Podle Alexe Holdena z Hold Security se ruský hacker pokouší prodat 272 milionů přihlašovacích údajů do Gmailu, Hotmailu, Yahoo a možná dalších služeb. Pikantní je, že cena je ani ne jeden dolar (50 rublů). A také to, že by šlo o jeden z největších úniků hesel v historii.
Připomeňme, že Alex Holden byl i jedním z těch, kdo objevili před lety masivní únik údajů z Adobe, ale také se objevil u předchozího „úniku“ hesel z Gmailu (viz Ještě k úniku @gmail.com adres s hesly: používání e-mailu jako login je potíž), kdy šlo o pět milionů adres s hesly.
Ale už tehdy se řešilo to, že nejde o únik (tedy o to, že by z Gmailu či dalších služeb bylo možné získat hesla), ale o kombinace nasbírané po Internetu (phishing) a soustředěné z jiných úniků. Tedy například o e-mailovou adresu z Gmailu, ale heslo používané v jiné službě.
Holden od ruského hackera nakonec informace získal zadarmo (respektive výměnou za pochvalný komentář v hackerských fórech) a šlo původně o 1,17 miliardy záznamů, které se po deduplikaci smrskly na desítky milionů záznamů z řady různých online služeb. Včetně 57 milionů hesel do Mail.ru a dalších desítek milionů pro Gmail (24 milionů), Hotmail (33 milionů) a Yahoo (40 milionů). Ale také stovky tisíc účtů z online služeb v Německu a v Číně.
Je velmi pravděpodobné, že „nový únik“ je opět jenom kompilací toho, co se dá na internetu najít v desítkách i stovkách databází s hesly a e-maily. Stejně jako v předchozím případě mají různorodé zdroje a řada z takto kolujících hesel je i roky stará. Pokud vezmeme v úvahu počty úniků u jednotlivých služeb, tak je to jenom zlomek existujících účtů na nich – což opět znamená, že je těžko představitelné, že by zdrojem byly přímo tyto služby. Co navíc, bylo by hodně absurdní, kdyby výše uvedené služby ukládaly hesla uživatelů v čisté textové podobě.
Sám Holden upozorňuje, že v úniku je 272 milionů unikátních párů e-mailů a hesel (nešifrovaných hesel). Ale pouze 42,5 milionů se neobjevilo v žádném jiném z předchozích úniků. Což by opět napovídalo spíše na sbírání hesel po internetu a spojení s daty z dřívějších úniků.
Na haveibeenpwned.com prozatím tato databáze zahrnutá není. To ale neznamená, že by uživatelé neměli bezpečnosti svého hesla věnovat dodatečnou pozornost. Pokud navíc některou z těchto služeb opravdu používají coby hlavní e-mail, tak rozhodně doplnit dvoufaktorové ověření přihlášení.
Vyjádření jednotlivých služeb jsou poměrně shodná, Mail.ru vyšetřuje, zda e-maily a hesla souhlasí, Google také vyšetřuje, Yahoo se snaží získat data a Microsoft potřebuje více informací.
