| Как может быть, вы знаете, у меня недавно сломали один из почтовых адресов и захватив его, стерли эккаунт в ЖЖ. Адрес был на Mail.ru. Я заподозрил, что при взломе использовались какие-то уязвимости почты и пошел разбираться, где ж собака зарыта. Долго ли, коротко ли искал, однако нашел я возможную дыру — и это не дыра, а целые ворота настежь, приходи и бери пароль. Не знаю, этот ли канал использовали взломщики, но где лежит эта дыра и как ее немного прикрыть, я вам покажу. |
Итак, шаря по настройкам ( http://win.mail.ru/cgi-bin/options?####### ) , я вдруг наткнулся на поразительную ссылку (вида http://win.mail.ru/cgi-bin/userinfo?####### ) под названием «Анкетные данные: Здесь хранится информация, введенная Вами при регистрации почтового ящика: ФИО, дата рождения, а также некоторые настройки М-Агента. «.
Чтоб было понятно: несколько лет назад на волне моды на собственные интернет-пейджеры в Mail.ru сделали аналог ICQ — Mail.ru Агент. Агент ставился по умолчанию при регистрации и помимо чата и проверки почты еще и собирал о пользователе данные о том, чем он в сети занимается — то есть попросту шпионил за ним. Тогда это еще не считалось зазорным — на другом крупном портале, забыл название,такого шпиончика («колобка», кажется) втыкали всем, кто сдуру браузер на нем открывал, причем «колобок» еще и деинсталляции не поддавался. От Агента же хоть отказаться было можно. Собранные подобным образом данные предполагалось рекламодателям продавать. Через какое-то время пошла война борьбы с адварезами и мальварезами, да и пользователи поумнели, и сейчас Агент ставят в основном подростки да прочие чайники. Однако оказалось, что в веб-настройки Mail.ru всем пользователям задним числом добавили экранчик вот такого вида!
И все подчеркнутые мною галочки там были по умолчанию отмечены. В том числе галочка «отображать эти данные в Mail.ru Агенте». То есть, если вы регистрировали почту на Mail.ru до того, как был придуман Агент, начиная с какого-то момента все ваши основные личные данные (имя, фамилия, дата рождения) стало возможным увидеть через Агент.
А параллельно с этим на Mail.ru была сделана программная система восстановления пароля. Если вы нажмете на «забыл пароль», вам предложат дать ответ на контрольный вопрос. Однако а ну как вы ответ забыли? И чтобы не перегружать техподдержку тысячами писем от пользователей, в Mail.ru сделали проще. «Воспользуйтесь СИСТЕМОЙ ВОССТАНОВЛЕНИЯ ПАРОЛЯ». Это не обмен данными с живым сотрудником, это скрипт, программа. http://mail.ru/cgi-bin/passremind
И вот как она выглядит:
Чтобы получить пароль, не обязательно точно заполнить все поля. Достаточно угадать какую-то их часть. И скрипт сам, без участия человека, вышлет пароль на тот почтовый адрес, который вы укажете. А что за данные нам нужны? Имя, фамилия, год рождения. и откуда их взять? Правильно, посмотреть в анкете, которую Mail.ru любезно нам покажет через Mail.ru Агент.
Таким образом, у Mail.ru правая рука не знает, что левая делала. Одна вешает замок, другая кладет ключ под коврик. Одни менеджеры используют пользовательские данные для хранения секрета, другие выставляют их напоказ для раскрутки социальной сети и удовольствия рекламодателей. Сколько времени так продолжалось, я не знаю — возможно, несколько лет. Еще раз подчеркиваю: анкеты пользователей Mail.ru стали в какой-то момент доступны через Агент без ведома их владельцев и сейчас становаятся доступными по умолчанию. И этих данных вполне достаточно, чтоб, зная ваш адрес, взять у Mail.ru ваш пароль.
Скорее всего, это не последняя дыра в Мэйл.ру, но как уже было сказано, то, что я описываю, это не дыра, это ворота настежь. Это не ошибка и не злой умысел — это просто уму непостижимая глупость менеджмента и инженеров Мэйл.ру.
Введите E-mail указанный Вами при регистрации и нажмите кнопку «Далее» .
Восстановить пароль к почтовому ящику можно одним из нижеперечисленных cпособов:
правильно ответить на секретный вопрос;
правильно указать дополнительный адрес;
правильно ввести номер мобильного телефона;
правильно указать e-mail пересылки;
заполнить форму обращения в Cлужбу поддержки
При правильном ответе на секретный вопрос Вам сразу предложат установить новый пароль к почтовому ящику.
При правильном указании дополнительного адреса, который Вы давали при регистрации, мы сгенерируем новый пароль и пришлем его на этот адрес.
При правильном вводе номера мобильного телефона, указанного в настройках почтового ящика, мы пришлем Вам на него SMS код для восстановления пароля. После ввода полученного кода из SMS Вам сразу предложат установить новый пароль к почтовому ящику.
Данная услуга доступна для всех абонентов России.
При правильном указании адреса пересылки, который Вы давали в настройках своего почтового ящика, мы сгенерируем новый пароль и пришлем его на адрес пересылки.
Если Вам не удастся восстановить пароль ни одним из способов, заполните форму обращения — Вам ответят в течение трех рабочих дней.
Пароли выдаются только по запросам через эти web-формы и никак иначе.
Пожалуйста, не пытайтесь заполнить несколько запросов подряд — в случае успеха сервер выдаст Вам новый пароль к почтовому ящику на каждый из них, и Вы сами не сможете разобраться в том, какой из паролей верный.
А если не помните кодового слова, то Вам необходимо сделать:
Основное — заказать пароль на другой ящик, если он был указан.
1 Сообщить администрации, какие примерно были последние письма в ящике и с какой темой, так-же их точные даты весьма желательны.
2 С каких IP адресов вы входили в почту и как долго были обычно в ящике. В какое обычно время и т. п. Список IP адресов вы можете узнать у вашего провайдера или посмотреть в свойствах сетевого соединения с интернетом, кликнув на значёк соединения и посмотреть в свойствах.
3 Дату регистрации на почте — хоть примерную.
Page Summary
Как узнать пароль от чужой почты на mail.ru
« previous entry | next entry »
Sep. 25th, 2007 | 12:11 am
В очередной раз сервис mail.ru доказал свою «кривизну».
Читаем:
Шаря по настройкам ( http://win.mail.ru/cgi-bin/options?####### ), наткнулся на поразительную ссылку
(вида http://win.mail.ru/cgi-bin/userinfo?####### ) под названием
«Анкетные данные: Здесь хранится информация, введенная Вами при регистрации почтового ящика:
ФИО, дата рождения, а также некоторые настройки М-Агента.»
И все галочки по умолчанию отмечены. В том числе галочка «отображать эти данные в Mail.ru Агенте».
То есть, если вы регистрировали почту на Mail.ru до того, как был придуман Агент,
начиная с какого-то момента все ваши основные личные данные (имя, фамилия, дата рождения)
стало возможным увидеть через Агент.
Вместе с этим на Mail.ru была сделана программная система восстановления пароля.
Если вы нажмете на «забыл пароль», вам предложат дать ответ на контрольный вопрос. А если ответ забыли?
И чтобы не перегружать техподдержку тысячами писем от пользователей, в Mail.ru сделали проще.
«Воспользуйтесь СИСТЕМОЙ ВОССТАНОВЛЕНИЯ ПАРОЛЯ». Это не обмен данными с живым сотрудником,
это скрипт, программа. http://mail.ru/cgi-bin/passremind
Которая выглядит вот так:
Чтобы получить пароль, не обязательно точно заполнить все поля.
Достаточно угадать какую-то их часть.
И скрипт сам, без участия человека, вышлет пароль на тот почтовый адрес, который вы укажете.
А что за данные нам нужны? Имя, фамилия, год рождения… и откуда их взять?
Правильно, посмотреть в анкете, которую Mail.ru любезно нам покажет через Mail.ru Агент.
Так ли ломают ящики, или не так,
но вашим первым действием по прочтении поста сейчас должно быть не написать комментарий, а
— открыть ваш ящик на Mail.ru, List.ru, Bk.ru или Inbox.ru
— войти в настройки «Анкетных данных»
— отключить все галочки до одной.
— и поменять заодно все обязательные анкетные данные.
Пока все эти возможности в вашем почтовом эккаунте не отключены — ВЫ УЯЗВИМЫ!
А сделав все это, возвращайтесь сюда и уже тогда пишите комментарии.
Не дадим в очередной раз себя обмануть!
Прочёл сам, дай прочитать товарищу — РАЗМЕСТИ ЭТУ СТАТЬЮ НА ДРУГИХ РЕСУРСАХ!