Миллион паролей от «Яндекс.Почты»

Вечером 7 сентября 2014 года в открытый доступ попал текстовый файл с учётными данными миллиона пользователей «Яндекс.Почты». Файл 1000000cl.txt изначально разместили на «Яндекс.Диске», но к настоящему моменту список разошёлся повсеместно по Сети.

Проверить свой адрес электронной почты на предмет компрометации можно самостоятельно, скачав файл с паролями. Как менее предпочтительный вариант, есть веб-форма для проверки.

Многочисленные пользователи уже подтвердили аутентичность базы, нашли свои пароли и успешно зашли в чужие почтовые ящики (статья 272 УК РФ). Если чужой ящик не привязан к номеру телефона, то есть возможность указать свой email, активировать тем самым ящик и сменить пароль, не вводя ответов на секретные вопросы.

По примерной оценке, около 65% паролей из базы валидны на эту минуту, остальные аккаунты заблокированы.

Скорее всего, утечка стала результатом взлома какого-то веб-сервиса, фишинга или брутфорса. Компания «Яндекс» пока не дала подробных разъяснений по инциденту, но заранее отрицает свою причастность.

Пресс-служба «Яндекса» заявила: «Пароли пользователей “Яндекса” надёжно защищены и не хранятся в открытом виде. Поэтому опубликованный список — это не “взлом” и не “утечка” “Яндекса”. Наши специалисты проверяют этот список, и пока нет оснований считать, что среди опубликованных аккаунтов есть те, что принадлежат “живым” пользователям (тем, кто бы заходил на наши сервисы, в “Почту”, и совершал какие-либо действия), или тех, о взломе которых бы мы не знали (такие аккаунты уже давно отправлены на восстановление пароля)».

В «Яндексе» добавили, что каждый отдельный пароль мог утечь вследствие заражения компьютера пользователя вирусом, который передаёт персональные данные мошенникам. Также рассматривается вариант фишинга.