Утечка YouHack, произошедшая ещё в 2013 году, получила вторую жизнь: сервис Have I Been Pwned (HIBP) добавил в свой каталог 7,2 млн уникальных email-адресов. Для русскоязычных команд это не археология киберпреступности, а очередное напоминание: старые базы продолжают работать против пользователей, если пароли, почта и номера телефонов годами остаются теми же.
В массиве нашлись данные примерно 107 тыс. участников русскоязычного криминального форума YouHack: логины, IP-адреса и преимущественно MD5-хеши паролей без соли, сообщает The Register. Остальные миллионы адресов связаны с учётными данными и другой информацией о жертвах, которую пользователи форума публиковали и обсуждали на площадке. Иными словами, одна старая компрометация затронула не только сам форум, но и множество людей, к нему напрямую не относившихся.
Главная техническая деталь здесь почти комична: форум, где торговали украденными данными, защищал пароли участников в основном несолёным MD5. MD5 давно непригоден для хранения паролей. Он быстро считается, поэтому перебор популярных комбинаций и словарных паролей обходится атакующим недорого. Отсутствие соли усугубляет проблему: одинаковые пароли дают одинаковые хеши, а готовые таблицы соответствий можно применять к разным наборам данных.
Появление базы в HIBP не означает, что все 7,2 млн адресов только что скомпрометированы. Речь идёт о повторной каталогизации старой утечки, которая стала доступнее в составе крупных агрегированных архивов. Данные из взлома YouHack вошли в так называемую Mother of all Breaches — опубликованный в 2024 году массив объёмом 12 ТБ, собранный из множества прежних инцидентов и включавший, по описанию источника, 26 млрд записей. Такие коллекции особенно опасны тем, что превращают разрозненные сливные файлы в удобный материал для автоматизированных атак.
Для атакующего ценность подобной базы не ограничивается попыткой восстановить пароль от давно заброшенного форума. Email, никнейм, IP-адрес и старый пароль помогают строить цепочки: искать совпадения в новых утечках, подбирать учётные записи через credential stuffing, отправлять убедительные фишинговые письма. Если пользователь повторно использовал пароль или сохранял привычный шаблон, давность инцидента перестаёт быть защитой. А регистрация на сомнительной площадке с рабочим корпоративным адресом или почтой, связанной с реальной личностью, добавляет рисков уже работодателю.
Сам YouHack после инцидента сменил домен и, по данным издания, продолжает работу как площадка для обмена похищенными учётными и финансовыми данными. Это тоже характерный сюжет для теневого рынка: закрытие или переезд одного адреса редко ликвидирует сообщество, а старые дампы продолжают циркулировать между участниками. Утечка YouHack показывает, что у таких платформ слабое место бывает не только в их жертвах, но и в собственной базовой гигиене.
В тот же день HIBP сообщил ещё об одном российском наборе данных — утечке программы лояльности «СберСпасибо», датированной 2023 годом. В ней содержатся записи о 48 млн пользователей, включая 3,3 млн уникальных email-адресов, номера телефонов и даты рождения. Номера банковских карт в этом наборе хранились как несолёные SHA-1-хеши. Полный номер карты из хеша не извлекается напрямую, но атакующий может проверять предполагаемые варианты на совпадение, если знает или способен сузить диапазон кандидатов.
Сообщалось, что записи «СберСпасибо» относились к периоду с апреля 2017-го по февраль 2022 года; ответственность за атаку заявляла проукраинская хактивистская группа NLB. Для бизнеса здесь практический вывод не сводится к совету «сменить пароль». Разработчикам нужно уходить от быстрых устаревших хешей к современным алгоритмам хранения паролей с уникальной солью, а службам ИБ — считать старые инциденты активным источником рисков. Пользователям стоит проверить рабочие и личные адреса в сервисах мониторинга утечек, заменить повторяющиеся пароли и включить многофакторную аутентификацию там, где она доступна.
Утечка YouHack произошла 13 лет назад, но её полезность для злоумышленников измеряется не возрастом файла, а качеством связей между данными. Чем больше старых баз склеивается в один поиск по email, номеру телефона и паролю, тем короче путь от забытой регистрации до атаки на действующую учётную запись.
