Hakkerit, jotka varastivat arkaluontoisia asiakastietoja huijaussivustolta AshleyMadison.com, näyttävät tehneen uhkan tietojen lähettämisestä verkkoon.
Tiedonsiirto, kooltaan 9,7 gigatavua, lähetettiin tiistaina pimeään verkkoon käyttämällä Sipuli-osoitetta, johon pääsee vain Tor-selaimen kautta. Tiedostot näyttävät sisältävän tilitiedot ja kirjautumiset noin 32 miljoonalle sosiaalisen verkostoitumisen sivuston käyttäjälle, joka mainostetaan ensisijaisena sivustona naimisissa oleville henkilöille, jotka etsivät kumppaneita asioihin. Seitsemän vuoden arvoinen luottokortti ja muut maksutapahtuman tiedot ovat myös osa kaatopaikkaa. AshleyMadison.com väitti omistavansa lähes 40 miljoonaa käyttäjää rikkomuksen aikaan noin kuukausi sitten, kaikki ilmeisesti laittomien kytkentöjen markkinoilla.
”Ashley Madison on uskottomuuden ja naimisissa olon tunnetuin nimi”, sivusto väittää kotisivullaan. ”Pidä suhdetta tänään Ashley Madisonissa. Tuhannet huijaavat vaimot ja huijaavat aviomiehet ilmoittautuvat päivittäin etsimään suhdetta …. Takaamme takuupakettimme, että löydät täydellisen suhdekumppanin.”
The hakkereiden julkaisemiin tietoihin sisältyy sivuston käyttäjien lähettämiä nimiä, salasanoja, osoitteita ja puhelinnumeroita, vaikka on epäselvää, kuinka monta jäsentä antoi laillisia tietoja tilien avaamiseen. Vuototiedoista otettu näyte osoittaa, että käyttäjät toimittivat satunnaisia numeroita ja osoitteita Luottokorttitapahtumia sisältävät tiedostot todennäköisesti tuottavat oikeita nimiä ja osoitteita, ellei sivuston jäsenet käyttäneet nimettömiä ennakkomaksukortteja, jotka tarjoavat enemmän nimettömyyttä. Nämä tiedot, jotka ovat miljoonia maksutapahtumia vuoteen 2008 asti, sisältävät nimet, katuosoite, sähköpostiosoite ja maksettu summa, mutta eivät täydelliset luottokorttinumerot; sen sijaan se sisältää vain neljä numeroa kutakin tapahtumaa varten, mikä voi tosiasiallisesti olla tilisi luottokorttinumerot tai yksinkertaisesti jokaiselle veloitukselle yksilöivä tapahtuman tunnus.
Yksi analyysi datalista löytyvistä sähköpostiosoitteista osoittaa myös, että noin 15 000 on .mil. tai .gov-osoitteita. Ei ole kuitenkaan selvää, kuinka moni näistä on laillisia osoitteita.
Tiedot myös sisältää kuvaukset siitä, mitä jäsenet etsivät. ”Etsin jotakuta, joka ei ole onnellinen kotona tai vain kyllästynyt ja etsii jännitystä”, kirjoitti yksi jäsen, joka toimitti osoitteen Ottawassa sekä jonkun nimen ja puhelinnumeron. työskentelee Kanadan tulli- ja maahanmuuttoliiton palveluksessa. ”Rakastan sitä, kun soitin ja kerroin, että minulla on 15 minuuttia päästä jonnekin, minua tervehditään oven edessä yllätyksellä – ehkä alusvaatteilla, alastomuudella. Tykkään rynnäkköä ja hurmioitua … Pidän paljon esileikkiä ja kestävyyttä, hauskaa, harkitsevuutta, suullista, jopa halua kokeilla – * hymy * ”
Tiedostotiedostossa julkaistut salasanat näyttävät olevan hajautettu bcrypt-algoritmilla PHP: lle, mutta Erratasecin toimitusjohtaja Robert Graham sanoo, että vaikka hakkerit ovatkin yksi turvallisimmista tavoista tallentaa salasanoja, hakkerit pystyvät silti todennäköisesti ”murtaamaan” monia näistä hasheista löytää tilinhaltijan alkuperäinen salasana. Jos tilit ovat edelleen verkossa, hakkerit voivat tarttua kaikkiin tileihin liittyviin yksityisiin kirjeenvaihtoihin.
On kuitenkin huomattava, että huijaussivusto ylitti suojatun hajautusalgoritmin avulla monet muut vuosien varrella rikkomusten uhrit, jotka eivät koskaan vaivautuneet salaamaan asiakkaiden salasanoja.
”Olemme tottuneet näkemään selkeää tekstiä ja MD5-hajautuksia”, Graham sanoo. ”On virkistävää nähdä bcryptin tosiasiallisen käytön.”
Tällöin hakkerit esittivät uuden data dumpin:
Viime kuussa tapahtuneen tunkeutumisen jälkeen hakkerit, jotka kutsuivat itseään Impact Teamiksi, vaativat AshleyMadison.comin omistajaa Avid Life Mediaa ja sen kumppania sivusto Sijoitetut miehet, poista nämä kaksi sivustoa. EstablishedMen.com lupaa yhdistää kauniit nuoret naiset rikkaisiin sokeripoikiin ”täyttääkseen heidän elämäntapansa tarpeet.” Hakkerit eivät kohdistu CougarLifeen, ALM: n ylläpitämään sisarpaikkaan, joka lupaa yhdistää vanhemmat naiset, joilla on nuorempia miehiä.
”Avid Life Mediaa on neuvottu ottamaan Ashley Madison ja vakiintuneet miehet offline-tilassa pysyvästi kaikissa muodoissa, tai julkaisemme kaikki asiakastiedot, mukaan lukien profiilit, joissa on kaikki asiakkaiden salaiset seksuaaliset fantasiat ja vastaavia luottokorttitapahtumia, oikeita nimiä ja osoitteita sekä työntekijöiden asiakirjoja ja sähköposteja ”, hakkerit kirjoitti lausunnossaan rikkomuksen jälkeen.
Aiheeseen liittyvät linkit
Näyttää heille tarkoitti yritystoimintaa, he lähettivät näytetiedostoja, jotka sisälsivät osan varastetuista tiedoista, jotka sisälsivät yrityksen taloudellisia tietoja työntekijöiden palkoista ja yrityksen sisäisen verkon kartoittavista asiakirjoista. moraalit he suostuivat ja kannustivat, mutta he myös kiistelivät ALM: n petollisista liiketoimintakäytännöistä. Huolimatta siitä, että asiakkaat lupasivat poistaa käyttäjätietonsa sivustolta 19 dollarin maksua vastaan, yritys tosiasiassa säilytti tiedot ALM: n palvelimilla, hakkerit väittivät. ”Harmi niille miehille, he huijaavat likapusseja eivätkä ansaitse tällaista harkintaa”, hakkerit kirjoittivat. ”Harmi ALM: lle, lupasit salaisuuden, mutta et toimittanut.”
Avid Life Media uhmakkaasti sivuutti varoitukset ja piti molemmat sivustot verkossa rikkomuksen jälkeen lupaamalla asiakkaille, että se oli parantanut verkkojensa turvallisuutta.
Tällä ei ole merkitystä asiakkaille, joiden tiedot on jo otettu. Lisääntynyt turvallisuus olisi heille liian vähän liian myöhäistä. Nyt he kohtaavat suurimman mahdollisen rikkomuksen: julkinen hämmennys, vihaisten kumppanien viha, joka on saattanut olla heidän huijaamisensa, mahdollinen kiristys ja mahdolliset petokset keneltä tahansa, joka saattaa nyt käyttää datahuoneessa paljastettuja henkilötietoja ja pankkikorttitietoja .
”Avid Life Media ei ole onnistunut kaatamaan Ashley Madisonia ja vakiintuneita miehiä”, Impact Team kirjoitti tiistaina verkkojätteen mukana olevassa lausunnossa. ”Olemme selittäneet ALM: n ja heidän jäsentensä petokset, petokset ja tyhmyyden. Nyt kaikki saavat nähdä heidän tietonsa … Pidä mielessä, että sivusto on huijaus, jossa on tuhansia väärennettyjä naisprofiileja. Katso Ashley Madisonin väärennettyjen profiilien oikeusjuttu; 90-95% todellisista käyttäjistä on miehiä. Mahdollisuudet ovat miehesi kirjautuneet maailman suurimmalle suhdesivustolle, mutta sinulla ei koskaan ollut sellaista. Hän vain yritti. Jos tällä erotuksella on merkitystä. ”
Hakkerit estivät vastuun mahdollisista vahingoista tai seurauksista, joita rikkomuksen ja tiedonsiirron uhrit saattavat kärsiä.
” Löydätkö itsesi täältä? ALM petti sinut ja valehteli sinulle. Syytetään heidät ja vaaditaan vahingonkorvauksia. Siirry sitten elämään. Opi oppiaiheesi ja tee korjauksia. Nyt on noloa, mutta sinä ”pääset siitä yli”, he kirjoittivat.
Se on tärkeää Huomaa, että Ashley Madisonin kirjautumisprosessi ei vaadi sähköpostiosoitteen vahvistamista tilin luomiseksi, joten jotkut sivuston jäsenet ovat saattaneet kaapata ja käyttää laillisia osoitteita. Esimerkiksi yksi datahakemistossa oleva sähköposti näyttää kuuluvan Ison-Britannian entiselle pääministerille (Tony Blair).
Avid Life Media tuomitsi tietojen julkaisemisen.
”Tämä tapahtuma se ei ole hacktivismin teko, se on rikollisuuden teko. Se on laitonta toimintaa AshleyMadison.com-sivuston yksittäisiä jäseniä vastaan, samoin kuin kaikkia vapaamielisiä ihmisiä, jotka haluavat harjoittaa täysin laillista verkkotoimintaa ”, yritys kertoi lausunto. ”Tähän tekoon osallistuneet rikolliset tai rikolliset ovat nimittäneet itsensä moraalituomariksi, tuomariksi ja teloittajaksi. He pitävät sopivana asettaa henkilökohtainen käsitys hyveestä koko yhteiskunnalle. Emme istu tyhjästi ja anna näiden varkaiden pakottaa heidän henkilökohtainen ideologiansa kansalaisista ympäri maailmaa. ”
Tämä tarina päivitettiin sen kehittyessä.