Início » Antivírus e Segurança » Hacker vende 220 milhões de contas roubadas do Legendas.tv, Gfycat e mais

Hacker vende 220 milhões de contas roubadas do Legendas.tv, Gfycat e mais

Hacker vaza credenciais de Legendas.tv, Gfycat, Coinmama e YouNow; em alguns casos, isso inclui senhas em texto puro e e-mail

Felipe Ventura Por

Falamos na semana passada sobre um hacker que está vendendo 617 milhões de contas roubadas de 16 sites, vindas de vazamentos antigos e novos. Desta vez, o mesmo invasor colocou à venda mais 220 milhões de credenciais, obtidas de serviços como Legendas.tv, Ge.tt, Gfycat, Coinmama e YouNow. Em alguns casos, isso inclui senhas em texto puro e endereços de e-mail.

Notebook (Imagem: Flickr/Visual Content)

Essas credenciais estão sendo vendidas na dark web por uma conta chamada "Gnosticplayers". Em entrevista à ZDNet, o responsável diz que hackeou os sites em questão e que não é apenas um intermediário.

Assim como antes, o hacker está vendendo alguns dados que vazaram há tempos. É o caso do Legendas.tv: a base de dados contém 3,86 milhões de credenciais obtidas em 2017, incluindo nome de usuário, senha em texto puro, endereço de e-mail e endereço IP.

O Legendas.tv oferece legendas de séries e filmes, e requer que o usuário esteja logado para fazer download. No entanto, o site não utiliza HTTPS, nem mesmo na página de login e de cadastro. Isso significa que as credenciais são transmitidas sem criptografia.

Há também alguns vazamentos recentes na lista: as credenciais do Ixigo (comparação de voos e hotéis) e Roll20.net (jogos de tabuleiro virtuais) têm data de janeiro de 2019. A lista completa dos serviços vazados segue no final do post.

No total, são 16 bases de dados com credenciais vazadas que estão à venda no Dream Market, mercado da dark web, por valores entre US$ 220 e US$ 11 mil. Somadas, elas custam cerca de US$ 25 mil.

Alguns serviços estão avisando seus usuários sobre o vazamento e recomendando que troquem a senha, como Roll20.net e Coinmama (compra de criptomoedas). Outros abriram uma investigação sobre o caso, incluindo Gfycat (busca por GIFs) e ClassPass (aulas de academia). Enquanto isso, alguns sites ainda não se pronunciaram, como o Legendas.tv e Ge.tt (compartilhamento de arquivos).

Hacker quer "dinheiro e derrocada dos porcos americanos"

O Gnosticplayers diz que planeja vender mais de um bilhão de credenciais vazadas e desaparecer com o dinheiro. Ele vai vender novas bases de dados, incluindo de uma casa de câmbio de criptomoedas. "Meus dois principais objetivos são: dinheiro e a derrocada dos porcos americanos", afirmou ele à ZDNet.

Muitos dos sites invadidos usam o mesmo software de banco de dados, chamado PostgreSQL. O pesquisador de segurança Ariel Ainhoren explica ao TechCrunch que o hacker pode ter usado a mesma falha de segurança para atacá-los, reunir os dados em um arquivo e baixá-lo.

Jonathan Katz, que colabora no projeto de código aberto PostgreSQL, diz: "atualmente não temos conhecimento de quaisquer vulnerabilidades corrigidas ou nãocorrigidas que possam ter causado esses vazamentos".

16 serviços foram afetados por vazamentos

Estes são os 16 serviços afetados, em ordem alfabética:

  • ClassPass: 1,5 milhão de contas (incluindo senhas criptografadas) obtidas em 2018
  • Coinmama: 420 mil contas (incluindo senhas criptografadas) obtidas em agosto de 2018
  • Ge.tt: 1,83 milhão de contas (incluindo senhas criptografadas) obtidas em dezembro de 2017
  • Gfycat: 8 milhões de contas (incluindo senhas criptografadas) obtidas em 2018
  • Houzz: 57 milhões de contas (incluindo senhas criptografadas) obtidas em julho de 2018
  • Ixigo: 18 milhões de contas (incluindo senhas criptografadas) obtidas em janeiro de 2019
  • Jobandtalent: 11 milhões de contas (incluindo senhas criptografadas) obtidas em fevereiro de 2018
  • Legendas.tv: 3,86 milhões de contas (incluindo senhas em texto puro) obtidas em outubro de 2017
  • Onebip: 2,6 milhões de contas (incluindo senhas em texto puro) obtidas em outubro de 2017
  • Petflow: 1 milhão de contas (incluindo senhas criptografadas) obtidas em 2017
  • Pizap: 60,8 milhões de contas (incluindo senhas criptografadas) obtidas em 2018
  • Roll20.net: 4 milhões de contas (incluindo senhas criptografadas) obtidas em janeiro de 2019
  • StoryBird: 4 milhões de contas (incluindo senhas criptografadas) obtidas em 2015
  • StreetEasy: 1 milhão de contas (incluindo senhas criptografadas) obtidas em maio de 2018
  • StrongHoldKingdoms: 5 milhões de contas (incluindo senhas criptografadas) obtidas em setembro de 2018
  • YouNow: 40 milhões de contas (sem dados de senha) obtidas em outubro de 2017

A primeira leva de dados vazados, com 617 milhões de contas, incluía dados de outros 16 serviços. Alguns desses vazamentos são antigos: é o caso do MyFitnessPal, ocorrido em 2017. No entanto, outros são recentes — como 500px, EyeEm e Fotolog.

Com informações: ZDNet, TechCrunch.

Comentários

Envie uma pergunta

Os mais notáveis

Comentários com a maior pontuação

Tiago Celestino
É só abrir o código, seria mais eficiente.
raphael_silva
Não lembro detalhes.
Baio-kun
Nunca mais usei o legendas.tv depois que descobri que da pra "streamar" a legenda nativamente no media player classic. Tão mais pratico.
paulo yan
Quem? Quando?
raphael_silva
Sim.
paulo yan
Sério isso?
DanielBastos
*ligar=logar
Keaton
Vish... hahaha
raphael_silva
Não necessariamente, perguntei até pra minha prima no whatsapp que é advogada.
Keaton
Hum.... mas no caso... legalmente falando adquirir não significaria comprar?
raphael_silva
2o Na mesma pena do § 1o incorre quem, com o intuito de lucro direto ou indireto, distribui, vende, expõe à venda, aluga, introduz no País, adquire, oculta, tem em depósito, original ou cópia de obra intelectual ou fonograma reproduzido com violação do direito de autor, do direito de artista intérprete ou executante ou do direito do produtor de fonograma, ou, ainda, aluga original ou cópia de obra intelectual ou fonograma, sem a expressa autorização dos titulares dos direitos ou de quem os represente. (Redação dada pela Lei nº 10.695, de 1º.7.2003)
Keaton
Esqueceu da questão do lucro indireto. :p
Keaton
Pelo que lembro, precisa ter lucro direto ou indireto. Art. 184 do Código Penal - Decreto Lei 2848/40Lucro direto: venda de material protegido sem a devida autorização.Lucro indireto: uso do material protegido sem a devida autorização visando o lucro. Ex.: tocar música/passar video que não comprou a licensa em boates.Quanto a download pra uso pessoal, não lembro se tem problema.
Keaton
Outro site conhecido que faz (ou fazia) isso é o BalaoDaInformatica.... ao invés de gerar senhas novas, eles te enviam a antiga...
PugOfWar
acho que quando fecharem a internet, esse vai ser um dos últimos sites
Kodos Otros
Sim, são para pagar servidor entre outras despesas.Mesmo que seja para uso pessoal deles, pago com gosto.
Bruno
vc acha sinceramente que essas doações são pra manter um site que não muda o layout nem atualiza a segurança a bastante tempo?
Bruno
getnada
raphael_silva
É muita cara de pênis kkkE o pior que os caras não podem fazer nada já que é material derivado.
Felipe Liʍa
Teve uma rede de filmes tv a cabo q usou as legendas deles...
²He
O Site mantem as senhas em texto puro (porque ele já me enviou a minha senha de volta quando eu "esqueci") e não usa conexão segura nem na tela de login.Ai fica meio complicado uma coisa dessas não acontecer =/
raphael_silva
Legendei usa HTTPS e WP, menos pior kkk
raphael_silva
Já soube dos casos que um estúdio grande roubou a legenda dos caras e botaram no filme em bluray? kkkkkkk
raphael_silva
Não precisa ter lucro para ser pirataria só pra deixar claro, inclusive no Brasil.
Shalkad
Mas legendas são consideradas ilegais? E a pirataria abrange a reprodução, distribuição e venda do produto sem autorização do detentor dos direitos. Não precisa ter lucro para ser pirataria.
Stig
O sistema da base de dados é o mesmo utilizado por todos os sites invadidos, que é dos EUA.
Stig
Se cobrar anuncio entra como "obtenção de lucro" e é exatamente ai que o site vira de pirataria, pois a Lei brasileira é clara, só há Pirataria se houver lucro, e se você não cobrar nada, não há lucro, logo não é pirataria.
Alex
Pode parecer banal mas muita gente usa a mesma senha em vários sites onde cadastraram o mesmo email.Usem um gerenciador de senhas tipo o KEEPASS ou outro similar e outras contas de email pra coisas não importantes.
Leonardo Feelckins
eu REALMENTE preciso alterar todas as minhas senhas, pelo menos dos lugares mais importantes. já recebo toneladas de emails spoof do paypal com supostas movimentações, emails de hackers pedindo bitcoin e ameaçando divulgar coisas minhas (aham, senta lá) e coisas do tipo. e esses vazamentos nesses sites que já havia criado conta só me incentivam mais ainda renovar todas as minhas senhas
Smavil7 MÁXIMOS
É como tirar doce da boca de ,Crianca! !!
betacaroteno
Já invadiram, mas o site voltou depois.
DanielBastos
Ele não tem objetivo de coerência.
DanielBastos
10minutemail.Tenho 1 conta pra cada época que eu precisei. Com senhas que não são as oficiais.
DanielBastos
Todo lugar que exige ligar pra fazer alguma coisa que eu não considere importante, recebe um e-mail do 10minutemail.Da um pouco mais de trabalho mas, nessas horas, eu tô com nenhuma preocupação.
Jairo ☠️
Se hackers invadirem o site pudim.com.br vou ficar bravo , o pau vai comer , cabeças serão decepadas
Kodos Otros
Ah sim, eu entendo. Na realidade nem as doações dão conta de pagar os gastos que eles tem. Os caras fazem um serviço sensacional.
Yamaha Mt-09
“Meus dois principais objetivos são: dinheiro e a derrocada dos porcos americanos”Ele fala de porcos americanos por causa do capitalismo e quer dinheiro kkkkkkkkkkkkkkk.
X-Tudãoᴳᴼᵀ
Minha conta do legendas TV efake mas vou mudar a senha igual.
Ivan
Será que é o continente?
João
Só se pagarem eles, precisam de doação só pra manter o site, pra pagar programador seria difícil.
Andre Kittler
Não derrubando o legendas tv ta bom, pode pegar minha senha :)Enquanto que tem outros sites aparecendo (legendei e e e... por favor digam aqui!), o fato que sempre pensei é que esse sistema aberto de legendas, lindo e perfeito, é muito centralizado. Já passou da hora de alguem criar um RAR gigante e compartihar em torrent! Da forma que está pode ocorrer novamente: derruba o grande site, e perdemos por meses todos os historicos de legendas passadas, em incontaveis series e filmes.
Cassio
Legendas.tv precisa de uma repaginada e um pouco mais de "segurança" acabei de atualizar meu perfil. No entanto, acredito que nesse caso não há tantos riscos assim, pois o site aparentemente só armazena um login, e-mail e senha, não tem nenhum outro dado como nome e etc cadastrado.Dei aquela atualizada na senha e segue o jogo.
Caleb Enyawbruce
eu nem sabia da existencia de tais sites. Dessa me livrei
Viniçious
Que vazação de senha, no ultimo mês meu e-mail já deve ter vazado umas 5 vezes
Kodos Otros
Uso o legendas.tv há anos, faço a contribuição mensal e tudo, mas po, o site precisa de uma atualização pra ontem.
Kaio
na vdd precisa, pede para logar antes de fazer o download
Shalkad
O Legendas.tv está há anos com discurso de doação para o site ao invés de colocarem anúncios, como faz todo o resto da internet.A comunidade que mantém as legendas é muito boa, mas o site é muito mal administrado.
Franco Luiz
Nao tenho conta em nenhum desses sites que bom alias o legendas.tv nem precisa de conta pra baixa
🧙‍♂️ Mago Erudito® ᴾᴿᴱᴹᴵᵁᴹ
PHODEU...Esses hackers ficarão surpresos com a senha ultra-mega-blaster-security que usei lá.Ps.: Fui trocar a senha e tinha lá 9738 downloads. Não fui eu.
Islan Oliveira
Precisei usar recentemente o legendas.tv e realmente o site não mudou nada depois de vários anos do meu último acesso a ele.