Специалист по инфобезопасности из Казахстана запустил Telegram-бота MailSearchBot, который выдаёт пароли по адресу почты Статьи редакции
Батыржан Тютеев говорит, что собирал базу для работы, а открыл, чтобы обратить внимание на проблему защиты личных данных.
Основатель компании Nitro-Team и специалист по информационной безопасности из Казахстана Батыржан Тютеев запустил Telegram-бота, с помощью которого пользователь может проверить, попадали ли пароли от его электронной почты в базы утечек. 17 июня сервисом воспользовались больше 10 тысяч человек за час, рассказал Тютеев vc.ru.
Для проверки нужно отправить MailSearchBot адрес электронной почты, в ответ он пришлёт связанные с ним пароли, которые когда-либо попадали в базы с утечками, сказано в описании сервиса. Если в базах нет совпадений, бот ответит Not Found. Несколько редакторов vc.ru получили старые пароли от своих адресов, другому редактору бот прислал пароли, которые использовались в других сервисах.
Создатель MailSearchBot заверил, что не собирает адреса, которые пользователи присылают его боту. Некоторые пользователи уже просили удалить свои данные из базы, говорит Тютеев. Если появятся ещё запросы, то он добавит такую функцию в бота.
Сейчас в базе бота около 9 млрд адресов и паролей, ещё 3 млрд в очереди на загрузку, утверждает Тютеев. Соотношение количества адресов и паролей он не называет. Для сравнения, в базе популярного сервиса для отслеживания утечек паролей Have I Been Pwned почти 7,9 млрд аккаунтов.
Источники, по которым собраны данные, Тютеев не раскрывает, но утверждает, что кроме публичных среди них есть закрытые базы, которые раньше нигде не публиковались.
Изначально Тютеев собирал базу, чтобы упростить себе работу — Nitro-Team проводит тесты на проникновение (pentest), в том числе с применением социальной инженерии.
К примеру, если нужно попасть в сеть компании-клиента, специалист проверяет адреса её сотрудников в собранной базе, объясняет Тютеев. Даже если большая часть данных окажется неактуальной, то можно выявить закономерность в том, какие пароли выбирают люди, добавил он.
Создатель MailSearchBot признаёт: есть риск, что его сервис могут использовать злоумышленники — например, для взлома других пользователей. В то же время Тютеев указывает, что при желании все данные из базы можно найти в сети. Если всё же сервис будет использоваться для подобных целей, автор обещает закрыть бота.
Хороший сервис.
Как раз искал удобный менеджер паролей, и чтобы в облаке.
Невозможно установить пароль. Этот пароль уже использует пользователь vasya@gmail
Спасибо, наконец вошёл в свою первую почту 10 летней давности.
прочитал ваш комментарий, и решил попытать удачу.
Выдал такой результат *430***
Теоретически это моя старая комбинация f430fox, но в аккаунт не заходит.
Почему звездочки? И не вхдит в аккаунт, потому что кто-то уже заменил пароль, и он не актуален?
И по какой причине 430 - известно, а буквы нет?
Гениально! "Как собрать e-mail базу пользователей Телеграм для дальнейших целей *цель подставить свою*". Имейлов вполне будет достаточно. Ох казахи, ох предприниматели то.
Ну он же честно сказал, что не собирает. Джентльменам надо верить на слово
Телеграм боту не известен номер телефона.
В связи с последними событиями в Казахстане: «Сделано для идентификации аккаунтов Телеграм через их имейлы?» 😏😏
Мне кажется это не совсем безопасно проверять такое дело в мессенджере, где у тебя ещё номер телефона привязан? Ну я как ламер рассуждаю.
Комментарий недоступен
Комментарий недоступен
Бота накрыл виси-эффект.
Что за "виси-эффект", не гуглится?
Фууух, я в безопасности 😎
Ваша дыра в безопасности.
Комментарий недоступен
Хороший сервис по сбору базы лохов )))
судя по количеству скобочек в твоих комментариях, в реальной жизни ты не очень счастливый человек
Молодец! Теперь у него своя база, все добровольно сами пришли и себя сдали. С паролями, круто! А уж как он теперь ею воспользуется, можно только догадываться. Конечно же, только чтобы помочь бесплатно людям.
Вот что вам на одноклассниках у себя не сидится?
>1 комментарий
Ради этого ТОЧНО стоило зарегистрироваться!
Это ж просто собиралка емейлов, ну.
Комментарий недоступен
Угу. Миллиарды емейлов уже есть. Нафига им жалкая тысяча, тем более, что половина там и так уже есть
Фух.
Хороший город, и мэр там интересный.
Бот видимо лежит)
Бот лежит, надолго ли?
Лол, я иногда использую почту [email protected] или [email protected], а тут то же самое, только с Лебедевым.
На 2 из 3 имейлов выдало пароль. Есть над чем задуматься
Хмм. Нашелся самый старый пароль образца 1998 года.
Эх, тыж Батыржан)
Ержан проснулся
Вряд ли этот мем поймут не-казахстанцы
Комментарий недоступен
все именно так, не понимаю почему некоторые тут думают, что все эти пароли именно от ящика. а некоторые «неизвестные комбинации» это часто автоматически сгенерированные от «забыл пароль» или от тех сайтов, где ты регаешь логин и мыло, а пароль приходит на почту
Наконец-то взломал бывшую. Спасибо!
Что-то у моей бывшей с безопасностью всё сильно лучше, чем у меня
мой есть(
крутой сервис
c*ка, нашёл!
Хитрый Казах собрал достаточно логинов и начал входить в почту судя по всему. Поэтому и бота выключил.
прикольно, у вк утекли пароли
Уже очень давно!
Это исконно наш - казахстанский политический мем, вам не понять, увы.
Огромное количество паролей в одном месте. Просто мечта для спамеров и тд. Сейчас все ломанутся проверять имейлы своих бывших, нынешних и вообще рандомных людей. Можно уводить электронные кошельки. В общем, цель вроде благая была, но реализация хромает.
Официальный ответ mail.ru:
"Здравствуйте!
Утечки паролей пользователей Mail.ru не зафиксированы.
В интернете существует огромное количество баз данных с миллионами учетных записей, которые злоумышленники получают путем взлома различных плохо защищенных сайтов и сервисов. Именно поэтому мы настоятельно не рекомендуем использовать пароль от вашей почты где-либо еще!
Примером такой базы может служить этот свежий случай - https://www.troyhunt.com/the-773-million-record.../. Наша команда безопасности постоянно мониторит подобные базы, выкачивает их и выбирает из них все учетные записи наших пользователей, далее проверяя их на валидность. И если вдруг пароль пользователя из утечки с каких-то других сайтов совпадает с паролем в почту - то такой пользователь блокируется и его принудительно заставят сменить пароль при следующем логине.
Данный же бот агрегирует такие утечки и может выдать пароль, который пользователь когда-то имел на одном из плохо защищенных ресурсов."
"И если вдруг пароль пользователя из утечки с каких-то других сайтов совпадает с паролем в почту " - те mail.ru хранит пароли в открытом виде? :)
Не работает бот. Бесконечно просит почту и не выдаёт никаких результатов. Почта есть в куче утечек на have i been pwned, значит и тут должна быть.
😆 Вы слоупок, кто-то подсуетился и уже сделал фейковый бот для сбора ваших почт. Смотрите какой бот на скринах и какой добавили вы.
Ересь
Комментарий недоступен
а что значат другие пароли? из 39 один точно мой...
Проверил все почты, от одной выдало старый, но вполне реальный пароль. К счастью, везде давно рандомно сгенерированные пароль и двухфакторка.
Ура.
Нашел сто лет назад забытый пароль от Рамблера.
Но чет не грузитца, и не ругает и и не грузит.
Рамблера нет уже чтоль?
Только самый старый, после которого я попрощался с почтой мэйл.ру что-то нашло.
И то с ошибкой написано.
Остальное не найдено.
А на канале обсуждения "админы" вообще пишут, что школота с виси набежала и сломала бота
Положили бедного бота, лол
да, и я не узнаю, есть ли в базе...
Такежан - Казахская задорная
Проверил, есть реальные пароли, но не от самой почты.
Не работает
Уже куда подобного существует. Старые дампы.
Комментарий удален модератором
ну выдал, да. хочу вернуть свою почту. однако звездочки
Комментарий недоступен
так скорей всего пароль не от почтового клиента, а как раз от сайта (чатика, форума, игры), где логином является ваша почта
Опечалилась. Увидела старые пароли. Показывает со звездочками в конце, но это точно не совпадение.
Из трёх моих емейлов выдал несколько паролей только к одному. Один из этих паролей я использовал давным давно, а 5 других не использовал никогда. Забавно.
на одну почту выдал, реальный пароль(
блиин где я так спалился...
Аплодисменты Батыржану! Большое дело сделал
Не обязательно от почты пароли, это просто все доступные в интернете сочетания данных с email.
Например, по моей почте нашло старый пароль с lastpass (база утекала в сеть), кучу какого-то рандомного мусора и пароль от ещё одного взломанного сайта, от самой же почты пароля не было
У кого-то работает?
огромное спасибо автору, понял, что не зря генерировал пароли и менял их для ящиков
Это статейка от ФСБ я так понимаю, у которых и так есть доступ к всем почтовым перепискам... я не понимаю этого персонажа Тютеева - как по мне так он вымышленный, просто чтобы тему поднять и народ озадачить.
Проверил вчера свои почты и сегодня мне пришел спам, что кто-то знает мой пароль и взломал ПК. Хотели 900 заленых на биткойн. Вот тебе и сервис, а сколько на это может повестись...
Кстати, на ресурсе "Have I Been Pwned" я нашел один свой скомпрометированный пароль аж 30 раз упоминающийся, причем он сложный. Это моя самая первая парольная комбинация, я её использовался на всех сайтах - нормальных и не очень (форумы, варезные порталы и прочее). Почту (моя самая первая почта) у меня кстати отработали с этим паролем, но я её через поддержку вернул и сменил пароль.
Забыл пароль от ПЯ. Открыл старую почту на рамблер 10 летней давности, спасибо.
База старая,но есть и актуальные пароли)))
В выдачу еще попадают пароли из словарей, типа qwerty 123456.