Утечка данных на платформе Quidd (quidd.co), представляющей собой маркетплейс цифровых предметов коллекционирования (стикеров, карточек, игрушек), произошла в 2019 году, однако широкий резонанс и появление базы в публичном доступе на хакерских форумах пришлись на весну 2020 года. В сервисе HIBP и системе Mozilla Monitor этот инцидент зафиксирован как один из крупных сливов пользовательских данных.
Главные детали инцидента:
- Масштаб утечки: В руки злоумышленников попали учетные данные 3 954 416 пользователей.
- Скомпрометированные данные:
- Имена пользователей (username).
- Адреса электронной почты (e-mail).
- Пароли, защищенные хеш-функцией bcrypt.
- Кто обнаружил: Исследователи безопасности из компании Risk Based Security зафиксировали появление базы на теневых форумах в марте 2020 года (первоначально слив приписывали хакеру под ником ProTag, после чего данные перезаливались повторно).
- Корпоративные риски: Анализ дампов показал, что среди слитых адресов электронной почты присутствовали корпоративные ящики сотрудников крупных мировых компаний и организаций (включая Microsoft, Target, AIG и др.), что могло грозить атаками типа credential stuffing на рабочие аккаунты, если пользователи использовали одинаковые пароли.
Безопасность паролей:
Хотя пароли хранились в захешированном виде с использованием относительно стойкого алгоритма bcrypt (что затрудняет их мгновенную расшифровку по сравнению с простым MD5 или SHA), слабые и стандартные комбинации всё равно могли быть подобраны злоумышленниками методом перебора.