E-mail fiókok tízezreinek jelszavai kerültek ki a webre, miután kiterjedt phishing támadás folyt vagy folyik népszerű levelezőszolgáltatások ellen, derült ki az elmúlt napokban. A Google, a Microsoft és a Yahoo! egyaránt elismerték az esetet, és a jelszavak megváltoztatására sarkallják felhasználóikat.

Elsőként a Microsoft közölte hétfőn, hogy Hotmail szolgáltatása egyes felhasználóinak jelszavai kiszivárogtak a webre. A vállalat egyúttal azt is közölte, hogy saját vizsgálata alapján a jelszavakat nem a szerverekre történő betöréssel szerezték meg a bűnözők, hanem kiterjedt phishing támadással, vagyis a felhasználók megtévesztésével érték el céljukat. A Microsoft egyúttal felfüggesztette az érintett fiókokat, és a felhasználóknak maguknak kell visszaigényelniük azokat, a Microsoft ellenőrzését követően.

Az első lista a Pastebin.com kódmegosztó oldalra került fel, és mintegy 10 ezer fiók adatait tartalmazta. Ez a lista azonban csak "a" és "b" betűvel kezdődő felhasználói neveket tartalmazott, ami azt sejteti, hogy további több tízezer fiók jelszavait szerezték meg a bűnözők. A listát kielemezte Bogdan Calin az Acunetix biztonsági szakembere, és arra a következtetésre jutott, hogy a phishing támadás elsősorban a spanyol ajkú közösséget célozta meg, miután a jelszavak közt gyakoriak voltak a spanyolos keresztneveket tartalmazók, mint például az Alejandra vagy a Tequiero.

A webre kikerült fiókok azonban nem korlátozódtak a Hotmailre, vagyis pontosabban a Windows Live levelezőszolgáltatásra, számos más rendszert, köztük a Gmailt, a Yahoo! Mailt vagy az AOL-t is érintették, melyek világszerte összesen több százmillió felhasználót szolgálnak ki. A brit BBC News talált egy másik nyilvános listát, további 20 ezer fiókkal, melyek keverve tartalmaztak mindegyik nagy szolgáltatótól, majd a Google közölte, hogy felfedezett egy harmadik listát is, ennek részleteiről azonban nem beszélt.

Úgy tűnik, hogy egyelőre egyik szolgáltató sem figyelmezteti felhasználóit a veszélyre, hogy azoknak lehetőségük legyen jelszóváltoztatással védekezni egy esetleges visszaéléssel szemben. A támadások célja sem ismert, a legvalószínűbb okok közt a kapcsolati listák spammeléshez történő ellopása, a fiókok spammelésre történő hasznosítása, valamint a további érzékeny jelszavak utáni kutatás lehet. Tekintve, hogy elvileg a latino közösség elleni phishing támadásnak néz ki a jelenlegi incidens, a veszély számunkra alacsony, valójában nem tudni pontosan, hogyan kerültek ki a jelszavak, így nem zárható ki az sem, hogy a phishing támadás man-in-the-middle (beékelődéses) típusú volt, ami még a biztonságtudatos felhasználókat is könnyedén átejti.

Az eset ráadásul ismét felhívja a figyelmet a biztonság leggyengébb láncszemére, az emberre. Calin elemzéséből kiderül, hogy a jelszavak 42 százaléka csak kisbetűs alfabetikus jelszavakat használt, míg 19 százalék csak számokból állót, és mindössze 30 százalék alkalmazott kevert típust, míg a legmagasabb szintű biztonságot kínáló speciális karaktereket csak 6 százaléknyi kevert hozzá. Igaz, némi reménykedésre adhat okot, hogy bár az 123456 volt a legnépszerűbb jelszó, a mintegy 9800 fiókból mindössze 64 használt ilyet, és az 111111 vagy 000000 jelszavak is kevesebb mint tízszer fordulnak elő. A jelszavak többségét tehát egyszerű szótáralapú törővel meg lehet törni - igaz, jelen esetben nem ez okozta a kiszivárgást.

(forrás: hwsw.hu)

Hát igen, jelszót kitalálni és megjegyezni nehéz dolog.