据LeakedSource网站披露，黑客从Mail.Ru子网站中窃取了2500万条账户信息。但这家俄罗斯互联网公司说，被泄露出来的凭据信息是无效的，并向客户保证他们并未面临风险。
Mail.Ru是什么
Mail.ru是俄罗斯最大门户网站，在全球16个办事处拥有2450名员工，2011年11月成为俄罗斯第一个成功在伦敦上市的互联网公司。Mail.ru每天访问网站人数超过千万，高效的信箱服务也使它成为中亚地区最受欢迎的电子信箱服务网。2012年2月Mail.ru推出微博服务。
LeakedSource是什么
LeakedSource，一项数据泄露监控服务，曾经披露了11桩新的数据泄露事件。此次Mail.ru平台vBulletin漏洞泄露了超过2700多万条账户信息，其中很多为Mail.Ru游戏玩家账户。截止发布通知时，LeakedSource的研究人员已经成功破解了12463300个密码。
LeakedSource服务允许个人和企业检查他们的网上账号是否被泄露。LeakedSource说目前已经收集了超过20亿条泄露数据，并声称还有更多的数据正等待录入数据库。相较之下，安全专家Troy Hunt运营的Have I Been Pwned服务收集了来自125个被攻击网站的13亿多个账号信息。
过去几个月间，LeakedSource揭露了数次数据泄露事件，包括一次泄露了30万SocialBlade账号、4500万VerticalSCope账号、1亿VK账号、3.6亿Myspace账号的事件。
Mail.Ru网站泄露了超过2500万用户账户信息
LeakedSource报告，黑客从下列三个域中获得了大约2500万个用户名和密码组合：cifre.mail.ru、parapa.mail.ru和tanks.mail.ru。
在过去几年，这三个域一直托管着Mail.Ru集团所并购游戏的论坛。2016年8月被黑的Mail.Ru子域包括：
- cfire.mail.ru — 发布通知时已破解 12881787 个 用户名、 6226196 个 密码。
- parapa.mail.ru （ 游戏 ） — 发布通知时已破解 5029530 个用户名、 3329532 个密码。
- Parapa.mail.ru （ 论坛 ） — 发布通知时已破解 3986234 个用户名、 2907572 个密码。
- tanks.mail.ru — 发布通知时已破解 3236254 个用户名、 0 个密码。
仔细观察这些被泄露的Mail.Ru账号发现，它们来自CFire游戏、parapa.mail.ru（ParaPa Dance City游戏）、以及tanks.mail.ru（Ground War: Tank游戏）。这些密码以MD5哈希值的形式储存，有的加了盐，有的没有。这使得LeakedSource能轻易破解数以百万计的密码。最常用的密码看来是123456789、12345678、123456和1234567980。
Mail.Ru账号的信息包括用户名、电邮地址、IP地址和电话号码。其他泄露账号的信息包括用户名、密码、电邮地址、生日和IP地址。
LeakedSource 说 ：“ 没有一个网站使用恰当的密码存储机制。他们全都用MD5的某个变种，加上或者不加独特的盐。 ”
Mail.Ru子网站因为没有及时更新补丁而被攻击
被攻击的域全部使用vBulletin CMS的未补丁版本。通过利用vBulletin 4.2.2、4.2.3或更早版本中Forumrunner插件上的SQL注入漏洞，黑客侵入了数据库。
重申一下，错误的安全姿态是这些数据泄露事件的根本原因是错误的安全姿态。vBulletin在数月前就修复好了这些漏洞，但是网站未能及时更新补丁，导致数百万用户信息被泄露。
vBulletin 在6月份发布了一份安全公告，说： ” 有人向我们报告了一个影响 vBulletin 4 的漏洞。我们已经针对vBulletin 4.2.2和4.2.3发布了安全补丁，修复了这个漏洞。该漏洞可能允许黑客通过Forumrunner插件执行SQL注入攻击。建议所有用户尽快更新补丁。如果您正在使用低于4.2.2的vBulletin 4版本，建议尽快升级至最新版本。请注意，不管您是否启用Forumrunner插件，都需要更新补丁。可从下列网址下载用版本的补丁： http://members.vbulletin.com/patches.php“
vBulletin在8月份发布了一个新的安全更新包，修复了被黑客利用的多个漏洞。vBulletin 是一个商用的论坛程序套件，在全球拥有数万用户且增长速度很快。该论坛采用PHP Web语言及MySQL数据库。国内有少许应用vBulletin论坛，以下数据由NTI绿盟威胁情报中心支持 https://nti.nsfocus.com
Mail.Ru网站用户数据泄露事件所带来的危害远不止事件本身
虽然这看起来像一次严重的数据泄露事件，但Mail.Ru集团说泄露出来的密码已经失效，并且这些游戏论坛现在使用了一套新的授权系统。该公司还指出，被泄露的密码跟Mail.Ru邮箱或者其他服务的账号没有关系。
然而，多家公司（比如Facebook、GitHub、Reddit和Netflix）近期检测到的许多密码复用攻击表明，即使是旧的凭据信息，对恶意用户来说也是有用的，比如撞库。
据报道，攻击者在8月份利用vBulletin软件的漏洞攻入Mail.Ru论坛。在过去几周，黑客已经利用vBulletin漏洞攻破了大量的网站，包括Epic Games和Dota 2论坛。攻击Epic Games的事件分析在这里， 游戏行业数据泄露事件频发 Epic Games论坛再泄露80万账号 可能危及Epic Games中国
Hold Security在5月份曾报告，识别出2.72亿个邮箱账号的凭据信息。这些凭据信息是黑客攻破多个公司的系统后获取的。在此次事件发生后，研究人员发现，其中5700万是Mail.Ru账号的凭据信息。但Mail.Ru集团随后确认，这些用户名和密码的99%都是无效的。
近期游戏网站数据泄露频发
游戏行业数据泄露事件频发 Epic Games论坛再泄露80万账号 可能危及Epic Games中国
experlaw.com经历的另一桩泄漏事件泄露了超过19万多条账号信息。另外，gamesforum.com经历的一桩类似事件泄露了超过10万条账号信息。
LeakedSource说目前已经收集了超过20亿条泄露数据，并声称还有更多的数据正等待录入数据库。过去几个月间，LeakedSource揭露了数次数据泄露事件，包括一次泄露了30万SocialBlade账号、4500万VerticalSCope账号、1亿VK账号、3.6亿Myspace账号的事件。
相较之下，安全专家Troy Hunt运营的Have I Been Pwned服务收集了来自125个被攻击网站的13亿多个账号信息。
原文发布时间：2017年3月24日
本文由：securityWeek 发布，版权归属于原作者
原文链接：http://toutiao.secjia.com/mail-ru-leaked-25-million-user-account
本文来自合作伙伴安全加，了解相关信息可以关注安全加网站