К сожалению, взломы публичных почтовых или облачных сервисов - явление сегодня довольно распространенное. Как показывает практика, эффективной защитой своих сервисов от хакеров не может похвастаться ни один интернет-гигант – будь то Яндекс, Mail.ru или Google.
— прокомментировал утечку идентификационных данных пользователей популярных почтовых сервисов глава Роскомнадзора Александр Жаров.
Однако, ведомство пока не планирует проводить какие-либо проверки интернет-компаний в связи с недавними событиями:
Надо сказать, что в терминологии действующего законодательства логины и пароли электронной почты или аккаунтов в социальных сетях не являются персональными данными. Поэтому у нас нет законных оснований для проведения каких-либо проверок в отношении интернет-компаний, допустивших утечки.
C восьмого по десятое сентября в интернете были последовательно опубликованы списки из миллионов паролей от аккаунтов в «Яндексе», Mail.ru и Google. Из миллиона паролей от «Яндекса» актуальными оказались 150 тысяч, около 100 тысяч актуальных паролей было в списке Google, а больше всего актуальных паролей оказалось в списке Mail.ru — около 220 тысяч.
Все три компании сообщили, что пароли были получены злоумышленниками не в ходе взлома систем пострадавших интернет-компаний, а путем заражения пользовательских компьютеров вирусами и через «фишинг». Google даже раскрыл некоторые подробности борьбы с «угонщиками» почтовых аккаунтов.
Прокомментировала инцидент с паролями в своём Facebook и Анна Артамонова, вице-президент Mail.ru Group, руководитель бизнес-подразделения «Почта и портал»:
Некоторые вещи не меняются. Самым популярным паролем в опубликованной базе по-прежнему был qwerty, на втором месте 123456.
И это при том, что мы уже несколько лет не разрешаем ставить такие пароли при создании ящика или смене через настройки.Делали мы это [поиск таких паролей с просьбой заменить их], конечно. Вы удивитесь, насколько пользователи пофигистично реагируют на просьбы. А если начинаешь принуждать - просто отмораживаются. Есть еще одна категория - пользователи почтовых программ. Их вообще ничего не колышет. Предупреждения в интерфейсе они не видят, письма удаляют, а если им блокировать, например, отправку писем, то они просто через другое SMTP как-нибудь отправят и не заметят даже. Единственный вариант вообще аккаунт заблокировать - тогда они, наконец, заметят и пойдут напишут в твиттере, что мейл.ру опять сломался.
Добавить 8 комментариев
>> Самым популярным паролем в опубликованной базе по-прежнему был qwerty, на втором месте 123456. И это при том, что мы уже несколько лет не разрешаем ставить такие пароли при создании ящика или смене через настройки. А как сделать так чтобы такие пароли не брутили ? Вариаций 123456 много ведь…
раскрывайте уже главную интригу, кто «выиграет» право на разработку новой защищенной почты за очередные 300млн.
Ну как, РЖД уже отказывается от Exchange и Lync в пользу Communigate.
«Делали мы это [поиск таких паролей с просьбой заменить их], конечно. Вы удивитесь, насколько пользователи пофигистично реагируют на просьбы. А если начинаешь принуждать — просто отмораживаются. Есть еще одна категория — пользователи почтовых программ. Их вообще ничего не колышет. Предупреждения в интерфейсе они не видят, письма удаляют, а если им блокировать, например, отправку писем, то они просто через другое SMTP как-нибудь отправят и не заметят даже. Единственный вариант вообще аккаунт заблокировать — тогда они, наконец, заметят и пойдут напишут в твиттере, что мейл.ру опять сломался. » Это единственный содержательный и абсолютно по делу публичный комментарий, который я услышал от «пострадавших» компаний и «специалистов» по безопасности.
> Делали мы это [поиск таких паролей с просьбой заменить их], конечно. Вы > удивитесь, насколько пользователи пофигистично реагируют на просьбы. > А если начинаешь принуждать — просто отмораживаются. Есть еще одна > категория — пользователи почтовых программ. Их вообще ничего не колышет. > Предупреждения в интерфейсе они не видят, письма удаляют, а если им > блокировать, например, отправку писем, то они просто через другое SMTP > как-нибудь отправят и не заметят даже. Единственный вариант вообще > аккаунт заблокировать — тогда они, наконец, заметят и пойдут напишут > в твиттере, что мейл.ру опять сломался. Не надо блокировать, надо к любому входящему письму добавлять шапку, где будет написано что-то вроде «ВНИМАНИЕ! Ваш пароль на доступ к этому почтовому ящику скомпрометирован или не является стойким. Просим сменить его». Нужно только не ломать MIME-структуру исходного сообщения и, если письмо в text/plain, то вписывать этот текст в его начало, а если multipart/alternative или аналогичное, то использовать HTML-форматирование, привлекающее внимание.
Андрей Сергеев, это уже вмешательство в частную переписку. Многие пользователи считают, что их письма никто, кроме адресатов и тех, кто знает логин/пароль, прочесть не может. Если сделать то, что вы говорите, столько постов в твиттер и соц.сети полетит…
> Не надо блокировать, надо к любому входящему письму добавлять шапку, Плохой совет. А что если я потом перешлю или отвечу на это письмо с цитатой? Все мои респонденты узнают что я лох и пароль у меня ламерский. Кроме этого вскоре появится новая разновидность фишеров, которые будут специально вставлять в текст письма фразу о небезопасном пароле. Ну и тут же не отходя от кассы давать ссылку на форму изменения пароля.
Не считаю подобное вмешательством: ведь вставлять такую или подобную шапку будет не бородатый админ-postmaster, а почтовый демон. Возможность подобного информирования пользователя может (точнее, должна) быть оговорена в TOS и это не будет ничему противоречить. Момент с ответами и форвардами — да, согласен, особенно насчёт фишеров.