http://netsecurity.51cto.com/art/201303/384546.htm
1、Evernote


前不久，在线笔记应用公司Evernote向其5000万用户发出重置密码通知，因为该公司发现功黑客已经侵入内部账户信息数据库来窃取加密的用户名和密码组合。虽然该公司使用加盐值MD5哈希来进行加密保护，但专家批评这是很容易遭受暴力破解的加密方法，并不像bcrypt、scrypt或者PBKDF2那么有效，这些加密方法可以减少攻击者每秒的自动猜测密码的数量。

评论：防不胜防，加密信息被盗。

2、Yahoo Voices


在2012年7月，名为D33Ds Company的黑客组织通过SQL注入攻击侵入雅虎的子网站，对包含超过45万未加密Yahoo Voice密码的数据库进行窃取。攻击者在其公开张贴在网上的密码信息中附上了这条信息：“我们希望负责管理该子网站的安全性的各方将此作为一次警告，而不是一种威胁。”

评论：保护数据，自我保护和外部防范都要做好。

3、LinkedIn


在2012年6月，LinkedIn从安全社区得到糟糕的评价，因为该公司有超过650万用户密码被窃取，而这些密码的唯一保护是未加料的加密哈希。研究人员Ching Tim Meng表示：“从一个重要线索中我们可以确定该公司对其安全是否重视：使用未加料SHA1密码哈希。这是不安全地存储哈希密码的经典错误，这是一个严重的错误。”

评论：疏忽带来用户密码被盗。

4、eHarmony



在LinkedIn事故不久后，攻击者在网上公布了来自eHarmony网站的超过150万不区分大小写的密码，这暴露了该在线交友网站糟糕的密码保护政策。与LinkedIn一样，eHarmony也是使用未加料的哈希来保护其密码。来自Trustwave SpiderLabs的研究人员报告称，只花了72小时就破解了80%的密码。

评论：同样的案例。

5、Zappos


在2012年1月，在线鞋类零售商Zappos在发现2400万密码遭受泄露后，向其所有客户发送密码重置通知。该公司对于其对密码部署的保护机制“含糊其辞”，并没有透露用以模糊登录信息的加密类型。虽然该公司因此受到一些非议，但很多业内人士对该公司快速响应泄露事故以及采取积极措施要求用户重置密码的做法表示赞赏。

评论：亡羊补牢，为时未晚。

6、DreamHost


Web托管公司DreamHost遭受了严重的泄露事故，攻击者侵入了包含其所有共享托管账户的FTP登录凭证的数据库。这次泄露事故也暴露了该托管公司的问题，即他们将这些密码存储以纯文本保存的传统数据库表中。很多身份管理专家称，这次泄露事故很好地说明了为什么企业需要重新思考在分布式数据库中登录凭证的存储。

7、Twitter


上个月，Twitter宣布超过25万用户的密码被泄露，并敦促其用户重置其密码。根据业界传言称，该公司正在努力开发与谷歌目前使用的类似的双因素身份验证。这并不是Twitter遭遇的唯一的泄露事故。在2012年5月，攻击者在Pastebin公布了约6万名Twitter用户的密码账户信息，虽然该公司表示，这其中至少有一半是被阻拦的垃圾邮件账户。

评论：即使重要信息泄露的可能是百分之一，也不能松懈。

8、Booz Allen Hamilton


来自AntiSec组织的攻击者向政府军方承包商Booz Allen Hamilton进行了攻击，并发布了9万个美国军方电子邮件地址和密码，这些密码使用未加料的SHA1哈希加密。另外有趣的细节包括美国中央司令部、特种作战司令部、海军陆战队、空军部队以及国土安全局的账户密码。

评论：国家安全受到威胁。

9、Sony Pictures


对于索尼来说，2011年并不是一个好年头。在超过7700万索尼Playstation网络用户的个人身份信息泄露后，LulzSec继续在其伤口上撒盐—窃取并公布了SonyPictures.com的100万用户密码。此泄露事故的攻击者Raynaldo Rivera去年被定罪。

评论：震惊世界的黑客行动。

10、RockYou


RockYou公司在2009年遭受了泄露事故，3200万纯文本密码被泄露，这也是第一批公开的大型密码泄露事故之一。RockYou不得不向FTC支付25万美元的民事罚款，因为其未能履行隐私政策—没有提供足够安全的密码保护。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)