Утечка данных Эшли Мэдисон
| Часть серии о |
| Компьютерный взлом |
|---|
В июле 2015 года неизвестное лицо или группа, назвавшая себя «The Impact Team», объявила, что они украли пользовательские данные Эшли Мэдисон , коммерческого веб-сайта, который был объявлен как способствующий внебрачным связям . Хакер(ы) скопировали личную информацию о базе пользователей сайта и пригрозили раскрыть имена пользователей и личную информацию, если Эшли Мэдисон не закроется немедленно. В качестве доказательства серьезности угрозы изначально была обнародована личная информация более 2500 пользователей. Первоначально компания отрицала, что ее записи ненадежны, но продолжала работать.
Из-за отсутствия адекватной безопасности на сайте и практики не удалять личную информацию пользователей из своей базы данных – включая настоящие имена, домашние адреса, историю поиска и записи транзакций по кредитным картам – многие пользователи боялись быть публично опозоренными. [1]
18 и 20 августа было опубликовано более 60 гигабайт данных компании, включая данные пользователей. Опубликованные данные даже включали личную информацию о пользователях, которые заплатили сайту за удаление своей личной информации, поскольку компания не удалила данные, которые, как они утверждали, удалили.
Хронология [ править ]
Impact Team объявила об атаке 19 июля 2015 года и пригрозила раскрыть личности пользователей Эшли Мэдисон, если ее материнская компания Avid Life Media не закроет Эшли Мэдисон и ее дочерний сайт «Established Men». [2]
20 июля 2015 года веб-сайт Эшли Мэдисон в разделе «СМИ» разместил три заявления, посвященные нарушению. Обычно загруженный аккаунт сайта в Твиттере замолчал, не публикуя заявлений для прессы. [3] Одно заявление гласило:
На данный момент нам удалось защитить наши сайты и закрыть точки несанкционированного доступа. Мы работаем с правоохранительными органами, которые расследуют это преступное деяние. Все без исключения стороны, ответственные за этот акт кибертерроризма, будут нести ответственность. Используя Закон об авторском праве в цифровую эпоху (DMCA), наша команда успешно удалила сообщения, связанные с этим инцидентом, а также всю личную информацию (PII) наших пользователей, опубликованную в Интернете. [4]
Сайт также предложил отказаться от платы за удаление учетной записи.
21 июля «The Impact Team» опубликовала более 2500 записей о клиентах, но компания первоначально отрицала утверждение о том, что ее основная база данных небезопасна и была взломана. [5] Однако 18 августа было опубликовано более 60 гигабайт дополнительных данных, достоверность которых была подтверждена. [6] Информация была опубликована на BitTorrent в виде сжатого архива объемом 10 гигабайт; ссылка на него была размещена на темном веб- сайте, доступном только через анонимную сеть Tor . [7] Данные были криптографически подписаны. [8] с ключом PGP . В своем сообщении группа обвинила Avid Life Media, обвинив компанию в обманных действиях: «Мы объяснили мошенничество, обман и глупость ALM и их участников. Теперь каждый может видеть их данные… Очень плохо для ALM, вы обещали секретность, но не выполнили». [9]
В ответ Avid Life Media опубликовала заявление о том, что компания работает с властями над расследованием, и заявила, что хакеры были не « хактивистами », а преступниками. [10] Второй, более обширный, сброс данных произошел 20 августа 2015 года, самый большой файл которого содержал 12,7 гигабайт корпоративных электронных писем , в том числе писем Ноэля Бидермана , генерального директора Avid Life Media. [11]
В июле 2017 года Avid Life Media (переименованная в Ruby Corporation) согласилась урегулировать два десятка исков, связанных с нарушением правил, на сумму 11,2 миллиона долларов. [12] [13]
и этика Влияние
Ни одна из учетных записей на веб-сайте не требует подтверждения электронной почты для создания профиля, а это означает, что люди часто создают профили с поддельными адресами электронной почты. Компания Эшли Мэдисон потребовала от владельца учетной записи электронной почты заплатить деньги за удаление профиля, не позволяя людям, у которых были учетные записи, настроенные без их согласия (в виде розыгрыша или опечатки в электронном письме), удалить их без оплаты. [14] Хакеры утверждают, что Avid Life Media получала 1,7 миллиона долларов в год от людей, плативших за закрытие профилей пользователей, созданных на сайте. Компания ложно заявила, что заплатив им, она «полностью удалит» профили, что, как доказал взлом, было неправдой. [14]
Джош Дуггар , 27-летний мужчина, прославившийся как подросток в консервативной христианской семье, показанный в реалити- шоу под названием « 19 детей и счет» , был одним из известных пользователей Эшли Мэдисон, чьи данные были взломаны. Опубликованные данные включали записи о транзакциях на сумму около 1000 долларов США по счету кредитной карты, выданному на его имя. Новость о публикации данных усугубила его проблемы, когда ранее в том же году были разоблачены сообщения полиции о его сексуальных домогательствах; 20 августа он признался, что изменил жене. [15] [16] Утечка данных произошла вскоре после публикации предыдущего полицейского отчета, в котором утверждалось, что он ласкал пять несовершеннолетних девочек, включая нескольких своих сестер. 25 августа он лег в реабилитационный центр. [17] [18] [19]
После взлома сообщества интернет-линчевателей начали прочесывать сеть в поисках известных людей, которых они планировали публично унизить . [20] France24 сообщила, что в просочившейся базе данных содержатся 1200 адресов электронной почты Саудовской Аравии с доменом .sa , которые также могут стать объектом вымогательства, поскольку в Саудовской Аравии прелюбодеяние карается смертью. [21] несколько тысяч адресов электронной почты США в доменах .mil и .gov . На сайте было зарегистрировано [22] [23] [24] Через несколько дней после взлома вымогатели начали преследовать людей, чьи данные были включены в утечку, пытаясь выманить долларов США . на сумму более 200 биткойны у них [25] [26] [27] Одна компания начала предлагать «поисковую систему», где люди могли вводить на веб-сайт адреса электронной почты коллег или их супругов, и если адрес электронной почты попадал в утечку базы данных, компания отправляла им письма с угрозами, что их данные будут раскрыты. если только они не заплатили деньги компании. [28] [29]
Различные исследователи безопасности и активисты по защите конфиденциальности в Интернете обсуждали медиаэтику журналистов, сообщающих о конкретных данных, таких как имена пользователей, которые, как выяснилось, являются членами. [20] [30] [31] [32] Ряд комментаторов сравнили взлом с потерей конфиденциальности во время взлома фотографий знаменитостей в 2014 году . [33] [34]
Клинические психологи утверждают, что публичное обсуждение романа усиливает боль для супругов и детей. [35] Кэролин Грегуар утверждала, что «социальные сети создали агрессивную культуру публичного стыда, в которой люди берут на себя ответственность нанести психологический ущерб» и что чаще всего «наказание выходит за рамки преступления». [35] Грэм Клули утверждал, что психологические последствия для пристыженных людей могут быть огромными и что некоторых из них можно будет заставить покончить жизнь самоубийством. [36] [37] Чарльз Дж. Орландо, который присоединился к сайту, чтобы провести исследование женщин, которые изменяют, написал о своей обеспокоенности супругами и детьми разоблаченных мошенников , заявив, что « толпа , которой является Интернет, более чем готова выступать в качестве судьи, присяжных заседателей». и палач» и что участники сайта не заслужили «порки на виртуальной городской площади перед миллионами зрителей». [38]
24 августа 2015 года полиция Торонто объявила, что с утечкой данных были связаны два неподтвержденных самоубийства, а также «сообщения о преступлениях на почве ненависти, связанных со взломом». [39] [40] По неподтвержденным данным, мужчина в США покончил жизнь самоубийством. [28] Сообщается, что по крайней мере одно самоубийство, которое ранее было связано с Эшли Мэдисон, произошло из-за «стресса, полностью связанного с проблемами на работе, которые не имели никакого отношения к утечке данных». [41] В тот же день пастор и профессор Баптистской теологической семинарии Нового Орлеана покончил с собой, ссылаясь на утечку информации, произошедшую шесть дней назад. [42]
Пользователи, чьи данные были раскрыты, подали коллективный иск на сумму 567 миллионов долларов против Avid Dating Life и Avid Media, владельцев Ashley Madison, через канадские юридические фирмы Charney Lawyers and Sutts, Strosberg LLP. [43] В июле 2017 года владелец Ruby Corp. объявил, что компания урегулирует иск на сумму 11,2 миллиона долларов. [44] В интервью 2019 года директор по стратегии Ashley Madison Пол Кибл подтвердил установку таких функций безопасности, как двухфакторная проверка, соответствие PCI и полностью зашифрованный просмотр, в результате хакерской атаки 2015 года. [45]
В 2024 году Netflix выпустил документальный фильм «Эшли Мэдисон: Секс, ложь и скандал» , состоящий из трех частей, посвященный инциденту. [46]
Анализ данных [ править ]
Аннали Ньюитц , главный редактор Gizmodo , проанализировала утекшие данные. [47] Первоначально они обнаружили, что только примерно 12 000 (0,2%) из 5,5 миллионов зарегистрированных женских учетных записей использовались регулярно. [48] [49] Подавляющее большинство учетных записей использовалось только один раз, в день их регистрации. Ньюитц также обнаружил, что многие женские учетные записи были созданы с одного и того же IP-адреса, что позволяет предположить, что существовало много фейковых учетных записей. Они обнаружили, что женщины очень редко проверяют сообщения электронной почты: каждый раз, когда женщина проверяла свою электронную почту, 13 585 мужчин проверяли свою. Только 9700 из 5 миллионов женских аккаунтов когда-либо ответили на сообщение, по сравнению с 5,9 миллионами мужчин, которые сделали то же самое. Они пришли к выводу: «Женские аккаунты демонстрируют настолько низкую активность, что их с таким же успехом могло бы и не быть». [48] В следующей статье, опубликованной на следующей неделе, Ньюитц признал, что они «неправильно поняли доказательства» в своей предыдущей статье и что их вывод о том, что на сайте было мало активных женщин, был основан на данных, записывающих действия «ботов» при контакте с участниками. Ньюитц подтвердил, что Эшли Мэдисон создала более 70 000 женских ботов для отправки миллионов фейковых сообщений пользователям-мужчинам. Тем не менее, они отмечают, что «у нас нет абсолютно никаких данных, фиксирующих человеческую деятельность, в дампе базы данных Эшли Мэдисон от Impact Team. Все, что мы можем видеть, это когда фальшивые люди контактировали с реальными». Они отметили, что сайт, похоже, отслеживает контакты между людьми, но команда Impact не опубликовала эти данные. [50]
Пароли на действующем сайте хешировались с использованием алгоритма bcrypt . [51] [52] Аналитик безопасности, использующий Hashcat инструмент восстановления паролей со словарем , основанным на паролях RockYou, обнаружил, что среди 4000 паролей, которые было легче всего взломать, «123456» и «пароль» были наиболее часто используемыми паролями на действующем веб-сайте. Анализ старых паролей на заархивированной версии показал, что чаще всего использовались «123456» и «пароль». [53] Из-за ошибки проектирования, когда пароли также хэшировались отдельно с помощью небезопасного алгоритма MD5 , в конечном итоге было взломано 11 миллионов паролей. [54]
Признавая, что некоторые мужчины обнаружили уловку, штатный обозреватель Financial Post Клэр Браунелл предположила, что, если бы было проведено всего несколько взаимодействий, тест Тьюринга мог бы пройти чат-боты , имитирующие женщин , которые обманом заставили многих мужчин покупать специальные аккаунты. [55]
Популярная культура
- Утечка данных показана в Netflix сериале 2024 года «Эшли Мэдисон: Секс, ложь и скандал» .
См. также [ править ]
Ссылки [ править ]
- ^ Томсен, Саймон (20 июля 2015 г.). «Сайт о внебрачных связях Эшли Мэдисон был взломан, и злоумышленники угрожают утечкой данных в Интернет» . Бизнес-инсайдер . Архивировано из оригинала 14 апреля 2021 года . Проверено 21 июля 2015 г.
- ^ «Сайт онлайн-мошенничества AshleyMadison взломан» . krebsonsecurity.com. 15 июля 2015 г. Архивировано из оригинала 16 декабря 2021 г. . Проверено 20 июля 2015 г.
- ^ «Эшли Мэдисон» . Твиттер . Архивировано из оригинала 19 августа 2015 года . Проверено 20 августа 2015 г.
- ^ Эшли Мэдисон (20 июля 2015 г.). «Заявление Avid Life Media, Inc» . Архивировано из оригинала 21 июля 2015 года . Проверено 22 июля 2015 г.
- ^ Херн, Алекс (21 июля 2015 г.). «Служба поддержки клиентов Эшли Мэдисон терпит крах из-за последствий взлома сайта» . Хранитель . Архивировано из оригинала 1 марта 2017 года . Проверено 14 декабря 2016 г.
- ^ «Эшли Мэдисон осуждает атаку, поскольку эксперты утверждают, что взломанная база данных реальна» . Хранитель . 19 августа 2015 года. Архивировано из оригинала 26 марта 2016 года . Проверено 19 августа 2015 г.
- ^ Херн, Алекс (20 августа 2015 г.). «Хак Эшли Мэдисон: ответы на ваши вопросы» . Хранитель . Архивировано из оригинала 2 марта 2017 года . Проверено 14 декабря 2016 г.
- ^ «Нет, вы не можете нанять хакера, чтобы стереть вас из утечки Эшли Мэдисон» . Компания Фаст . 20 августа 2015 года. Архивировано из оригинала 20 августа 2015 года . Проверено 21 августа 2015 г.
- ^ «Хакеры наконец опубликовали украденные данные Эшли Мэдисон» . ПРОВОДНОЙ . 18 августа 2015 года . Проверено 19 августа 2015 г.
- ^ «Заявление Avid Life Media Inc. – 18 августа 2015 г.» . Эшли Мэдисон. 18 августа 2015 года. Архивировано из оригинала 19 августа 2015 года . Проверено 19 августа 2015 г.
- ^ Пальери, Хосе (20 августа 2015 г.). «Хакеры раскрывают электронную почту генерального директора Эшли Мэдисон» . CNN Бизнес . Архивировано из оригинала 28 марта 2022 года . Проверено 2 августа 2020 г.
- ^ Кравец, Давид (17 июля 2017 г.). «Юристы добились больших успехов в урегулировании дела об утечке данных на мошенническом сайте Эшли Мэдисон» . Арс Техника . Архивировано из оригинала 19 июля 2017 года . Проверено 19 июля 2017 г.
- ^ Ruby Life Inc. (14 июля 2017 г.). «Ruby Corp и истцы достигли предлагаемого урегулирования группового иска относительно утечки данных Эшли Мэдисон» . PR Newswire (Пресс-релиз) . Проверено 19 июля 2017 г.
- ^ Перейти обратно: а б «Какой-то чувак создал учетную запись Эшли Мэдисон, связанную с моим Gmail, и все, что я получил, это паршивый экран вымогательства» . Перехват . 21 июля 2015 года. Архивировано из оригинала 22 августа 2015 года . Проверено 24 августа 2015 г.
- ^ Форд, Дана (20 августа 2015 г.). «Джош Даггар после взлома Эшли Мэдисон: «Я был самым большим лицемером на свете» » . CNN . Архивировано из оригинала 20 августа 2015 года . Проверено 20 августа 2015 г.
- ^ Ремлинг, Аманда (20 августа 2015 г.). Звезда сериала « 19 детей и счет» Джош Даггар признался, что изменил жене Анне после утечки информации об Эшли Мэдисон . Интернэшнл Бизнес Таймс . Архивировано из оригинала 20 августа 2015 года . Проверено 20 августа 2015 г.
- ^ Пуэнте, Мария (26 августа 2015 г.). «Джош Дуггар проходит реабилитацию, говорит семья» . США сегодня . Архивировано из оригинала 19 мая 2018 года . Проверено 22 августа 2017 г.
- ^ Лаример, Сара (26 августа 2015 г.). «Джош Дуггар попадает в «центр долгосрочного лечения» после «неправильного выбора» » . Вашингтон Пост . Архивировано из оригинала 19 мая 2018 года . Проверено 22 августа 2017 г.
- ^ Леопольд, Тодд (26 августа 2015 г.). «Джош Дуггар проходит реабилитацию, говорит семья» . CNN . Архивировано из оригинала 30 августа 2015 года . Проверено 26 августа 2015 г.
- ^ Перейти обратно: а б «Ранние заметки о взломе Эшли Мэдисон» . Шило . Архивировано из оригинала 21 августа 2015 года . Проверено 20 августа 2015 г.
- ^ «Америка – глобальные последствия взлома Эшли Мэдисон» . Франция 24 . 20 августа 2015 года. Архивировано из оригинала 23 августа 2015 года . Проверено 24 августа 2015 г.
- ^ Гиббонс-Нефф, Томас (19 августа 2015 г.). «Тысячи адресов .mil потенциально утекли в результате взлома Ashley Madison» . Вашингтон Пост . Архивировано из оригинала 20 августа 2015 года . Проверено 20 августа 2015 г.
- ^ «Отчет: Взлом сайта супружеской измены Эшли Мэдисон раскрыла военные электронные письма» . Military.com . 31 октября 2017 года. Архивировано из оригинала 20 августа 2015 года . Проверено 20 августа 2015 г.
- ^ Юинг, Филип (20 августа 2015 г.). «Пентагон расследует, использовали ли военные мошеннический веб-сайт» . Политик . Архивировано из оригинала 20 августа 2015 года . Проверено 21 августа 2015 г.
- ^ Кребс, Брайан (21 августа 2015 г.). «Вымогатели нацелены на пользователей Эшли Мэдисон» . Кребс по вопросам безопасности . Архивировано из оригинала 22 августа 2015 года . Проверено 22 августа 2015 г.
- ^ «Начинается вымогательство в отношении жертв взлома Эшли Мэдисон» . Холм . 21 августа 2015 года. Архивировано из оригинала 23 августа 2015 года . Проверено 24 августа 2015 г.
- ^ «Пользователям Ashley Madison теперь грозит вымогательство» . FOX2now.com . 21 августа 2015 года. Архивировано из оригинала 22 августа 2015 года . Проверено 24 августа 2015 г.
- ^ Jump up to: a b "Ashley Madison spam starts, as leak linked to first suicide". theregister.co.uk. Archived from the original on 11 March 2017. Retrieved 24 August 2017.
- ^ «Досье Эшли Мэдисон – неужели люди настолько глупы?» . theregister.co.uk . Архивировано из оригинала 22 марта 2017 года . Проверено 24 августа 2017 г.
- ^ «По следам Эшли Мэдисон: к журналистской этике использования взломанных документов» . Блог онлайн-журналистики . 20 июля 2015 года. Архивировано из оригинала 18 августа 2015 года . Проверено 20 августа 2015 г.
- ^ «Хак Эшли Мэдисон: Этика именования пользователей — Fortune» . Удача . Архивировано из оригинала 20 августа 2015 года . Проверено 20 августа 2015 г.
- ^ «Джон Ронсон и публичный позор» . в СМИ . Архивировано из оригинала 4 марта 2016 года . Проверено 20 августа 2015 г.
- ^ «Хак Эшли Мэдисон: удручающий рост «морального» хакера» . Телеграф.co.uk . 20 августа 2015 года. Архивировано из оригинала 15 сентября 2017 года . Проверено 4 апреля 2018 г.
- ^ «Поскольку в нашу личную жизнь становится все легче вторгаться, теряем ли мы вкус к подлости со знаменитостями?» . newstatesman.com . 5 августа 2015 года. Архивировано из оригинала 21 августа 2015 года . Проверено 20 августа 2015 г.
- ^ Перейти обратно: а б Грегуар, Кэролайн (20 августа 2015 г.). «Взлом Эшли Мэдисон может иметь разрушительные психологические последствия» . ХаффПост . Архивировано из оригинала 23 ноября 2015 года . Проверено 24 августа 2015 г.
- ^ «Взлом Эшли Мэдисон – дальнейшие мысли о его последствиях» . Грэм Клюли . 28 июля 2015 г. Архивировано из оригинала 18 сентября 2016 г. Проверено 24 августа 2015 г.
- ^ Фархад Манджу (6 сентября 2015 г.). «Жертвы хакерских атак заслуживают сочувствия, а не насмешек» . Сидней Морнинг Геральд . Архивировано из оригинала 7 сентября 2015 года . Проверено 6 сентября 2015 г.
- ^ Чарльз Дж. Орландо (23 июля 2015 г.). «Меня взломали на Эшли Мэдисон, но это тебе должно быть стыдно» . Yahoo! Стиль . Архивировано из оригинала 21 марта 2017 года . Проверено 8 октября 2015 г. - через Your Tango .
- ^ «Взлом Эшли Мэдисон: 2 неподтвержденных самоубийства связаны со взломом, сообщает полиция Торонто» . ЦБК . 24 августа 2015 года. Архивировано из оригинала 24 августа 2015 года . Проверено 24 августа 2015 г.
- ^ «Самоубийство и Эшли Мэдисон» . Грэм Клюли . 24 августа 2015 года. Архивировано из оригинала 24 сентября 2015 года . Проверено 24 августа 2015 г.
- ^ Бельтран, Джейкоб (25 августа 2015 г.). «Вдова рассказывает о самоубийстве капитана SAPD, связанного с сайтом Эшли Мэдисон» . Новости Сан-Антонио Экспресс. Архивировано из оригинала 17 марта 2021 года . Проверено 27 августа 2015 г.
- ^ Лори Сигалл (8 сентября 2015 г.). «Пастор, разоблаченный Эшли Мэдисон, покончил жизнь самоубийством» . CNN Бизнес . Архивировано из оригинала 14 мая 2020 года . Проверено 2 августа 2020 г.
- ^ «Эшли Мэдисон грозит крупный коллективный иск» . Новости BBC . 23 августа 2015 г. Архивировано из оригинала 4 декабря 2020 г. . Проверено 24 августа 2015 г.
- ^ «Родитель Эшли Мэдисон выплатил компенсацию в размере 11,2 миллиона долларов за утечку данных» . CNBC . 15 июля 2017 года. Архивировано из оригинала 15 июля 2017 года . Проверено 15 июля 2017 г.
- ^ «Обзор Эшли Мэдисон» . Datingscout.com . Архивировано из оригинала 25 ноября 2020 года . Проверено 5 января 2020 г.
- ^ Альптраум, Люкс (15 мая 2024 г.). «Главные уроки из нового документа Netflix о скандале с Эшли Мэдисон» . MSNBC . Проверено 21 мая 2024 г.
- ^ Ньюитц, Аннали (27 августа 2015 г.). «Фемботы Эшли Мэдисон» . Гизмодо . Архивировано из оригинала 27 августа 2015 года . Проверено 28 августа 2015 г.
- ^ Перейти обратно: а б Рид, Брэд (27 августа 2015 г.). «Самое веселое разоблачение о взломе Эшли Мэдисон» . Yahoo! Тех . Архивировано из оригинала 28 августа 2015 года . Проверено 28 августа 2015 г.
- ^ Галлахер, Пол (27 августа 2015 г.). «Хак Эшли Мэдисон: только три из каждых 10 000 женских аккаунтов на сайте неверности реальны» . Независимый . Архивировано из оригинала 28 ноября 2018 года . Проверено 24 августа 2017 г.
- ^ Ньюитц, Аннали (31 августа 2015 г.). «Код Эшли Мэдисон показывает больше женщин и больше ботов» . Гизмодо . Архивировано из оригинала 19 октября 2017 года . Проверено 19 декабря 2015 г.
- ^ Дин Пирс. «Усовершенствованная безопасность» . pxdojo.net . Архивировано из оригинала 28 августа 2015 года . Проверено 29 августа 2015 г.
- ^ Зак Уиттакер. «Это худший пароль от взлома Эшли Мэдисон» . ЗДНет . Архивировано из оригинала 28 августа 2015 года . Проверено 29 августа 2015 г.
- ^ Включить безопасность (19 августа 2015 г.). «Включить блог о безопасности — как поворачивается ROT13….: Легкий судебно-медицинский анализ взлома AshleyMadison» . www.includesecurity.com . Архивировано из оригинала 22 августа 2015 года . Проверено 20 августа 2015 г.
- ^ Гудин, Дэн (10 сентября 2015 г.). «Когда-то считавшийся пуленепробиваемым, более 11 миллионов паролей Эшли Мэдисон уже взломаны» . Арс Техника . Архивировано из оригинала 10 сентября 2015 года . Проверено 10 сентября 2015 г.
- ^ Браунелл, Клэр (11 сентября 2015 г.). «Внутри Эшли Мэдисон: Звонки от плачущих супруг, фейковые профили и взлом, который изменил всё» . Финансовый пост . Архивировано из оригинала 29 сентября 2015 года . Проверено 18 сентября 2015 г.