LOGINY I HASŁA 50 TYSIĘCY UŻYTKOWNIKÓW POLSKIEGO PORTALU WYCIEKŁO DO SIECI

Niedawno złapałem się na tym, że używam w internecie jednego hasła do wielu stron z których korzystam, wliczając w to Allegro, Naszą Klasę i kilka for internetowych. Coś mnie tknęło i postanowiłem sprawdzić, czy moje hasło gdzieś nie wypłynęło. Otworzyłem google i wpisałem swoje hasło.

Wyskoczył jeden wynik: strona o nazwie hack-cośtam, a na niej... moje hasło, mój nick i mój adres e-mail!

Okazuje się, że członek pewnego zagranicznego kółka hakerskiego włamał się na jeden z czołowych polskich serwisów IT (którego nazwę pominę, aby zaoszczędzić wstydu właścicielom tego portalu), wykradł dane wszystkich użytkowników (ponad 50 tysięcy osób) i opublikował je na hakerskim forum. Osobnik ten miał ułatwione zadanie, ponieważ portal posiadał forum postawione bodajże na PhpBB, czyli najpopularniejszym sofcie do stawiania for i jednocześnie najbardziej dziurawym.


Screenshot strony z 50 tys. loginów i haseł do kont użytkowników polskiego portalu.
Szybko pozmieniałem swoje hasła do serwisów z których korzystam, ale na tym nie koniec. Postanowiłem coś z tym zrobić. Przecież loginy i hasła innych osób nadal były dostępne online. Na domiar złego, strona z hasłami wisiała już od ponad sześciu miesięcy. Zapewne większość osób ma jedno hasło do kilku serwisów, więc ktoś złośliwy wchodząc w posiadanie tych danych mógłby je wykorzystać do niecnych celów. Posiadając adres e-mail i hasło bez problemu można zalogować się na czyjeś konto w Allegro i wystawić fikcyjne aukcje lub opublikować na forum fikcyjną ofertę sprzedaży laptopa i zbierać przedpłaty.

Napisałem maila do administratora strony, kopię wysłałem również do głównych redaktorów portalu. W mailu napisałem między innymi, że pozostali użytkownicy powinni zostać poinformowani że ich hasła wypłynęły do sieci. Zaproponowałem, aby wysłali do wszystkich osób zarejestrowanych na forum informację, aby natychmiast pozmieniali swoje hasła w serwisach zewnętrznych, jeśli używają do nich tego samego hasła co do omawianego forum.

Po chwili dostałem odpowiedź od admina:

"Lukę dawno usunęliśmy i nie dotyczyła ani enginu portalu ani forum, błąd był w autorskim komponencie, który nie został zbyt dobrze przetestowany widocznie przez testerów. Przesyłanie informacji dalej jest moim zdaniem zbędne - luka dawno załatana, nie dotyczy ogólnie dostępnych komponentów i rozszerzeń, jest nie do powtórzenia na innych serwisach (nikt ode mnie nie dostał tych komponentów ani pozwolenia na ich użycie)."

Jak widać, główny webmaster nie rozumie powagi sytuacji. To że oni usunęli błąd w kodzie swojej strony nie zmienia faktu, że loginy i hasła ich użytkowników są publicznie dostępne! Co więcej, przy pomocy tych danych można zalogować się do ich serwisu na konto dowolnego użytkownika, czego przykładem był mój login i hasło.

Odpisałem więc administratorowi, że - z cały szacunkiem - ale ja nie zgłaszam się do nich w sprawie luki na serwerze, lecz publicznie dostępnej bazy loginów i haseł ich użytkowników. Ponownie zaproponowałem wysłanie powiadomienia do wszystkich użytkowników z prośbą aby pozmieniali swoje hasła do zewnętrznych serwisów. Dorzuciłem propozycję, aby pozmieniali hasła użytkownikom swojego portalu na losowe i kazali się przelogować.

Odpowiedzi nie otrzymałem.

Ale następnego dnia na mój adres e-mail podany na forum otrzymałem takiego maila od administratora (list wysłany do wszystkich użytkowników):

"W związku z wykryciem luki w bezpieczeństwie serwisu, mimo jej szybkiego załatania tuż po tym jak dowiedzieliśmy się o jej istnieniu, to nie można wykluczyć, że przez ten czas nie doszło do wycieku części danych z bazy. W związku z tym prosimy o jak najszybszą zmianę haseł na forum i portalu."

Prawie dobrze, ale szkoda, że poproszono o zmianę hasła tylko do ich portalu, a nie wspomniano w ogóle o tym, aby ludzie zmienili hasła także w innych serwisach z których korzystają, jeśli używają do nich tego samego hasła. Admin doskonale wie że wszystkie hasła już wyciekły, ale zamiast wyraźnie zaznaczyć że tak się stało (czerwony alarm - kto ma rozum, ten rzuca się do zmiany hasła), pisze jedynie że mogły wyciec, ale szansa na to jest bardzo mała, bo problem naprawiono od ręki (brak alarmu).

Zacząłem więc wysyłać prywatne maile do innych użytkowników informując ich o problemie. Odzew był taki, że byłem albo niemile odprawiany, albo proszony abym nie robił sobie żartów. Byłem również pytany o linka do strony z hasłami, celem udowodnienia że piszę poważnie. Oczywiście linka nie podałem i po kilkunastu mailach dałem sobie spokój (zresztą i tak nie dałbym rady powiadomić 50 tys. osób). Zrobiłem wszystko co mogłem: zmieniłem moje hasło do serwisów z których korzystam, poinformowałem redakcję portalu i ośmieszyłem się korespondując z użytkownikami. Z mojej strony sprawa została zamknięta.

Od tego wydarzenia minęło kilka miesięcy. Dostęp do hakerskiej strony z hasłami najpierw został zahasłowany, a wkrótce potem strona została usunięta. Podstrony zawierające hasła nadal są jednak dostępne online w postaci keszu google. Nie sprawdzałem czy ślady są dostępne w innych wyszukiwarkach oraz w serwisach typu webarchive, ale pewnie tak. Zapewne większość loginów i haseł z tej listy nadal jest aktualna i można przy ich pomocy zalogować się do nieszczęsnego portalu na cudze konto. Większość użytkowników ma pewnie konto w Allegro, więc posiadając ich adresy e-mail i hasła potencjalny przestępca może zacząć kraść pieniądze w ich imieniu.

Na koniec mam garść spostrzeżeń.

Po pierwsze, większość osób posiada trywialne hasło!

Przeanalizowałem pobieżnie tę część haseł którą zobaczyłem i mam przykre podsumowanie:

- większość osób używa haseł składających się tylko z małych liter (bez wielkich liter i cyfr),
- większość haseł to hasła trywialne i słownikowe.

Po drugie, zastanawiam się jaki jest sens rejestrowania się w serwisach i na forach, skoro większość postawiona jest na dziurawych programistycznych gotowcach, z których hasła mogą wyciec na setki różnych sposobów?

Po trzecie, wspólne hasła do wielu serwisów (forum, Allegro, NK, goldenline, poczta) posiada zapewne większość użytkowników. To straszne jak łatwo jest zdobyć dostęp do kont tylu osób. Jeśli założymy, że tylko co setna osoba z tej listy posiada to samo hasło do kilku serwisów, to i tak daje to 500 kont na które każdy może się zalogować.

Po czwarte, jaką odpowiedzialność ponosi w takiej sytuacji właściciel strony? Administrator opisanego portalu zachował się bardzo niepoważnie, ale kto wie ile takich osób pracuje przy innych stronach masowo gromadzących użytkowników?

Po piąte, hasła które wyciekną do sieci pozostaną w niej na zawsze, m.in. z powodu istnienia kesza wyszukiwarek.

Po szóste, o sprawie poinformowałem media oraz kilku blogerów, ale nikt nie pociągnął tematu.

Loginy, hasła i adresy e-mail ponad 50 tys. osób nadal są dostępne w sieci. Może ktoś ma pomysł co można z tym zrobić?

Sławomir Wilk