Хакеры “слили” базу сайта супружеских измен

Ashley Madison за год заработал $1,7 млн на “удалении” анкет пользователей, которые продолжал хранить

Сергей Попсулин

Сайт для супружеских измен Ashley Madison взимал с пользователей плату за полное удаление их данных со своих серверов. В 2014 г. эта функция позволила ему заработать $1,7 млн. Тем не менее, сведения оставались, и теперь они опубликованы вместе с данными с других аккаунтов в открытом доступе.

Обман пользователей

Владельцы сайта для супружеских измен Ashley Madison только лишь в 2014 г. заработали $1,7 млн на обмане своих пользователей, предлагая им платную функцию «полного удаления» любых свидетельств их активности, со ссылкой на обнародованную хакерами информацию.

Пользователи Ashley Madison, желающие полностью стереть с сайта все свои данные, должны заплатить $19. После оплаты администрация обещает удалить учетную запись (в том числе из поиска), сообщения, подмигивания, подарки, историю, фотографии и любую информацию, по которой пользователя можно было бы идентифицировать.

Однако в действительности владельцы ресурса вводили доверчивых пользователей в заблуждение, так как данные оставались на серверах. «Вас просто обманули и подвели, — заявили хакеры, взломавшие сервис Ashley Madison в июле 2015 г. — Предъявите им иск и потребуйте компенсацию. А затем живите дальше. Вынесите урок и принесите извинения. Вы это переживете».

Обращение хакеров из The Impact Team

[: Вот объявление, которым они сопроводили публикацию:
Время вышло!
АЛМ не удалось скрыть данные «Эшли Мэдисон» и «Эстеблишд мэн». Мы рассказывали о мошенничестве, лжи и тупости компании и ее членов. Теперь каждый может увидеть их данные.
Нашли кого-то знакомого? Имейте в виду, сайт — это афера с тысячами поддельных женских анкет. Посмотрите на фальшивые анкеты «Эшли Мэдисон»; 90−95% реальных пользователей — это мужчины. Скорее всего, ваш мужчина зарегистрировался на крупнейшем в мире сайте интрижек, но так никогда и не смог завести ни одной. Он всего лишь пытался. Если разница для вас имеет значение.
Нашел себя здесь? Вини АЛМ, которые тебе врали. Преследуй их в судебном порядке и требуй возмещения убытков. Затем живи дальше. Получи урок и загладь свою вину. Сейчас тебе стыдно, но ты справишься. — Врезка К.ру]

Десятки тысяч аккаунтов

Исходя из объема заработка на функции полного удаления и ее стоимости, опустив расходы и налоговые издержки, можно подсчитать, что этой опцией в прошлом году воспользовалось около 90 тыс. человек. Теперь информация, за удаление которой они заплатили, размещена в открытом доступе в интернете.

Публикация данных

Вчера, 19 августа, хакеры, именуемые себя Impact Team, опубликовали похищенную в результате взлома базу данных Ashley Madison объемом около 10 ГБ на торрент-сайтах в свободном доступе. Она содержит собранные с 2007 г. логины и пароли примерно 32 млн пользователей сайта, их электронные почтовые адреса, информацию о сексуальных пристрастиях и совершенных платежах. [...]

[: Итак, что на данный момент удалось обнаружить в архиве? [...]
Дамп сделан 11/07/15 (в июле текущего года, о взломе стало известно неделей позже).
Всего база содержит данные более чем о 33 млн аккаунтов и 36 млн email-адресов. Многие из учеток откровенно «одноразовые», без привязки к каким-либо личным данным.
Информация о каждом аккаунте исчерпывающая. Полное имя, адрес, телефон, хеши паролей (bcrypt), а также данные важные для знакомств — вес, рост, цвет волос и так далее. Более того, во многих случаях информация об аккаунте содержит GPS координаты. Очевидно, приложение отслеживало пользователей принудительно, даже если те не указывали адрес.
Обнаружены данные о банковских картах. Полные номера карт не раскрываются, зато есть имя владельца и адрес.
Обнаружено порядка 250,000 аккаунтов, похожих на удаленные. Информация о паролях для данных аккаунтов почему-то удалена. Возможно, эти люди просто не оплатили доступ, и были заблокированы. Но, возможно, что они хотели удалить свой профиль с сайта. Напомню, на Ashley Madison эта услуга была платной и стоила $19. Именно это, в частности, возмутило хакеров из The Impact Team, — они полагали, что деньги с пользователей собирают, но ни о каких удалениях речи не идет.
В основном сайтом пользовались мужчины. 28 млн пользователей выбрали соответствующую строку в графе «пол». Женщин около 5 млн. Еще 2 млн пол не указали.
В архиве также содержится информация о PayPal-аккаунтах руководства Ashley Madison, данные Windows domain, предназначенные для сотрудников и огромное количество внутренней документации компании Avid Life Media (логи чатов, контракты, техники продаж и многое другое). — Врезка К.ру]

[: Среди миллионов почтовых адресов в архиве были найдены «ящики» на государственных доменах «.mil» и «.gov», включая [email protected], который принадлежит британскому премьер-министру . Тем не менее у сайта Ashley Madison отсутствует процедура подтверждения почтовых адресов, поэтому присутствие адреса Тони Блэра в списке могло быть чьей-то шуткой. — Врезка К.ру]

[: Выяснилось, что в этом массиве информации есть, в том числе, данные правительственных чиновников из США и Великобритании, руководителей коммерческих компаний из Европы и Северной Америки.
, на сайте зарегистрировались как минимум 44 человека, пользовавшиеся системой электронной почты Белого дома, 33 сотрудника госдепартамента США, 104 - министерства по делам ветеранов, 88 - Федерального бюро тюрем, 52 - почтовой службы страны и 45 - министерства национальной безопасности. Всего же, , к услугам канадской фирмы прибегло свыше 15 тыс. пользователей компьютеров, принадлежащих военным и правительственным ведомствам в США. — Врезка К.ру]

Бизнес-модель Ashley Madison

AshleyMadison.com (название состоит из двух популярных женских имен) — канадский сайт знакомств с недвусмысленным девизом: «Жизнь коротка. Заведи интрижку». Он предлагает возможность найти пару для секса мужчинам и женщинам, состоящим в браке или отношениях. Согласно официальному описанию ресурса, ежедневно на нем регистрируются тысячи новых пользователей, из которых около 70% составляют мужчины.

Регистрация на сайте бесплатна. Пройдя ее, пользователь может завести аккаунт, обмениваться фотографиям и отправлять подмигивания. Однако писать сообщения нельзя, пока человек не выполнит переход на платный аккаунт.

Запутанный механизм удаления аккаунта

Как отмечает Ars Technica, механизм удаления аккаунта с сайта Ashley Madison является достаточно сложным и непонятным. В частности, сервис предлагает три различных вида удаления. И лишь один из них подразумевает полное стирание данных (которое, как выяснилось, не работает). Другие два — скрытие аккаунта и его отключение без возможности восстановления. В интервью Ars Technica представитель сайта сообщил, что платное удаление обусловлено административными издержками.

[: Представитель Avid Life Media факт взлома и принес извинения всем пользователям Ashley Madison.
«В настоящее время мы закрыли несанкционированный доступ к нашим сайтам и обеспечили их безопасность. Мы работаем с правоохранительными органами, чтобы расследовать этот криминальный акт», — заявил он. В компании не сообщили, какая часть личной информации была украдена, а также отказались комментировать подробности взлома и его влияние на предстоящее IPO.
Сайт Ashley Madison создан в 2002 году бывшим спортивным юристом Ноэлем Бидерманом. Сам он неоднократно называл сайт сервисом для изменников и изменниц. [...] Согласно собственным заявлениям Ashley Madison, аудитория сайта составляет 34 млн пользователей в 48 странах. FT отмечает, такие показатели делают площадку вторым по размеру после Match.com сайтом знакомств.
Монетизация сервиса происходит за счёт «кредитов» — внутренней валюты сайта, которые мужчины тратят на добавление новых контактов. Девушки могут пользоваться сайтом бесплатно. В 2014 году выручка сервиса составила $115 млн (рост на 45% по сравнению с 2013 годом), Avid Life Media оценивает Ashley Madison в $1 млрд.
В апреле 2015 года стало известно, что Avid Life Media намерена провести IPO в Европе — в качестве основной площадки рассматривалась Лондонская биржа. Привлеченные средства компания планировала потратить на международную экспансию Ashley Madison — в том числе, в Россию. — Врезка К.ру]