O Banco de Dados do Aplicativo Wishbone Vaza Totalmente Após uma Tentativa Inicial de Venda

Depois que uma entidade Black Hat, conhecida como ShinyHunters, tentou vender os detalhes dos usuários do aplicativo Wishbone, todo o banco de dados vazou online e pode ser baixado gratuitamente. O Wishbone é um aplicativo móvel que permite que os usuários votem em um dos dois itens no formulário gerado pelo usuário.

Originalmente, os hackers colocaram à venda um pedaço de 40 milhões de usuários do banco de dados do aplicativo, pela quantia relativamente modesta de cerca de US $8.000 em Bitcoin. O anúncio foi publicado em vários fóruns de hackers e alegou incluir e-mails de usuários, nomes, números de telefone, geolocalização e senhas com hash SHA1. Mesmo que os maus autores tenham alegado que as senhas são criptografadas em SHA1, as senhas são realmente em hash usando MD5.

Mais tarde, vários especialistas em segurança criticaram o Wishbone por usar o MD5 para hashear senhas de usuários e chamaram o método de "obsoleto" e "fraco". De fato, como os pesquisadores do ZDNet apontaram, é possível acessar a versão em texto sem formatação das senhas com hash MD5 usando ferramentas disponíveis gratuitamente.

Desde as postagens originais e as tentativas de vender uma parte do banco de dados do Wishbone, todo o banco de dados vazou online e agora é distribuído gratuitamente, usando os mesmos fóruns em que o anúncio original foi publicado.

É questionável se a entidade que estava vendendo o banco de dados vazado on-line era a mesma entidade que executou o hack real, que ocorreu no início de 2020. O mesmo usuário que vende dados do Wishbone também vende informações do usuário de mais de uma dúzia de outras plataformas, incluindo o Facebook, o Epic Jogos e o Fotolog. O ZDNet confirmou ainda que esse último vazamento do Wishbone não inclui as informações de usuário contidas em um vazamento anterior de informações de usuários do aplicativo, pois o Wishbone também foi atacado em 2017.

É claro que todos os usuários do Wishbone são aconselhados a alterar imediatamente a senha do aplicativo, mas isso não impedirá que os maus atores que obtêm acesso ao vazamento abusem das informações e senhas em texto sem formatação e os usem para preenchimento de credenciais em outros sites e aplicativos.