Повторное использование украденного пароля сотрудником Dropbox привело к утечке данных 60 млн пользователей

Хакеры украли данные от более 60 млн аккаунтов пользователей облачного сервиса Dropbox. Такая массивная утечка стала вторым актом старого инцидента от 2012 года, когда компания объявила о краже логинов своих пользователей, не уточнив их число. В компании уже попросили пользователей, которые зарегистрированы на платформе с 2012 года и ранее, сменить пароли.

Точно не известно, сколько пользователей пострадали от взлома. Как сообщает Motherboard, украденная база весит 5 ГБ и включает в себя email-адреса и хэшированные пароли 68 680 741 аккаунтов. Журналисты получили доступ к украденной базе через сервис утечек Leakbase и обнаружили множество реальных учетных записей, зарегистрированных в 2012 году и ранее. Подлинность данных журналистам также анонимно подтвердил высокопоставленный сотрудник Dropbox.

В компании заявили, что еще на прошлой неделе сбросили все активные пароли аккаунтов, которые могла затронуть утечка. «Мы инициировали этот сброс в целях предосторожности, так что старые пароли за 2012 год и более ранние не могут использоваться для доступа к Dropbox-аккаунтам. Мы также рекомендуем пользователям поменять пароли в других сервисах, если они используют там свои Dropbox-пароли», — прокомментировал Патрик Хейм, глава по безопасности Dropbox.

Как сообщает TechCrunch со ссылкой на анонимный источник, получить доступ к корпоративной сети Dropbox хакерам удалось, взломав аккаунт сотрудника компании. Для этого они использовали пароль этого сотрудника из LinkedIn, который ранее также подвергся взлому. По словам Хейма, компания приняла меры, чтобы убедиться, что ее сотрудники больше не используют одни и те же пароли на работе. Помимо внедрения сервиса 1Password, в компании также работает двухфакторная аутентификация во всех системах.

По данным Motherboard, база пока не выставлена на торги в дарквебе, как это обычно происходит. Журналисты предполагают, что поскольку пароли зашифрованы, ее ценность нивелируется. Примерно 32 млн паролей закодированы при помощи алгоритма хэширования bcrypt, поэтому едва ли их можно использовать для входа в аккаунты. Остальные пароли закодированы устаревшими алгоритмами, и не исключено, что хакеры могут их взломать, хотя Dropbox менял алгоритмы несколько раз с 2012 года для защиты своих пользователей.

Ранее хакеры заявляли о взломе 32 млн Twitter-аккаунтов и 23 млрд аккаунтов пользователей PayPal в этом году. Также утечки были зафиксированы в таких популярных сервисах, как LinkedIn, Tumblr, VK.com и других.