Troy Hunt, criador do serviço de verificação de senhas comprometidas "Have I Been Pwned" (haveibeenpwned.com), recebeu informações sobre a violação da base de dados de usuários da organização Internet Archive (archive.org), que mantém um arquivo do estado dos sites e a maior biblioteca de conteúdo digitalizado. Os atacantes forneceram a Troy um dump SQL, incluindo contas de 31 milhões de usuários do archive.org. Além disso, foi registrada a injeção de um código JavaScript no site archive.org, que exibe uma janela pop-up com informações sobre a violação.
O alerta sobre a violação foi encaminhado à administração do archive.org, mas até o momento não foram publicadas declarações ou esclarecimentos oficiais (no Twitter, apenas repostas). O dump SQL do banco de dados do serviço, que caiu nas mãos dos investigadores, ocupa mais de 6 GB e inclui, entre outras coisas, hashes de senhas de usuários no formato bcrypt, data de alteração da senha, e-mail e nome de usuário. A entrada mais recente no banco de dados é datada de 28 de setembro.
A validade do banco de dados foi confirmada pelo conhecido pesquisador de segurança Scott Helme, cujo hash de senha e data de alteração do dump SQL vazado coincidiram com os dados de seu gerenciador de senhas. A comprometimento de suas contas pode ser verificada através do serviço haveibeenpwned.com, que já incluiu informações do banco de dados vazado do archive.org. De uma forma geral, a verificação no haveibeenpwned.com abrange 14 bilhões de senhas e inclui informações sobre comprometimentos de 817 sites.
Fonte: opennet.ru
