密码泄漏 史上最大规模密码泄露事件 14亿份密码在暗网流通

4IQ是一家位于美国洛斯加托斯的网络情报技术公司，整合了网络、社交媒体、黑暗网络等内部和外部的OSINT资源，主要服务于国防和执法部门，同时也为企业提供情报服务。

该公司主要通过每天监控数千个黑暗网站、地下黑客论坛和黑暗交易市场来发现被盗的登录凭据和泄露的个人信息和机密文档，并在发现这些数据时警告其客户。

在本月8日发布的一篇博文中，4iQ创始人兼首席技术官胡里奥卡萨尔表示，该公司在本月5日的地下黑客论坛上发现了一个包含14亿登录凭证的数据库。用户名和密码以明文存储，没有任何加密，数据库文件大小超过41Gb。

卡萨尔说，4IQ测试了一个密码子集，大部分被证明是真实有效的。

根据卡萨尔的说法，这些数据来自许多来源。一个名为“imported.log”的日志文件列出了256项，详细说明了每个数据条目的大小和存储位置，包括众所周知的漏洞利用和反公共转储，以及133个新的或新的数据泄漏事件中的数据。

黑客总是第一个发现最薄弱的环节，迅速获取用户的在线账户。网民在多项服务中重复使用相同的密码，给了黑客利用数据泄露时收集的凭证黑进他人账户的机会。安全公司4iQ发现了一个在黑暗网络上流传的新数据库。这个数据库包含14亿个明文用户名和密码！

它出现在几周前

12月5日，研究人员在一个地下社区论坛上发现了这个数据库，据说这是有史以来从黑暗网络中发现的最大的数据库。虽然下载这个数据库的链接几周前在网上流传，但真正引起大家注意的是几天前一个Reddit用户发的帖子。作者还从帖子上下载了数据，并验证了它们的有效性。

研究人员称，这个巨大的41 GB数据库包含了14亿个用户名、电子邮件和密码组合，大概是分散的，分成两三个目录。这个庞大文档的最新更新时间是今年11月底，数据不是来自新的数据泄露事件，而是来自过去的252个数据泄露和凭证列表。

明文代金券来自很多著名的服务商

该数据库包含从以下服务泄露的明文凭证:比特币、帕斯捷宾、领英、我的空间、网飞、YouPorn、Last。FM，Zoosk，Badoo，RedBox，My World，江湖等游戏，以及Anti Public，Exploit.in等凭证列表

研究人员指出，“这些密码都没有加密，令人担忧的是，我们测试了这些密码的一个子集，发现其中大部分是真的。这次数据泄露事件的规模至少是过去最大的文档泄露事件的两倍，仅Exploit.in的合并列表就暴露了7.97亿条记录。这一新漏洞还增加了3.85亿个新凭证组合、3.18亿个唯一用户和1.47亿个密码。”

这个数据库被整齐地组织起来，并按字母顺序进行索引，这样即使是有基础知识的潜在黑客也可以快速找到密码。例如，简单地搜索“admin”、“administrator”和“root”将在几秒钟内返回管理员使用的226，631个密码。

重复使用和简单设置密码是罪魁祸首

虽然这些数据泄露事件中有一部分发生在很久以前，并在互联网上流传了很长时间，但对于犯罪分子来说，成功率仍然很高，因为用户在不同平台上重用密码的同时选择了易于使用的密码。数据库中最常见和最差的密码是“123456”、“123456789”、“qwerty”、“password”和“11111”。

目前不知道是谁把这个数据库上传到黑暗网络的，但是是谁提供比特币和狗钱包让用户捐赠的。