Noite passada um hacker anônimo alegou estar em posse de 7 milhões de senhas para contas do Dropbox. Embora essa afirmação provavelmente seja falsa, ela demonstra a maneira cada vez mais comum que os hackers estão usando para obter acesso às suas senhas.
O hacker postou cerca de 400 nomes de usuário e senhas no site de notas anônimas Pastebin em uma série de 'teasers' para a lista principal. Alguns usuários do Reddit conseguiram fazer login com sucesso no Dropbox usando as informações postadas antes de a empresa desativar todas as senhas vazadas.
Mas O Dropbox foi rápido em lançar dúvidas sobre as reivindicações , negando que tivesse sido hackeado e alegando que muitos dos nomes de usuário e senhas nem mesmo estavam relacionados a contas do Dropbox.
Então, de onde vêm as senhas? Afinal, eles trabalharam por um tempo.
A fonte mais provável de informações é um site de terceiros com segurança insatisfatória. Os hackers sabem que a maioria dos usuários da Internet reutiliza suas senhas, então eles costumam ter como alvo aplicativos menores feitos por desenvolvedores amadores. Esses alvos fáceis têm pouca segurança - portanto, nomes de usuário, senhas ou arquivos podem ser armazenados de uma maneira que os hackers possam roubá-los facilmente.
O recente hack do Snapchat , que viu quase 100.000 fotos privadas e vídeos postados online, aconteceu porque um desenvolvedor amador não configurou seu site com segurança. Em uma postagem na página Snapsaved do Facebook , o fundador anônimo do site explica que um servidor Apache mal configurado deixou os arquivos vulneráveis a hackers.
Os hackers não precisam mais tentar atingir os gigantes da tecnologia. Por que se preocupar em invadir os servidores do Google, Apple ou Facebook quando você pode simplesmente aproveitar as vantagens de um site mal construído para obter as mesmas informações?
Agora estamos vendo os hackers usarem uma nova abordagem. Em vez de passar meses encontrando vulnerabilidades em grandes sites, eles reutilizam informações de login roubadas de aplicativos amadores de terceiros. As chances são de que as informações funcionem para vários sites, portanto, compilar esses caches de dados pode criar rapidamente uma lista de milhões de senhas.
Em setembro, Hackers russos publicaram uma lista de 5 milhões de senhas para diversos provedores de e-mail, incluindo Gmail. Não era um vazamento novo, mas uma coleção de vazamentos de senhas antigas compilados juntos para parecerem novos. Claro, muitas das contas de e-mail foram fechadas, mas as informações ainda podiam ser baixadas e usadas por hackers para invadir outras contas.
Então, por que os hackers estão reutilizando informações antigas? Raramente há evidências de que eles realmente usam as senhas para fazer login em sites. Em vez disso, parece que eles apenas postam as informações online. Ou, pelo menos, eles postam algumas das informações online. Como mencionamos antes, os hackers vazam uma coleção parcial de senhas como 'teasers'. Isso geralmente é acompanhado por um pedido de doações de Bitcoin.
Podemos usar a natureza pública dos endereços de Bitcoin para ver quanto os hackers ganham por postar senhas online. Geralmente é menos do que eles esperam receber. O hacker que compartilhou a coleção de senhas do Dropbox recebeu apenas 8 centavos . Da mesma forma, OriginalGuy, o postador anônimo do fórum por trás da primeira onda de fotos de celebridades hackeadas no iCloud, expressou consternação com o pequeno gotejamento de doações que veio em seu caminho, comentando:
Claro, recebi $ 120 com meu endereço de Bitcoin, mas quando você considera quanto tempo foi gasto adquirindo essas coisas (eu não sou o hacker, apenas um colecionador) e o dinheiro (eu paguei muito via Bitcoin também para ter certeza (sets quando essas coisas estavam sendo negociadas de forma privada na sexta / sábado) Eu realmente não cheguei perto do que eu esperava.
Estamos vendo cada vez mais vazamento de senhas online. Os desenvolvedores amadores não estão aumentando a segurança das senhas e os vazamentos existentes continuam a ressurgir. Embora as informações tornadas públicas muitas vezes estejam desatualizadas há vários anos (muitos dos e-mails postados junto com as senhas do Dropbox foram desativados em 2012), ainda são valiosas para hackers que compilam grandes listas de endereços de e-mail e senhas para serem usados em ataques contra outros sites .
E, caso não esteja claro, a culpa também é sua: se você usa as mesmas senhas repetidamente com aplicativos diferentes, os hackers não precisam entrar nos servidores da Apple ou do Facebook para encontrá-los. Eles simplesmente identificam os aplicativos menores com a segurança de senha mais fraca.
--Esta história apareceu pela primeira vez em Business Insider.
