Сентябрь 2014 года войдёт в историю как месяц тотального слива паролей для сервисов электронной почты. После утечки 1,26 миллиона паролей от «Яндекс.Почты» неизвестные злоумышленники выложили в открытый доступ 4,6 млн паролей Mail.ru и 5 млн паролей Gmail. Обе базы уже проверены независимыми экспертами, корректность информации подтверждена.

Как шутят на форумах, слив этих баз — отличная возможность восстановить забытый пароль от старого почтового ящика.

Существующие сервисы для проверки почты на наличие в базах:

• isleaked.com/ (yandex.ru и mail.ru, gmail.com)
• yaslit.ru/ (yandex.ru, mail.ru, gmail.com)
• yandexexpose.azurewebsites.net/
• games-gen.com/mails/check3.html (mail.ru)
• games-gen.com/mails/check2.html (yandex.ru)
• games-gen.com/mails/check.html (база разных адресов от декабря 2013 года)

Файлы со списком аккаунтов и паролями можно без труда найти на файлохостингах и в торрентах. Публикуем ссылки на базы без паролей, только с адресами электронной почты:

Яндекс.Почта: 1000000cl.txt, зеркало
Mail.ru: Mail.txt, зеркало
Gmail: google_5000000.7z, зеркало

Судя по имеющейся информации, списки паролей получены не в результате взлома почтовых сервисов, а от самих пользователей. Возможно, использовался брутфорс. Это кажется особенно вероятным в случае с паролями «Яндекс.Почты», там очень много чисто цифровых паролей, которые легче всего подбирать.

cat Yandex.ru.txt Gmail.com.txt Mail.ru.txt | sed -e 's/^[^:;]*[:;]//g' | sort | uniq -c | sort -nr | head -n 20
 252301 qwerty
 119868 123456
  32776 123456789
  16538 111111
  13761 12345
  12930 qwertyuiop
  12377 password
  11792 12345678
  10711 1qaz2wsx
  10198 1234567890
  10190 1234567
   8744 123123
   8411 123321
   8172 qazwsx
   8046 1q2w3e4r
   6514 7777777
   6303 qwer1234
   6251 000000
   6117 123qwe
   6055 1q2w3e4r5t