Alex Holden da Hold Security, uma empresa de segurança de Wisconsin, informou ter descoberto milhões de credenciais de contas de usuários, inclusive endereços e credenciais de conta da coleção de um hacker. Os dados incluíam milhões de credenciais dos principais provedores de email Mail.ru, Google, Yahoo e Microsoft (Hotmail), juntamente com provedores de serviço de email da Alemanha e da China.
O pesquisador relatou que a descoberta foi feita depois que os pesquisadores da firma se depararam com um hacker se gabando em um fórum online do submundo russo de ter acumulado credenciais de usuários roubadas no total de 1,17 bilhões de registros. Após maiores investigações e eliminação de duplicatas, a firma identificou 273,3 milhões de credenciais exclusivas, 15% das quais nunca tinham sido vazadas antes. Holden observou que 57 milhões dessas credenciais eram de contas Mail.ru, uma quantidade significativa comparada aos 64 milhões de usuários ativos mensais que o Mail.ru disse que tinha no final de 2015. O restante das contas roubadas incluía 40 milhões de contas Yahoo!, 3,3 milhões de contas Hotmail e 24 milhões de contas Gmail.
O interessante é que o hacker originalmente pediu 50 rublos (menos de $1 dólar) por todo o conjunto de dados, mas a Hold Security conseguiu os dados de graça, concordando em publicar comentários positivos sobre ele em fóruns de hackers.
Esse incidente é mais um da série de violações de dados que transpiraram nas últimas semanas, inclusive os notáveis incidentes envolvendo a Verizon, a Arquidiocese Católica de Denver, a Universidade Stanford e a cadeia de supermercados Sprouts Farmers Market.
Violações de dados como essas apresentam um risco considerável pois as credenciais roubadas podem ser usadas como uma plataforma de lançamento de spam e ataques de phishing vinculados às contas comprometidas. Eles também podem ser usados para cometer roubo de identidade, espionagem e roubo de propriedade intelectual e informações financeiras.
Após ter sido avisado da violação, o Mail.ru disse a Reuters, “Estamos agora verificando se alguma combinação de nome de usuário/senha combinam [contas ativas] e assim que tivermos informações suficientes avisaremos os usuários que possam ter sido afetados. A primeira verificação de uma amostra de dados mostrou que os dados não consistem de quaisquer combinações de nomes de usuários e senhas reais.”
A Microsoft acrescentou que estabeleceu medidas de segurança que exigem informações adicionais que podem verificar a propriedade da conta e ajudar os usuários a recuperar o acesso a suas contas. Os usuários também podem obter uma camada a mais de segurança para contas online ativando a autenticação de dois fatores em serviços que o suportem.
Atualização: 9 de maio de 2016
Os dados não foram coletados a partir de uma violação – ou pelo menos não de uma recente – e podem ter sido coletados a partir de uma série de antigos despejos de dados.
Após analisar 57 milhões de credenciais do Mail.ru da amostra de dados que Holden coletou, o serviço de email russo descobriu que 99,9% das contas eram inválidas. De acordo com a divulgação para a imprensa do Mail.ru, 22,56% das entradas da base de dados não existiam, 64,27% tinham senhas erradas e algumas não tinham senhas. Apenas 0,018% das combinações nome de usuário/senha da amostra poderiam ter funcionado e os usuários afetados já foram notificados.
O Google também analisou um lote de credenciais e descobriu que mais de 98% das credenciais de contas do Google incluídas na pesquisa “se mostraram falsas”.
