БЛОГ / КОММЕНТАРИИ

Гигантская утечка логинов-паролей

Интернет

19.06.2025 18:30

Комментарии 129

Расходимся
19 июня 2025 года источники сообщили о попадании в открытый доступ 16 млрд учётных записей многих популярных интернет-сервисов. Согласно сообщениям экспертов, большинство данных были опубликованы впервые. Подобное должно было заставить всех неравнодушных к своим аккаунтам пользователей отреагировать на угрозу, поменяв пароли и логины. Но когда страсти немного улеглись, выяснилось, что данная утечка — это всего лишь многолетний сборник устаревших архивов.
3dnews.ru

satyr

21.06.25 10:34

0 1

То есть надо поверить, что компании, на чьи решения авторизации полагаються 95% сайтов (авторизация через Гугл, Фаесбук) были взломаны и хранили пароли в открытом виде, а не хеши з отдельними "salts" ? Не верю. Тогда кому вигоден такой хайп? Мой ответ - самим хакерам. Сейчас они снимают сливки на фишинге смены паролей, а мы все подыграли им

MozhMike

20.06.25 16:58

1 3

Если хром скажет что мой пароль в базе - поменяю, до тех пор не вижу смысла. Тем более что в нормальных сервисах двойная авторизация

aka_mik

20.06.25 09:44

0 5

«Утечка 16 миллиардов паролей» оказалась сборником старых данных
"19 июня 2025 года в СМИ появилась громкая и тревожная новость о так называемой «матери всех утечек». Однако, как выяснилось, речь идет вовсе не о новой хакерской атаке, а о масштабной подборке уже ранее скомпрометированных учетных данных."

solostudios

20.06.25 09:38

0 7

О, а у люди здесь в комментах уже свидетельство о рождении меняют! )

Exorcist

solostudios

20.06.25 10:13

0 8

| О, а у люди здесь в комментах уже свидетельство о рождении меняют! )

Ну так на здоровье, чем бы дитя не тешилось...

...лишь бы не играло в подвижные игры на проезжей части дороги.

solostudios

Exorcist

20.06.25 10:28

0 0

чем бы дитя не тешилось...

чем бы дитя ни тешилось...

Рекорд Надоев

solostudios

20.06.25 13:19

2 4

Спасибо. Забываеццо оно в заграницах, ска.

solostudios

Рекорд Надоев

20.06.25 13:51

0 0

У меня уже давно везде где можно включена двухфакторная авторизация, даже если ввести пароль, нужно будет подтвердить вход через телефон.

dinjek

20.06.25 09:10

0 1

Бедные хакеры, которым с этим массивом работать.
3.5млрд записей - столько кличек собак, дней рождений вообще есть в природе?

ididitagain

20.06.25 09:07

0 2

дней рождений вообще есть в природе?

Дней рождения в природе свыше 7 миллиардов.

Не все они уникальные, конечно -- ну так никто и не обещал, что в базе нет повторяющихся паролей. 😄

aldor

ididitagain

20.06.25 09:39

0 0

А зря. Надо так:

Vinny_The_Poo

aldor

20.06.25 18:53

0 2

Столкнулся с тем, что надо коротенькое и простое руководство для чайников по Bitwarden (родные и знакомые кролика) Ан нету! Может кто натыкался?

Dieliz

20.06.25 08:53

1 0

Ммм, а чего там особо нужно понимать?
Спрашивайте, отвечу!

urix

Dieliz

20.06.25 11:50

0 0

Регаешься, придумываешь хороший мастер-пароль, ставишь аддон в браузер и апп на мобилу, пользуешься. Там каких-то особенностей ноль

phanex

Dieliz

21.06.25 00:08

0 0

Вы, простите, в каком мире живёте? Для бабушек, до и вполне моим одноклассникам (которым, правда тоже уже за 60) нужно тупо по шагам с картинками. Самому некогда, да и честно говоря лень. Хватило руководства по подключению VPN)))

Dieliz

phanex

21.06.25 10:01

0 0

если честно я задолбался менять пароли

уже давно игнорирую такие взломы
ничего секретного у меня нет
и пофиг будь что будет

saveli

20.06.25 08:28

0 3

В любой непонятной ситуации срочно менять пароли.

Капитан Африка

20.06.25 08:23

0 3

В итоге:
Журналист/учёные/изнасилование - "да".
Поменять пароли - "да"
Беспокоиться - "умеренно"

Sergy_B

20.06.25 06:28

0 5

Опять ученый изнасиловал журналиста

bblu

20.06.25 03:29

0 10

В общем-то, меня Робоформ устраивает, но решил попробовать Bitwarden. Зашёл на сайт, зарегистрировался, мастер-пароль создал. Здесь проблем не было. Но вот дальше начались чудеса: решил поставить расширение под Firefox. По ссылке установил, начинаю логиниться - фигвам. Постоянно сообщает, что мастер-пароль неверный. Это при том, что я его через Ctrl-C/Ctrl-V вставляю. Неверный - и всё тут. Прям исламский фанатик, а не расширение. Ладно, пошёл в личный кабинет, там поменял мамстер-пароль. Старый принял без вопросов - значит, верный вводил! Начинаю вводить новый, опять те же Фаберже вид в профиль.
Ладно, думаю, расширение кривое. Скачал утилиту под Винду 11, установил. Начинаю логиниться - опять "неверный пароль".
Спасибо за рекомендацию, но я лучше останусь на Робоформ.

don_ald

20.06.25 01:37

3 0

Учитывая, на скольких компах, браузерах и системах я свой гоняю, не испытывая ни малейших сложностей, проблема тут где-то со стороны пользовательской машины.

Как в том анекдоте про "куда ни ткну пальцем - болит".

Ну да ладно, не подошло так не подошло.

phanex

don_ald

20.06.25 07:15

0 6

Как в том анекдоте про "куда ни ткну пальцем - болит".

Может, буфер обмена у человека специфичный.

xoxol

phanex

20.06.25 11:27

0 0

То есть, в личном кабинете мастер-пароль правильный, а в приложениях неверный - это у меня что-то не так, а не в консерватории.
Я, кстати, два аккаунта на разные почтовые ящики зарегистрировал, одни в зоне RU, второй на гмыле. С обоими аккаунтами такая хрень.

don_ald

phanex

20.06.25 13:23

0 0

Не, не в консерватории как не странно, я тоже на этом подвис сначала, потом понял что правильный сервер надо выбрать при логине, их 2. US и EU.

Glazier

don_ald

20.06.25 14:09

0 0

Вот я сдуру два первых акка на европейский сервер зарегистрировал. Сделал третий, на американский, там всё работает.

don_ald

Glazier

20.06.25 17:11

0 0

То есть, к примеру, стоит что-то, что гадит. А при заходе на сайт не гадит.
Что может быть - да хез. Варианта два - разбираться или забить.

phanex

don_ald

21.06.25 00:06

0 0

Ну, к счастью давно переполз на самохостинг. Сплошные плюсы.

phanex

Glazier

21.06.25 00:07

0 0

Я пароли поменял от греха, и вам рекомендую сделать то же самое. Надежный менеджер паролей - наше всё!

Насколько я понял, это не утечки, а база собранная троянами, фишингом и малварями у лопоухих пользователей. Скорее всего журналюги путают утечку с фишингом.
Так что пока бздеть рано. Да и вообще самые важные штуки как правило защищены двухфакторкой. Ну утекли, например, мои пароли от Гугла и Телеграма, а как злоумышленник собирается логиниться по ним без моего телефона?

benderunit2000

19.06.25 22:53

2 9

Почитайте про AiTM атаки и кражу токенов

Happy_User

benderunit2000

20.06.25 00:49

8 0

Почитайте про AiTM атаки и кражу токенов

Если злоумышленнику удалось перехватить ваши сессии, то тем более пофиг на утекшие пароли. Они им вообще не нужны в этом случае.

benderunit2000

Happy_User

20.06.25 03:06

0 9

А где пруф и ссылки?
Как-то не особо доверительная инфа.

avgur

19.06.25 22:46

0 3

На реддите писали, что, несмотря на слова Cybernews, данные в основном старые, и повторяющиеся.

dredkin

avgur

20.06.25 01:29

0 3

По три пароля на каждого жителя планеты, не многовато ли?

MM2

19.06.25 21:58

0 2

Не по три пароля, а по три аккаунта на некие сервисы. У меня штук сто аккаунтов, из тех что "живы", а за всю жизнь я создал штук пятьсот.

Slavva

MM2

19.06.25 22:21

0 2

В панике стал менять пароли на всех 9-ти гугловских аккаунтах. На самых главных все прошло ОК, а на тех, что не так уж и важны - хрен: постоянно возникали ошибки на разных этапах. Ну и х. с ними. Правда, один их них - для Пэйпала, но я им уже лет 8 не пользуюсь.

Monteckel

19.06.25 21:39

0 0

у меня их сотни! все менять?

Duginov°

19.06.25 21:03

0 1

Наверное, хотя бы те, которые критично потерять. Для ориентира:
"Утечка объемом в 16 млрд данных, размещённая в нескольких сверхмассивных наборах, включает миллиарды учётных данных для входа в соцсети, VPN, порталы разработчиков и учетные записи пользователей всех основных поставщиков. <…> Большая часть этой информации структурирована в формате URL-адреса, за которым следуют логин и пароль. Эта информация, по словам исследователей, открывает доступ к “практически любому онлайн-сервису, который только можно вообразить, от Apple, Facebook и Google до GitHub, Telegram и различных государственных служб”." (Отсюда.)

tenerife

Duginov°

19.06.25 21:48

0 0

В РФ все идет к тому, что все пароли исчезнут. Крупные сервисы ненавязчиво опрашивают пользователей, на сколько они возрадуются, если теперь вся авторизация теперь будет происходить через Госуслуги. Специально под это ужесточают законодательство о хранении персональных данных.
Обыватель рад и обеими руками за. Вот только не представляет, какой лютый звиздец ему настанет, если его учетку на Госуслугах заблокируют. Ни банков, ни почты, ни онлайн-бизнеса, ни медицинских услуг, ни такси, ни даже самоката.

Svertigo

19.06.25 21:00

1 7

... ни покупок онлайн.
Но все равно это произойдет под видом защиты нашей приватности)))

Svertigo

Humanoid

19.06.25 21:03

0 5

В РФ все идет к тому, что все пароли исчезнут.

Humanoid

Svertigo

19.06.25 21:04

0 25

Обыватель рад и обеими руками за. Вот только не представляет, какой лютый звиздец ему настанет, если его учетку на Госуслугах заблокируют. Ни банков, ни почты, ни онлайн-бизнеса, ни медицинских услуг, ни такси, ни даже самоката.

Или аккаунт на Госуслугах уведут мошенники, что часто случается при дырявой системе безопасности Госуслуг.

Martin

Svertigo

19.06.25 22:54

0 1

Или аккаунт на Госуслугах уведут мошенники, что часто случается при дырявой системе безопасности Госуслуг.

Мошенники - детский лепет по сравнению с тем, что государство тебя признает нежелательным элементом. Судиться можно годами. Правда, чтобы в суд подать, нужен доступ к Госуслугам.

Svertigo

Martin

19.06.25 23:12

0 2

В РФ все идет к тому, что все пароли исчезнут.

Так и в не-РФ уже исчезают. Вот только за последний месяц несколько сайтов/приложений принудительного перешли к отправке кода на е-мейл или телефонный номер вместо пароля.

Suddenly

Svertigo

20.06.25 00:57

0 1

Прикольно... у меня налички нет на кармане уже несколько лет. Вру - 5ти рублевая бумажка лежит вместе с правами и полисом осаго))

Sergy_B

Svertigo

20.06.25 06:16

1 0

Зря.
В славном городе Петербург нынче проводится пмэф, простите за упоминание. В районе аэропорта вчера вечером отключили сотовую связь, вообще, полностью. Это был коллапс, люди без наличных денег просто не могли уехать из аэропорта по часу - такси не вызвать и не оплатить, а автобусов катастрофически не хватало.

Slavva

Sergy_B

20.06.25 07:17

0 5

Это был коллапс, люди без наличных денег просто не могли уехать из аэропорта по часу - такси не вызвать и не оплатить, а автобусов катастрофически не хватало.

И как в этом случае помогает наличка, если такси не вызвать? Стоять махать купюрой на трассе? С оплатой товаров аналогично - с той стороны в 90% случаев онлайн кассы, которые без связи тебе тупо ничего не пробьют. Так что только "серые схемы" остаются.

Khul

Slavva

20.06.25 08:29

0 0

И как в этом случае помогает наличка, если такси не вызвать?

В аэропорту не дежурят такси? Не может такого быть.

Suddenly

Khul

20.06.25 09:06

0 3

При оплате наличкой кассе быть онлайн не нужно.

sgl

Khul

20.06.25 09:06

0 1

При оплате наличкой кассе быть онлайн не нужно.

А других касс у многих уже нет.

Khul

sgl

20.06.25 09:15

0 0

И как в этом случае помогает наличка, если такси не вызвать? Стоять махать купюрой на трассе?

Да. Только рукой, а не купюрой. Купюра потребуется позже, чтобы расплатиться. Напоминаю, что до появления мобильных сервисов вызова такси все именно так и делали.

aldor

Khul

20.06.25 09:16

0 3

Да. Только рукой, а не купюрой.

А еще телефонными справочниками пользовались в телефонных будках, а теперь это распространение персональных данных третьим лицам. 😉

Khul

aldor

20.06.25 09:50

2 0

Напоминаю, что до появления мобильных сервисов вызова такси все именно так и делали.

а после их появления никто уже не курсирует высматривая поднятые руки.

Goga

aldor

20.06.25 09:52

0 0

В аэропорту не дежурят такси? Не может такого быть.

вы у них цену спрашивали? 😄

Goga

Suddenly

20.06.25 09:52

0 1

В аэропорту не дежурят такси? Не может такого быть.

Уже давно как нет. Не могут себе позволить оплатить стоянку на территории терминала как правило.
А те кто пытался и включал стоимость парковки в стоимость поездки вымерли не выдержав конкуренции с вызываемыми сервисами. Как смысл платить условные $100 дежурному такси, если можно вызвать машину по прилету и уехать в два раза дешевле?

Khul

Suddenly

20.06.25 10:14

0 0

Вот-вот, я и призадумался... Но это реально, наличка мне ни разу до сих пор годами не нужна была.

Sergy_B

Slavva

20.06.25 11:36

0 0

вы у них цену спрашивали? 😄

Вам шашечки или ехать?

Suddenly

Goga

20.06.25 15:07

0 0

Уже давно как нет.

Suddenly

Khul

20.06.25 15:09

0 0

А еще телефонными справочниками пользовались в телефонных будках

это когда же в совке справочники в будках лежали? Здесь вам не америца!

Goga

Khul

20.06.25 18:12

0 0

а после их появления никто уже не курсирует высматривая поднятые руки.

На этом рынке предложение появится примерно через пятнадцать минут после появления спроса.

aldor

Goga

20.06.25 21:05

0 2

На этом рынке предложение появится примерно через пятнадцать минут после появления спроса.

сильно сомневаюсь. В текущей ситуации вполне есть спрос уехать дешевле цены перевозчика. Но желаний не появляется ни с той ни с другой стороны. Культура утрачена 😄

Goga

aldor

20.06.25 22:51

0 0

В текущей ситуации вполне есть спрос уехать дешевле цены перевозчика.

Так дешевле никакой дурак не повезет. Перевозчик потому и может держать такие низкие цены, что инфраструктура онлайн-заказов позволяет каждому водителю возить людей практически непрерывно, с минимумом холостого пробега. Никакой неорганизованный бомбила с этим конкурировать неспособен. Если перевозчик почему-то накроется, цены тут же скакнут раза в три, и бомбить снова станет рентабельно.

aldor

Goga

22.06.25 00:08

0 0

В хроме можно проверить, утек пароль или нет.
Если есть сомнение можно запомнить пароль в хроме, потом проверить на утечку, потом из хрома удалить.

dynd57

19.06.25 20:36

0 0

В хроме можно проверить, утек пароль или нет

не "утёк или нет", а знает ли про него гуголь. Это, кстати, хорошее место откуда они действительно могли утечь.

проверить на утечку, потом из хрома удалить.

но гуголь про него всё равно уже будет знать 😄

Goga

dynd57

19.06.25 23:20

0 0

Из Гугла оно утечь не могло. В политбюро не дураки сидят. Eсли мы с вами знаем про утечку, у Гугла эта база уже есть и не исключено, что и давно.

"но гуголь про него всё равно уже будет знать"
А он и так типа "знает" если вы пароль в хром вводили или у вас телефон Андройд.
А если у вас все строго Эпл, то наверное такое есть и в Сафари

dynd57

Goga

19.06.25 23:56

0 0

А он и так типа "знает" если вы пароль в хром вводили или у вас телефон Андройд.

Он каждый раз спрашивает, запоминать ли пароль или нет.

Suddenly

dynd57

20.06.25 00:58

0 0

Ну это он Вас спрашивает. Запоминать ли в Вашем хранилище паролей.
А если Гугл такой злобный он сам при желании уже давно мог бы его себе скопировать, только вам не говорить.

dynd57

Suddenly

20.06.25 01:06

0 1

Из Гугла оно утечь не могло.

не из гугла, а из хрома и где он там хранит пароли. В облаке, да.

А он и так типа "знает" если вы пароль в хром вводили

если надали на "сохранить", то да. Именно.

если у вас все строго Эпл, то наверное такое есть и в Сафари

не в саыари, но можно сохранить в кичейне или как оно там.

Goga

dynd57

20.06.25 07:37

1 0

Это, кстати, хорошее место откуда они действительно могли утечь.

Эмм.. нет. Не могли. Никто не хранит ваши пароли в открытом виде.

и где он там хранит пароли. В облаке, да.

Он нигде не хранит пароли. Ни один нормальный сервис на своей стороне ваши пароли не хранит.

Khul

Goga

20.06.25 08:33

0 0

А если Гугл такой злобный он сам при желании уже давно мог бы его себе скопировать, только вам не говорить.

Ну так при желании он вообще может снять деньги со всех моих карт и ещё много чего сделать.

Suddenly

dynd57

20.06.25 09:19

0 0

Эмм.. нет. Не могли. Никто не хранит ваши пароли в открытом виде.

наверное, шифрует, но это не особо важно.

Он нигде не хранит пароли. Ни один нормальный сервис на своей стороне ваши пароли не хранит

ни один менеджер паролей не хранит пароли? И как же они работают? Святым духом? Угу.

Goga

Khul

20.06.25 09:54

0 0

Ну да. Так что на 5 секунд сохранить пароль не так страшно.

В Гугловском облаке сохраненные пароли конечно хранятся, но выкововырить их оттуда.... Если бы кто-то смог это была бы по крайней мере главная новость в мире. Главнее иранской и украинской войн.

dynd57

Suddenly

20.06.25 10:00

0 0

ни один менеджер паролей не хранит пароли? И как же они работают? Святым духом? Угу.

Зачем вы смешиваете в одну кучу локальный менеджер паролей и онлайновый сервис?
Так вот, онлайновые сервисы в которые вы авторизуетесь нигде ваш пароль не хранят.

Khul

Goga

20.06.25 10:41

0 0

Зачем вы смешиваете в одну кучу локальный менеджер паролей и онлайновый сервис?

вы не забыли, мы тут про хром и егойный менеджер паролей говорим?..

Goga

Khul

20.06.25 18:15

0 0

Шансы что были слиты акки с паролями напрямую из сервисов околонулевые.

FeNUMe

19.06.25 20:34

0 8

Facebook*

раз уж вам пофиг на иноагенство, то звездочку ставить не обязательно

Zardoz

19.06.25 20:16

0 2

раз уж вам пофиг на иноагенство, то звездочку ставить не обязательно

Очевидно же, что это copy&paste

redrum

Zardoz

19.06.25 20:50

0 3

А вам не кажется, что это просто подпитка намерения Гугл отказаться от паролей вообще? С недавних пор они же продвигают идеи замены паролей на ключи. И так как пользователи особо не чешутся, их решили искусственно к этому принудить.

BorNeo

19.06.25 20:12

1 1

Я хреново в этом разбираюсь (я с другого факультета) но сайт Haveibeenpwoned пишет что адрес эл. почты был скомпроментирован еще в январе 2023 года.
Двухфакторка стоит, пароль не 12345)
Что посоветуете, камрады?

Mykhaylo

19.06.25 19:42

1 0

Смени, минутное дело. Практического смысла нет, но сон будет спокойней 😉

Slavva

Mykhaylo

19.06.25 19:52

0 2

Вот как раз из клиентских машин, включительно с менеджерами паролей, оно видимо и собрало.
Я так думаю что никакой одновременной утечки не было – исследователи надыбали какие-то массивы данны в даркнете. Мне время от времени горе-исследователи присылают "Ваг сайт потек!" и набор УРЛ-имя-пароль. Чаще всего УРЛы не имеют смысла (нет аутентификации от слова совсем), а если УРД правильный то чаще всего пароль от фонаря. Где то процентов 20 только реальные. Но я четко знаю что у нас это потечь не могло, потому что мы если и храним то, как и все умные люди – только необратимые посоленные хеши паролей. Утечка которых а) ничего не даст, б) восстановить пароль из хеша невозможно. Т.е. эти данные собраны малварью на компах конечных пользователей. Думаю об таких массивах данных речь и идет.

sergiy.fakas

19.06.25 19:22

0 5

Я так думаю что никакой одновременной утечки не было – исследователи надыбали какие-то массивы данны в даркнете

Совершенно верно, это не разовая утечка, а консолидированный отчёт о длительном мониторинге.

Our team has been closely monitoring the web since the beginning of the year. So far, they’ve discovered 30 exposed datasets containing from tens of millions to over 3.5 billion records each. In total, the researchers uncovered an unimaginable 16 billion records.

CaptainFlint

sergiy.fakas

19.06.25 19:24

0 3

От себя добавлю - мне несколько раз "показывали" таки базы, и много раз пробовали проверить реальные это данные или нет. Ни разу не получилось.

Slavva

sergiy.fakas

19.06.25 19:26

0 2

ну у нас пара паролей подошли 😄. Но там явно утечка от юзверей а пароли были к форуму девелоперов нашего опенсорсного продукта 😄. Ну очень ценные пароли.

sergiy.fakas

Slavva

19.06.25 19:29

0 0

Так утекли после сбора стилером. Менеджер бессилен. Нужно чистить систему.

Roobbi

19.06.25 19:07

0 1

Я не до конца понял, у всех этих сервисов пароли хранятся в явном текстовом виде, что ли? Т.е. что именно было утащено?

igori-san°

19.06.25 19:03

0 12

что именно было утащено?

Это знают только мифические "специалисты в сфере кибербезопасности".

Regs

igori-san°

19.06.25 19:16

0 11

Да нет конечно.
Запрет хранить хоть что то в явном виде рассказывается на первой лекции и повторяется многократно. Т.е. вот не вижу я ситуации когда несколько крупных игроков хранят что то в явном виде и это все уплывает. Быстрее поверю в прилёт инопланетян на базу 51.

Slavva

igori-san°

19.06.25 19:20

0 2

Да нет конечно.Запрет хранить хоть что то в явном виде рассказывается на первой лекции и повторяется многократно. Т.е. вот не вижу я ситуации когда несколько крупных игроков хранят что то в явном виде и это все уплывает. Быстрее поверю в прилёт инопланетян на базу 51.

Нет конечно. Дураков нет. Это массивы данных собранные малварью на компах пользователей. Ну и думаю изрядно разбавленные лажой.

sergiy.fakas

Slavva

19.06.25 19:23

1 0

Должно быть захэшировано усё, нет? Надо поменять, на всяк сл.

runcyclexcski

igori-san°

19.06.25 19:26

0 0

Я не до конца понял, у всех этих сервисов пароли хранятся в явном текстовом виде, что ли?

У меня работодатель был сильно удивлен и даже возмущен тем фактом, что я не могу подсказать его пароль, а могу только сменить его. Вроде убедили, что хранить пароли plain text-ом абсолютно недопустимо, хотя полностью в "убедили" не уверен.

Впрочем, простительно, он от программирования далек, как декабристы от народа.

Keeper

igori-san°

19.06.25 20:52

0 4

не могу подсказать его пароль, а могу только сменить его.
хранить пароли plain text-ом абсолютно недопустимо

Два совершенно не связанных утверждения - пароль можно хранить зашифрованным. Но лучше действительно - не подбираемый за разумное время хэш.

Paskin

Keeper

19.06.25 21:14

0 0

пароль можно хранить зашифрованным

Ммм... Нет, если я правильно понял эту фразу.
Никакого обратимого шифрования, только хеш.

Keeper

Paskin

19.06.25 22:06

0 5

Шляпа какая-то. Пароли у Гугла с эпплом хранятся явно не в текстовом виде.

_Serge

igori-san°

19.06.25 22:48

0 0

Нет, если я правильно понял эту фразу.

«Можно» в смысле «возможно физически». Это будет и не plain text, и подсказка пароля возможна. То, что это очень плохая идея — никто не спорит.

Mit

Keeper

19.06.25 22:56

0 0

Никакого обратимого шифрования, только хеш.

в менеджере паролей - можно. 😉

Goga

Keeper

19.06.25 23:24

0 1

Например (не утверждаю, что так и было, но первое что приходит в голову): в ломаной винде стоит малварь. Она слушает клавиатуру и следит за клипбордом. Когда попадается что-нибудь похожее на логин-пароль, запоминает и время от времени шлет куда надо.
Так даже если вы храните пароли в менеджерах и зашифрованими, в момент копирования и вставки в роле ввода они утекают.
Другой вариант - плагин в браузере, который помимо заявленной функции просматривает каждую открываемую страницу на предмет кредов.
Вот так по крупицам и насобирали.
Т.е. дело не в том, как хранятся пароли, а в том, что многие пренебрегают гигиеной и ставят ПО из стремных источников. А потом креды утекают.
И да, 2FA и биометрия это важно и полезно.

Andrew S

igori-san°

19.06.25 23:48

0 2

Третий вариант: в неломанной винде с официальным софтом на ноутбуке HP драйвер звуковой карты собирает все нажатия клавиш и пишет их в незашифрованный текстовый файл в глубинах своего каталога. Когда это обнаруживают, HP говорит "Ой, мы забыли там дебаг-режим выключить..." 😄

deadkitten

Andrew S

20.06.25 07:03

0 6

"Смешная шутка", подумал я, но решил погуглить. Нашел. Эээ. это не шутка. Ешки-матрешки. 😲

reptiloid_leonid

deadkitten

20.06.25 15:52

0 2

А не из менеджера паролей ли утечка?
P.S. Алекс, огромное спасибо.

Esoom Live

19.06.25 19:01

1 5

Сильно похоже на вброс. Разные компании, все основные игроки на рынке, одновременно....

_WW

19.06.25 18:54

0 22

Всегда не мог понять, а что есть идиоты, кто хранят сами пароли, а не хэши к ним? А толку с этих хэшей при утечке, пароль же все равно не узнаешь?

Nitro Junkie

19.06.25 18:44

4 3

Хэши взламываются, тут вопрос вычислительных мощностей, сложности пароля и времени.

wortkarg

Nitro Junkie

19.06.25 18:48

6 0

Хэши взламываются, тут вопрос вычислительных мощностей, сложности пароля и времени.

вряд ли у кого-то есть возможность подобрать коллизии к 16 млрд хешей.

Goga

wortkarg

19.06.25 18:52

0 13

Всегда не мог понять, а что есть идиоты, кто хранят сами пароли, а не хэши к ним?

наверняка, есть. Но в данной новости утверждается, что эти идиоты - гуголь, эпл, фейсбук, инстаграм и другие.

А толку с этих хэшей при утечке, пароль же все равно не узнаешь?

там утверждается, что в базу содержатся именно пароли, а не какие-то там хеши.

Сдаётся мне, что это лишь способ создать панику, а под панику уже, например, рассылать фишинговые письма от якобы гугло-фейсбуков, что - ой, ваш пароль утёк, поменяйте, вот ссылочка...

Goga

Nitro Junkie

19.06.25 18:59

0 5

там утверждается, что в базу содержатся именно пароли, а не какие-то там хеши.

Вот мне и непонятно, как они умудрились? Массированная "man-in-the-middle"?

igori-san°

Goga

19.06.25 19:07

0 1

А расскажите мне, как во вменяемые сроки взломать 100 паролей по 8 знаков каждый имея только хэш собранный с солью?
Нет, я серьёзно, вот имея чуточку представления как и что, я не понимаю как и на каких вычислительных мощностях это можно сделать.

Slavva

wortkarg

19.06.25 19:16

0 12

Первоисточник говорит, что с большой вероятностью это результат кражи с заражённых клиентских машин.

cybernews.com

Several collections of login credentials reveal one of the largest data breaches in history, totaling a humongous 16 billion exposed login credentials. The data most likely originates from various infostealers.

CaptainFlint

igori-san°

19.06.25 19:23

0 3

Хэши взламываются, тут вопрос вычислительных мощностей, сложности пароля и времени.

А посоленные хеши?

sergiy.fakas

wortkarg

19.06.25 19:23

0 0

Первоисточник говорит, что с большой вероятностью это результат кражи с заражённых клиентских машин.cybernews.com

Да, скорее всего. И массивы эти собирались давно. Мне такую лажу бравые индусские секюрети ресерчеры время от времени присылают. С УРЛами на которых нет никакой аутентификации или левыми паролями.

sergiy.fakas

CaptainFlint

19.06.25 19:25

0 2

А расскажите мне, как во вменяемые сроки взломать 100 паролей по 8 знаков каждый имея только хэш собранный с солью?

Зависит от методологии и сложности пароля. 8-знаковый пароль взламывается от 37 сек до 7 лет простым перебором, в зависимости от сложности пароля. ИИ взламывает от 0 сек до 7 часов.

Естественно, что никто не будет взламывать миллиарды хэшей, по крайней мере не сложные пароли (по самым простым могут пройтись).

Ну и в данном случае речь идёт не об утечке хэшей, насколько я понимаю, а об открытых паролях, которые были украдены при помощи всяких троянов.

wortkarg

Slavva

19.06.25 19:42

0 1

Вы написали: "Хэши взламываются".
Все современные хэши делают с солью, с допинформацией, которая как раз делает перебор ну вот единственным вариантом. Перебрать 8ми значный с допданными - да вперёд и с песней!

Slavva

wortkarg

19.06.25 19:56

0 2

По первой ссылке таблица с шифрованием паролей bcrypt, это современная система шифрования, которая используется практически везде. Соль у неё встроена в хэш, там всё в одной строке.

Более-менее сложный 8-значный пароль никто вскрывать не будет, на это минимум месяцы понадобятся, а то и годы, но если это какой-то популярный пароль (а их часто используют) или пароль состоит только из цифр или букв одного регистра, взломать могут довольно быстро.

Если кому-то попадутся массово хэши и есть ресурсы и желание на их взлом, то просто отловят самые простые, а со сложными заморачиваться не будут (разве что с паролями каких-то известных людей).

PS: повторюсь, в данном случае речь не об утечке хэшей, судя по всему, а о паролях, полученных троянами.

wortkarg

Slavva

19.06.25 20:22

1 1

ИИ взламывает

ии не взламывает. Там просто генератор.

Goga

wortkarg

19.06.25 20:56

0 1

Вот мне и непонятно, как они умудрились? Массированная "man-in-the-middle"?

массированный фейк, скорее всего. Но разбавленный и настоящими украденными.

Goga

igori-san°

19.06.25 20:57

0 1

Хэши взламываются, тут вопрос вычислительных мощностей

Так это же не хэши паролей хранятся, а хэши солёных(!) паролей (password + salt)!
Толку-то что вы подберёте пароль, подходящий к утекшему хэшу, сервис его посолит и всё пойдёт лесом...

osovitskiy

wortkarg

19.06.25 21:34

0 3

Так это же не хэши паролей хранятся, а хэши солёных(!) паролей (password + salt)! Толку-то что вы подберёте пароль, подходящий к утекшему хэшу, сервис его посолит и всё пойдёт лесом...

Маленькое уточнение.
Вы подберите не пароль, а некую конструкцию которая представляет собой пароль и допстроку. Теоретически можно из этой информации можно выдернуть сам пароль, если есть понимание как смешан пароль и допстрока.
И дальше есть еще одна тонкость, в данном случае говоря пароль + допстрока, нужно понимать некую последовательность символов, которые при хэшировании дали набор идентичный хэшу, но не факт (!) что это был именно тот самый пароль 😀

Slavva

osovitskiy

19.06.25 21:48

0 0

ии не взламывает. Там просто генератор.

ИИ нужен для умного подбора паролей, чтобы не тупо проверять все вариации перебором символов, а сначала проверить какие-то более популярные/вероятные пароли.

wortkarg

Goga

19.06.25 22:02

2 0

Так это же не хэши паролей хранятся, а хэши солёных(!) паролей (password + salt)!

Я выше давал ссылку на таблицу времени взлома паролей, зашифрованных bcrypt (это наиболее популярная и современная система шифрования), в bcrypt хэш и соль в одной строке и всё это взламывается. Другое дело, что сложные пароли в 8+ символов взламывать можно годами, но все ли пароли сложные, вот в чём вопрос.

wortkarg

osovitskiy

19.06.25 22:07

1 0

А теперь подробнее пожалуйста. Как подбор по базам работает если хэшировании с солью идёт.

Slavva

wortkarg

19.06.25 22:15

0 1

Вы видимо не очень правильно понимаете как это работает.

Slavva

wortkarg

19.06.25 22:17

1 0

А теперь подробнее пожалуйста. Как подбор по базам работает если хэшировании с солью идёт.

Речь не идёт о прямом подборе по базам, с солью это не работает, речь о том, чтобы из списка паролей на проверку (всех возможных комбинаций символов) приоритизировать наиболее простые. По сути нам нужно угадать не только пароль, но и соль, а поскольку простые пароли быстро находятся, имеет смысл угадывать перебором соль для простых паролей.

wortkarg

Slavva

19.06.25 22:54

0 0

Соль угадывать не надо, она там плейн-текстом хранится. Иначе сам сервер не сможет хэш вычислить, не зная соли.

CaptainFlint

wortkarg

19.06.25 23:11

0 0

Да, точно, туплю.

wortkarg

CaptainFlint

19.06.25 23:22

0 0

не тупо проверять все вариации перебором символов, а сначала проверить какие-то более популярные/вероятные пароли.

все парольные рипперы сначала проверяют на более частые парольные комбинации. И можно задавать свои словари и свои правила для генерации. А, вот когда эти варианты исчерпаны, подключают полный перебор.

Goga

wortkarg

19.06.25 23:30

0 0

Большое спасибо, Алекс, за информацию, надо будет поменять пароли.

Martin

19.06.25 18:38

0 1

Большое спасибо, Алекс, за информацию, надо будет поменять пароли.

Скорее всего не стоит. Если у Вас двухфакторная аутентификация так тем более.

sergiy.fakas

Martin