База livejournal 2012 года (May/2012) ушла в паблик (33.7M записей)

[sporaw]

[TL;TR] Поведение LJ по отношению к пользователям крайне некорректное. Огромное число людей остаются в полном неведении и не знают (и не могут узнать) о глубине проблемы (33М+ пользователей - это не шутки, пароли в plain-text с привязкой к e-mail и профилям).

Сама база числится как 2017 год, но реально она - май 2012 (включительно); есть

Comments

[anonymous]

Поискал в твиттере по livejournal password и нашёл интересное https://twitter.com/Incle_Babies/status/1256811374744760321

Дал (скрепя сердце) етому avast hack check жежешное мыло, и он таки показал мне в плейнтексте жежешный пароль с пометкой "Leaked 23 May 2019"

[sporaw]

https://www.avast.com/hackcheck/

Ого, придурки из avast распространяют краденную информацию?
Нормальные же люди не пароли показывают, а факт наличия. Либо поиск обратный осуществляют (это хуже, т.к. это тоже leak)

Посмотрел - сразу не показывают, но на почту что-то шлют. Сейчас посмотрю - пока не приходит.

[anonymous]

По клику из почты показывает (там надо ещё нажать на иконку у закрытого звездочками пароля).

[sporaw]

Мне пока на почту не пришло ничего. Но верю

[anonymous]

они поступаются так же, как haveibeenpwned - шлют на почту список аккаунтов от этой почты

[buser]

НЕ краденое, а честно предоставленное пользователи их антивиря. Например.

[sporaw]

Нет.
Обычные слитые базы как всякие сайты "проверь себя"
У меня никогда не было Avast'а, а lj'шная база у них подключена.

[buser]

и она с боку

[anonymous]

Кстати, интересно, что у Avast другое количество записей (и год 2017-й):

"Details of attack

LiveJournal

30 485 836 accounts affected

In 2017, social network LiveJournal's database was allegedly breached. The stolen data contains passwords, email addresses and additional personal information. This breach is being privately shared in the dark web."

Утечек было несколько? Если безопасников у LJ нет, может быть, злоумышленники у них на серверах и сейчас пасутся :)

[sporaw]

Это та же база, просто почищенная от записей с пустыми паролями, скорее всего. (Пустые пароли на группах - видимо, для них пароли хранились в другом столбце).

База имеет имя 2017 год, но по информации (не знаю чем и насколько подтвержденной) данные все же 2014 года (т.е. всякие барыги могут сознательно "освежать", чтобы продать подороже, могли в 2017 продавать "свежак" от 2014 года; а в 2020-ом это уже по рукам пошло вообще).

Проверить это можно очень "просто": посмотреть на аккаунты определенных годов. Заведенные в эти годы. Если аккаунты за 2017 и ранее годы есть, а 2018 и позже нет - значит база 2017. Аналогично с 2016, 2015, 2014 и т.д.

Если у кого-то есть точно датированные аккаунты на примете - я могу поискать.

[hedeo]

Аналогичненько, пароль показывают.
23 May 2019