont założonych było na nieprawdziwe dane.

Dane z wycieku

W pliku nie znajdują się dane pozwalające na kradzież tożsamości, takie jak np. numer PESEL lub skany dowodów osobistych. Można w nich jednak znaleźć m.in. imię, nazwisko, datę urodzenia, adres e-mail i funkcję skrótu (hash) hasła. Warto również podkreślić, że ze względu na charakter portalu w pliku znajdują się dane dotyczące m.in. wzrostu czy wagi. Niektóre rekordy zawierają również wymiary talii, bioder czy biustu.

Bezpieczeństwo haseł

Hasła były przechowywane jako funkcja skrótu SHA-1. Algorytm obecnie uznawany jest za przestarzały, ponieważ udało się w nim znaleźć tzw. kolizję, czyli wygenerowanie tego samego hasha dla różnych danych.

Z racji na wykorzystywanie prawie trzydziestoletniego algorytmu należy podkreślić, że złamanie takiego hasha może być bardzo łatwe dla nieskomplikowanych haseł. Jeżeli użytkownik wykorzystuje te same dane logowania do wspomnianego portalu i mediów społecznościowych, jego konta mogą zostać przejęte przez cyberprzestępców.

Niektórzy użytkownicy portalu używali bardzo prostych haseł. 52 konta używały hasła „123456”, 6 profili używało hasła „12345678”, zaś 4 użytkowników logowało się za pomocą hasła „qwertyuiop”. Losowo wybrany hash hasła można było odwrócić np. za pomocą CrackStation.

Reakcja właściciela portalu

W momencie pisania artykułu nie opublikowano informacji o incydencie. Wysłaliśmy zapytania do Interii, właściciela portalu maxmodels[.]pl. Do momentu publikacji tekstu nie otrzymaliśmy odpowiedzi. Gdy się pojawi – niezwłocznie ją przekażemy.

Incydent zgłosiliśmy również do CERT Polska.

Rekomendacje

Należy upewnić się, że do wszystkich portali stosujemy unikalne hasła. Najlepszym rozwiązaniem jest stosowanie menadżerów haseł, o czym mówił Jakub Domaradzki w wywiadzie dla CyberDefence24.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].