据英国科技新闻网站The Register报道，暗网交易市场Dream Market于本周一（2月11日）挂出了这样一条广告——卖家声称自己手里掌握着约6.17亿条从16家国外热门网站盗来的账户记录，而买家只需要支付价值不到2万美元的比特币就可以得到所有这些数据。

据称，这些被盗账户记录具体来自以下16个被黑的热门网站：

• Dubsmash（1.62亿，一款深受年轻人喜欢的视频通讯软件）；
• MyFitnessPal （1.51亿，一款饮食和运动跟踪软件）；
• MyHeritage（9200万，一项家庭树跟踪服务，用于研究用户的基因概况）；
• ShareThis（4100万，一款链接分享软件）；
• HauteLook（2800万，一款网上商城软件）；
• Animoto（2500万，一个在线视频制作平台）；
• EyeEm（2200万，一款面向摄影师的在线聊天软件）；
• 8fit（2000万，一家致力于为健身爱好者提供个性化的锻炼和饮食计划的公司）；
• Whitepages（1800万，一款在线电话和地址收录软件）；
• Fotolog（1600万，一家面向摄影师和摄影爱好者的社交网站））；
• 500px（1500万，一家面向摄影师和摄影爱好者的社交网站）；
• Armor Games（1100万，一个网页游戏的门户网站）；
• BookMate（800万，一款电子书软件）；
• CoffeeMeetsBagel（600万，一个在线约会网站）；
• Artsy（100万，一款面向艺术领域的软件）；
• DataCamp（70万，一款面向教师的科学和编程工具）。

从该卖家放出的部分账户记录来看，这些记录似乎都是真实有效的——主要由账户所有人的姓名、电子邮箱地址和密码组成。虽然密码是经过哈希或单向加密处理的，但仍然能够被破解。

除此之外，来自部分被黑网站的账户记录还包括其他类型的信息，如位置信息、个人详细信息和社交媒体身份认证令牌等，但并不包含付款或银行卡详细信息。

谁会是潜在买家？

The Register认为，专注于发送垃圾电子邮件和实施“撞库”攻击的网络犯罪分子应该会对此类数据感兴趣。比如，专注于实施“撞库”攻击的网络犯罪分子主要就是使用从某些网站中泄露出来的用户名和密码来尝试登陆那些习惯于重复使用相同用户名和密码的其他在线账户。

举个例子来说，购买了500px账户记录（密码使用过时的 MD5 算法加密）的买家在解码密码之后，就能够使用账户记录中的电子邮箱地址和被破解的密码来登录使用相同电子邮箱地址和密码的 Gmail 或 Facebook 账户。

这位卖家声称，目前至少已经有一个人已经购买了Dubsmash 的账户记录。

数据是否真实有效？

MyHeritage 的一位发言人证实，目前正在被出售的账户记录的确是真实有效的，其服务器在2017年10月确实遭到了黑客入侵。500px在本周一也证实，正在被出售的账户记录也是从其服务器上窃取的。

以下是一份所谓的待售商品的摘要：

• Dubsmash：161,549,210条记录，售价0.549比特币（1976美元）

每条帐户记录均包含用户ID、SHA256哈希密码、用户名、电子邮箱地址、语言、国家/地区，以及部分用户的姓名。

• 500px：14,870,304条记录，售价0.217比特币（780美元）

每条帐户记录均包含用户名、电子邮箱地址、经过MD5（SHA512或哈希）算法加密的密码、salt值、姓名，以及部分用户的生日、性别、城市和国家/地区。

• EyeEm：22,360,765条记录，售价0.289比特币（1040美元）

除大约300万条账户记录之外，每条记录均包含一个电子邮箱地址和一个经过SHA1算法加密的密码。

• 8fit ：20,180,667条记录，售价0.2025比特币（728美元）

每条帐户记录均包含电子邮箱地址、加密的密码、国家/地区代码、Facebook身份验证令牌、Facebook个人资料图片、姓名、性别和IP地址。

• Fotolog：1600万条记录，售价0.52比特币（1872美元）

五个SQL数据库包含的信息涵盖电子邮箱地址、SHA256哈希密码、安全问题和答案、全名、住址、兴趣和其他一些个人信息。

• Animoto：25,402,283条记录，售价0.318比特币（1144美元）

每条帐户记录均包含用户ID、SHA256哈希密码、salt值、电子邮箱地址、国家/地区、姓名和出生日期。

• MyHeritage：92,284,478条记录，售价0.549比特币（1976美元）

每条帐户记录均包含电子邮箱地址、SHA1哈希密码和salt值，以及创建帐户的日期。

• MyFitnessPal ：150,633,038条记录，售价0.289比特币（1040美元）

每条帐户记录均包含用户ID、用户名、电子邮箱地址、SHA1哈希密码、salt值和IP地址。

• Artsy：1,070,000条记录，售价0.0289比特币（104美元）

每条帐户记录均包含电子邮箱地址、姓名、IP地址、住址、SHA512哈希密码和salt值。

• Armor Games：11,013,617条记录，售价0.2749比特币（988美元）

每条帐户记录均包含用户名、电子邮箱地址、SHA1哈希密码和salt值、出生日期、性别、住址和其他个人资料详细信息。

• Bookmate：8,026,992条记录，售价0.159比特币（572美元）

每条帐户记录均包含用户名、电子邮箱地址，SHA512哈希密码和salt值、性别、出生日期和其他个人资料详细信息。

• CoffeeMeetsBagel：6,174,513条记录，售价0.13比特币（468美元）

每条帐户记录均包含姓名、电子邮箱地址、年龄、注册日期、性别以及SHA256哈希密码。

• DataCamp：700,000条记录，售价0.013比特币（46.8美元）

每条帐户记录均包含电子邮箱地址、哈希密码、住址和其他个人资料详细信息。

• Hautelook：2800万条记录，售价0.217比特币（780美元）

每条帐户记录均包含电子邮箱地址、哈希密码和姓名。

• ShareThis：41,028,098条记录，售价0.217比特币（780美元）

每条帐户记录均包含姓名、用户名、电子邮箱地址、DES密码、性别、出生日期和其他个人资料信息。

• Whitepages：17,775,679条记录，售价0.434比特币（1560美元）

每条帐户记录均包含电子邮箱地址、经过SHA1或哈希算法加密的密码，以及姓名。

这位卖家表示，实际上他自2012年以来已经从一些网站的服务器上盗取了大约10亿条账户记录。他只会出售其中一部分，其余的将留有私用。