V úniku z Mallu je přes tři čtvrtě milionu jmen, hesel a telefonních čísel v čitelné podobě

29. 8. 2017

Doba čtení: 3 minuty

Redakce Lupy dostala k dispozici kompletní databázi s údaji o uživatelských účtech, které unikly e-shopu Mall.cz.

Aktualizace 4. 9. 15:30 – Přidána informace o zahrnutí dat z úniku Mall.cz do databáze služby Have I Been Pwned.

Celkem 766 421 hesel v čitelné podobě, 735 956 unikátních e-mailových adres a obdobný počet telefonních čísel. Takový je obsah souboru s uniklými přihlašovacími údaji z internetového obchodu Mall.cz, který neznámí autoři dočasně uložili na úložiště Uloz.to. Redakci Lupy databázi poskytl člověk, který si nepřál být jmenován.

Alarmující je, že přihlašovací údaje jsou v databázi uvedené v plně čitelné podobě. To neznamená, že by Mall hesla neměl vůbec chráněná. Jde pravděpodobně o výsledek cracknutí slabšího zabezpečení starších účtů v jeho systémech. Firma ve svém oficiálním prohlášení přiznala, že do podzimu 2012 při šifrování hesel používala k hashování prolomitelný algoritmus MD5, poté přešla na SHA1 s unikátní solí a teprve v říjnu 2016 začala používat bezpečnější bcrypt.

Jména, hesla a telefonní čísla stovek tisíc uživatelů Mallu každopádně jsou v plně čitelné podobě už minimálně měsíc dostupná na internetu. Než server Uloz.to kopii databáze smazal, mohl si soubor stáhnout kdokoli. A pokud stejné přihlašovací údaje jako na Mallu používáte i na jiných službách, mohou být tyto vaše účty v ohrožení.

Z Mallu uniklo přes 750 tisíc účtů a data byla ke stažení na Ulož.to. Tahle stránka na Pastebinu to naznačuje: https://t.co/ctuvN1wweY pic.twitter.com/2yHr7g122x
— Michal Špaček (@spazef0rze) 27. srpna 2017

Uniklé údaje se v souboru nacházejí ve formátu EMAIL:PASSWORD:NAME:SURNAME:PHONE. Pravost údajů v souboru jsme ověřovali dotazem u několika uživatelů. Většina z nich potvrdila, že údaje spojené v úniku s jejich e-mailovou adresou jsou skutečně jejich hesla z Mall.cz.

Část zveřejněných údajů ale skutečnosti neodpovídá, potvrdili nám někteří uživatelé. Při bližším pohledu více než 216 tisíc hesel vypadá jako náhodně generovaný řetězec šesti alfanumerických znaků (malá a velká písmena a číslice). A nejméně v jednom případě nám uživatel potvrdil, že jeho silné heslo (správcem hesel vygenerovaný náhodný řetězec 20 znaků), vytvořené v roce 2009, v databázi vůbec není.

(AKTUALIZACE 30. 8. 17:15 – Podle reakcí od několika uživatelů to vypadá, že šestimístná hesla pocházejí přímo od Mallu. Jde pravděpodobně o náhodně generovaná hesla, která e-shop uživatelům posílal při jejich prvním nákupu. Někteří uživatelé je byli schopni dohledat ve starých e-mailech.)

Situace vygradovala natolik, že se k ní vyjádřil i šéf Mall Group Jakub Havrlant. „Protože soukromí a bezpečnost našich zákazníků je pro nás prioritou, jednali jsme okamžitě a rozhodli se pro reset všech potenciálně ohrožených hesel,“ říká Havrlant s tím, že na celé záležitosti od pátku pracuje třicetičlenný bezpečnostní tým spolu s výrazně posílenou zákaznickou podporou, která v těchto dnech čítá zhruba 60 lidí.

Co jsme ze seznamu zjistili

Seznam uniklých hesel (očištěný o výše popsané, pravděpodobně náhodně generované údaje) jsme analyzovali prostřednictvím programu Pipal. Nepřekvapí, že nejčastěji používaným heslem v úniku je řetězec „123456“ (z celkového počtu statisíců hesel ale šlo o relativně malé procento – viz níže):

Deset nejpoužívanějších hesel

123456 = 3498 (0,64 %)
12345 = 2917 (0,53 %)
heslo = 2005 (0,36 %)
mallcz = 1894 (0,34 %)
martin = 1796 (0,33 %)
slunicko = 1414 (0,26 %)
korunka = 1267 (0,23 %)
beruska = 1226 (0,22 %)
veronika = 1159 (0,21 %)
monika = 1087 (0,2 %)

Nejčastější délka hesla v úniku je šest znaků (více než 33 %), následuje sedm (23 %) a osm (17 %). Nejdelší hesla měla 21 znaků (taková se ale v úniku nacházejí jen dvě). Většina hesel je tvořena pouze písmeny (68 %), jen 12 % je tvořeno jen číslicemi. Pouze malá písmena využívá 67 % hesel a 1 % hesel je naopak tvořeno čistě písmeny velkými.

Databáze údajů uniklých z Mall.cz by se měla brzy objevit v databázi služby Have I Been Pwned, která data z úniku shromažďuje a umožňuje uživatelům zjistit, zda se jejich e-mail nebo uživatelské jméno v nějakém hacku objevilo.

Aktualizace 4. 9. 15:30 – Troy Hunt na Twitteru oznámil, že data z úniku z Mall.cz už do databáze přidal. A podle Hunta asi 45 % e-mailových adres už bylo v jeho databázi zaznamenáno z jiných úniků.

Jednoduchou aplikaci, která pomáhá uživatelům ověřit, zda se únik týká i jejich účtu, na svém webu zveřejnil i Mall. Po zadání e-mailové adresy uživateli přijde zpráva, která mu potvrdí, jestli byl jeho účet kompromitován.

Vstoupit do diskuse (67 názorů)

David Slížek

Šéfredaktor Lupa.cz a externí spolupracovník Českého rozhlasu Plus. Dříve editor IHNED.cz, předtím Aktuálně.cz a Českého rozhlasu. Najdete mě na Twitteru nebo na LinkedIn.

Témata:

Komu neni rady, tomu neni pomoci. Ja se vsadim, ze udelat stranku neceho zajimaveho (brutalni slevove poukazy, porno apod.), chtit pro registraci e-mail a heslo, najde se tak minimalne 40% pitomcu, kteri mi do registrace daji zive heslo k tomu jejich mailu...

bez přezdívky

'; document.getElementById('preroll-iframe').onload = function () { setupIframe(); } prerollContainer = document.getElementsByClassName('preroll-container-iframe')[0]; } function setupIframe() { prerollDocument = document.getElementById('preroll-iframe').contentWindow.document; let el = prerollDocument.createElement('style'); prerollDocument.head.appendChild(el); el.innerText = "#adContainer>div:nth-of-type(1),#adContainer>div:nth-of-type(1) > iframe { width: 99% !important;height: 99% !important;max-width: 100%;}#videoContent,body{ width:100vw;height:100vh}body{ font-family:'Helvetica Neue',Arial,sans-serif}#videoContent{ overflow:hidden;background:#000}#adMuteBtn{ width:35px;height:35px;border:0;background:0 0;display:none;position:absolute;fill:rgba(230,230,230,1);bottom:20px;right:25px}"; videoContent = prerollDocument.getElementById('contentElement'); videoContent.style.display = 'none'; videoContent.volume = 1; videoContent.muted = false; const playPromise = videoContent.play(); if (playPromise !== undefined) { playPromise.then(function () { console.log('PREROLL sound allowed'); // setUpIMA(true); videoContent.volume = 1; videoContent.muted = false; setUpIMA(); }).catch(function () { console.log('PREROLL sound forbidden'); videoContent.volume = 0; videoContent.muted = true; setUpIMA(); }); } } function setupDimensions() { prerollWidth = Math.min(iinfoPrerollPosition.offsetWidth, 480); prerollHeight = Math.min(iinfoPrerollPosition.offsetHeight, 320); } function setUpIMA() { google.ima.settings.setDisableCustomPlaybackForIOS10Plus(true); google.ima.settings.setLocale('cs'); google.ima.settings.setNumRedirects(10); // Create the ad display container. createAdDisplayContainer(); // Create ads loader. adsLoader = new google.ima.AdsLoader(adDisplayContainer); // Listen and respond to ads loaded and error events. adsLoader.addEventListener( google.ima.AdsManagerLoadedEvent.Type.ADS_MANAGER_LOADED, onAdsManagerLoaded, false); adsLoader.addEventListener( google.ima.AdErrorEvent.Type.AD_ERROR, onAdError, false); // An event listener to tell the SDK that our content video // is completed so the SDK can play any post-roll ads. const contentEndedListener = function () { adsLoader.contentComplete(); }; videoContent.onended = contentEndedListener; // Request video ads. const adsRequest = new google.ima.AdsRequest(); adsRequest.adTagUrl = iinfoVastUrls[iinfoVastUrlIndex]; console.log('Preroll advert: ' + iinfoVastUrls[iinfoVastUrlIndex]); videoContent.muted = false; videoContent.volume = 1; // Specify the linear and nonlinear slot sizes. This helps the SDK to // select the correct creative if multiple are returned. // adsRequest.linearAdSlotWidth = prerollWidth; // adsRequest.linearAdSlotHeight = prerollHeight; adsRequest.nonLinearAdSlotWidth = 0; adsRequest.nonLinearAdSlotHeight = 0; adsLoader.requestAds(adsRequest); } function createAdDisplayContainer() { // We assume the adContainer is the DOM id of the element that will house // the ads. prerollDocument.getElementById('videoContent').style.display = 'none'; adDisplayContainer = new google.ima.AdDisplayContainer( prerollDocument.getElementById('adContainer'), videoContent); } function unmutePrerollAdvert() { adVolume = !adVolume; if (adVolume) { adsManager.setVolume(0.3); prerollDocument.getElementById('adMuteBtn').innerHTML = ''; } else { adsManager.setVolume(0); prerollDocument.getElementById('adMuteBtn').innerHTML = ''; } } function onAdsManagerLoaded(adsManagerLoadedEvent) { // Get the ads manager. const adsRenderingSettings = new google.ima.AdsRenderingSettings(); adsRenderingSettings.restoreCustomPlaybackStateOnAdBreakComplete = true; adsRenderingSettings.loadVideoTimeout = 12000; // videoContent should be set to the content video element. adsManager = adsManagerLoadedEvent.getAdsManager(videoContent, adsRenderingSettings); // Add listeners to the required events. adsManager.addEventListener(google.ima.AdErrorEvent.Type.AD_ERROR, onAdError); adsManager.addEventListener( google.ima.AdEvent.Type.CONTENT_PAUSE_REQUESTED, onContentPauseRequested); adsManager.addEventListener( google.ima.AdEvent.Type.CONTENT_RESUME_REQUESTED, onContentResumeRequested); adsManager.addEventListener( google.ima.AdEvent.Type.ALL_ADS_COMPLETED, onAdEvent); // Listen to any additional events, if necessary. adsManager.addEventListener(google.ima.AdEvent.Type.LOADED, onAdEvent); adsManager.addEventListener(google.ima.AdEvent.Type.STARTED, onAdEvent); adsManager.addEventListener(google.ima.AdEvent.Type.COMPLETE, onAdEvent); playAds(); } function playAds() { // Initialize the container. Must be done through a user action on mobile // devices. videoContent.load(); adDisplayContainer.initialize(); // setupDimensions(); try { // Initialize the ads manager. Ad rules playlist will start at this time. adsManager.init(1920, 1080, google.ima.ViewMode.NORMAL); // Call play to start showing the ad. Single video and overlay ads will // start at this time; the call will be ignored for ad rules. adsManager.start(); // window.addEventListener('resize', function (event) { // if (adsManager) { // setupDimensions(); // adsManager.resize(prerollWidth, prerollHeight, google.ima.ViewMode.NORMAL); // } // }); } catch (adError) { // An error may be thrown if there was a problem with the VAST response. // videoContent.play(); } } function onAdEvent(adEvent) { const ad = adEvent.getAd(); console.log('Preroll event: ' + adEvent.type); switch (adEvent.type) { case google.ima.AdEvent.Type.LOADED: if (!ad.isLinear()) { videoContent.play(); } prerollDocument.getElementById('adContainer').style.width = '100%'; prerollDocument.getElementById('adContainer').style.maxWidth = '640px'; prerollDocument.getElementById('adContainer').style.height = '360px'; break; case google.ima.AdEvent.Type.STARTED: window.addEventListener('scroll', onActiveView); if (ad.isLinear()) { intervalTimer = setInterval( function () { // Example: const remainingTime = adsManager.getRemainingTime(); // adsManager.pause(); }, 300); // every 300ms } prerollDocument.getElementById('adMuteBtn').style.display = 'block'; break; case google.ima.AdEvent.Type.ALL_ADS_COMPLETED: if (ad.isLinear()) { clearInterval(intervalTimer); } if (prerollLastError === 303) { playYtVideo(); } break; case google.ima.AdEvent.Type.COMPLETE: if (ad.isLinear()) { clearInterval(intervalTimer); } playYtVideo(); break; } } function onAdError(adErrorEvent) { console.log(adErrorEvent.getError()); prerollLastError = adErrorEvent.getError().getErrorCode(); if (!loadNext()) { playYtVideo(); } } function loadNext() { iinfoVastUrlIndex++; if (iinfoVastUrlIndex < iinfoVastUrls.length) { iinfoPrerollPosition.remove(); playPrerollAd(); } else { return false; } adVolume = 1; return true; } function onContentPauseRequested() { videoContent.pause(); } function onContentResumeRequested() { videoContent.play(); } function onActiveView() { if (prerollContainer) { const containerOffset = prerollContainer.getBoundingClientRect(); const windowHeight = window.innerHeight; if (containerOffset.top < windowHeight/1 && containerOffset.bottom > 0.0) { if (prerollPaused) { adsManager.resume(); prerollPaused = false; } return true; } else { if (!prerollPaused) { adsManager.pause(); prerollPaused = true; } } } return false; } function playYtVideo() { iinfoPrerollPosition.remove(); youtubeIframe.style.display = 'block'; youtubeIframe.src += '&autoplay=1&mute=1'; } }

Sdílet