27亿个电子邮件地址和纯文本密码在线暴露，含大量中国数据

Comparitech与IT安全研究员Bob Diachenko一起发现了大量登录凭证，无需任何身份验证或安全性就可以公开访问。 

在2017年，HackRead独家报道了DoubleFlag，该黑客出售了从十多个中国互联网巨头（包括QQ，新浪和腾讯等）窃取的十亿个用户帐户。现在，已确定相同的数据托管在暴露的IP地址上。

根据Comparitech的博客文章，该数据库拥有超过27亿个电子邮件地址以及10亿个纯文本格式的密码。该数据库总共包含1.5 TB的数据，是网络罪犯进行垃圾邮件和其他恶意攻击的理想之选。

除了电子邮件地址和密码，记录还包含每个电子邮件地址的MD5，SHA1和SHA256哈希。Comparitech的Paul Bischoff在博客文章中写道，哈希是加密的文本（在这种情况下为电子邮件地址），具有固定长度。

该数据库于2019年12月1日在BinaryEdge搜索引擎上建立索引。无法确定数据库的所有者，因此Diachenko与ISP联系，在该ISP托管公开数据库的IP地址，并于12月9日关闭了对数据的访问。

但是，值得注意的是，数据库使用新记录更新了自身。例如，当数据库被识别时，它包含了26亿条记录，但是当研究人员对暴露的数据进行背景检查时，它增加到27亿条。

Comparitech研究人员强调的另一个重要方面是，中国用户经常使用他们的电话号码作为用户名，原因是该国几乎不会说英语，并且在识别英文字符方面存在明显的困难。因此，研究人员认为，大多数泄露的电子邮件地址都是基于用户的电话号码。 

在线暴露了27亿个电子邮件地址和纯文本密码

图片来自：Comparitech

下面提到在数据库中公开了其数据的域的完整列表：

网易：3.22亿条记录

腾讯：1.3亿封电子邮件

新浪：3,100万条记录

搜狐：2,300万条记录

数据库中还包含来自Tom Online，Eyou，Nate，Google（Gmail），Yahoo（YahooMail）和Hotmail（Hotmail.com）的一些数据。该列表正是HackRead在2017年报告的内容。

Bitglass的首席技术官Anurag Kahol告诉HackRead：“此事件的突出之处在于，大量可供公共访问的记录。受此事件影响的人数超过了最近的一次安全事故，当时另一个包含12亿条记录的数据库被 暴露了出来。”

“当大量的消费者信息遭到破坏时，它使网络犯罪分子能够执行针对性强的网络钓鱼活动。恶意参与者甚至可以使用这些大量的个人身份信息（PII）来劫持有权访问更敏感信息的特定帐户，包括银行，医疗保健和其他帐户。” Anurag说道。

消费者数据非常宝贵，因此必须有适当的控制措施来保护它。为了防止将来发生事件，组织必须利用解决方案实施实时访问控制，通过云安全状态管理检测错误配置，在以下位置加密敏感数据，从而拥有对客户数据（无论存储或访问位置）的完全可见性和控制权休息，管理与外部各方的数据共享，并防止数据泄漏。” Anurag解释说。

至于DoubleFlag，最初是此漏洞背后的黑客，也是Hansa和AlphaBay等暗网市场上其他几个大型数据列表的策划人。他们的一些列表包括Dropbox，BitcoinTalk.org，Mail.ru，Yandex.ru，Brazzers，Epic Games，ClixSense，Experian，WhoIs ，来自 11个单独的比特币论坛违规的用户帐户，以及美国蜂窝电话公司（US Cellular）等。

参考：

https://www.hackread.com/billion-email-addresses-plain-text-passwords-exposed-online/

https://www.comparitech.com/blog/information-security/2-7-billion-email-addresses-exposed-online/

点击图片阅读更多

混迹安全圈，每日必看！

原文始发于微信公众号（红数位）：27亿个电子邮件地址和纯文本密码在线暴露，含大量中国数据