Troy Hunt, der Erfinder des Dienstes zur Überprüfung von kompromittierten Passwörtern „Have I Been Pwned“ (haveibeenpwned.com), erhielt Informationen über den Leak der Benutzerdatenbank der Organisation Internet Archive (archive.org), die den Zustand der Websites archived und die größte Bibliothek digitaler Inhalte unterstützt. Die Angreifer übergaben Troy ein SQL-Dump, das Konten von 31 Millionen Nutzern von archive.org umfasst. Außerdem wurde ein JavaScript-Code in die Website archive.org injiziert, der ein Popup-Fenster mit Informationen über den Hack anzeigt.
Die Warnung über den Leak wurde an die Verwaltung von archive.org weitergeleitet, aber bisher wurden keine offiziellen Erklärungen oder Stellungnahmen veröffentlicht (auf Twitter gibt es bisher nur Retweets). Der in die Hände von Forschern gefallene SQL-Dump der Datenbank des Dienstes umfasst mehr als 6 GB und enthält unter anderem Passwort-Hashes im bcrypt-Format, das Datum der Passwortänderung, die E-Mail-Adresse und den Benutzernamen. Der aktuellste Eintrag in der Datenbank stammt vom 28. September.
Die Aktualität der Datenbank wurde vom bekannten Sicherheitsexperten Scott Helme bestätigt, dessen Passwort-Hash und Änderungsdatum aus dem geleakten SQL-Dump mit den Daten aus seinem Passwortmanager übereinstimmten. Die Kompromittierung seiner Konten kann über den Dienst haveibeenpwned.com überprüft werden, in den bereits Informationen aus der geleakten Datenbank von archive.org aufgenommen wurden. Insgesamt deckt die Überprüfung bei haveibeenpwned.com 14 Milliarden Passwörter ab und enthält Informationen über Hacks von 817 Websites.
Quelle: opennet.ru
