Хакери «зламали» OnlyFans?

Навколо платформи OnlyFans розгорається черговий гучний скандал. На одному з відомих кіберзлочинних форумів з’явилося оголошення про продаж гігантської бази даних, яка нібито містить інформацію про 340 мільйонів користувачів сервісу. Продавець запевняє, що в архіві є практично все: імена профілів, адреси електронної пошти, номери телефонів, статистика акаунтів, пов’язані соціальні мережі та навіть фрагменти даних банківських карток.

Сума угоди виглядала доволі «по-хакерськи скромно» для такого масштабу – 0,313 BTC, що на момент публікації становило приблизно 76 тисяч доларів. Для порівняння: якщо база справді справжня, то це один із найбільших витоків даних в індустрії контент-платформ за останні роки. Інформацію про продаж уперше детально розібрало видання Hackread.com. Згідно з оголошенням, опублікованим користувачем під ніком “Euphoric_Reply_5727”, архів нібито містить дані з «внутрішніх баз даних OnlyFans». В описі фігурували:

usernames і UID акаунтів;
адреси електронної пошти;
номери телефонів;
кількість підписників і лайків;
дати реєстрації;
статистика завантаженого контенту;
типи акаунтів;
пов’язані профілі в соцмережах;
а також поле “card”, яке продавець назвав останніми чотирма цифрами прив’язаної банківської картки.

Однак чим глибше журналісти вивчали витік, тим більше запитань виникало щодо його походження.

Після звернення журналістів до продавця через Telegram той несподівано заявив, що жодного прямого злому OnlyFans не було. За його словами, база була зібрана методом агрегації старих витоків і відкритих даних: «Ми не зламували OnlyFans. Ми використали наявні бази даних витоків і зіставили їх із користувачами платформи».

Саме цей момент різко змінює сприйняття всієї історії. Якщо йдеться не про проникнення у внутрішні системи платформи, а про так званий data aggregation, то ситуація виглядає менш сенсаційною, хоча все ще вкрай неприємною для користувачів.

Журналісти перевірили зразки бази та підтвердили, що частина даних справді відповідає реальним акаунтам платформи. Деякі UID і usernames збігалися з публічно доступними профілями OnlyFans. Однак структура бази виглядала доволі хаотично: траплялися порожні поля, значення-заповнювачі на кшталт “None”, а формат зберігання відрізнявся від типових внутрішніх виробничих баз великих IT-компаній.

Особливо спірним залишається питання платіжних даних. Твердження про наявність інформації щодо банківських карток поки не підтверджене. Незалежна перевірка не змогла встановити, чи є ці відомості справжніми, чи були вони взяті зі старих витоків інших сервісів, або просто додані продавцем для підвищення цінності архіву. Поки що підтвердження повного компрометаційного злому немає.

Сама OnlyFans на момент публікації не випустила офіційної заяви та не підтвердила факт витоку. Це теж важливий нюанс: у світі кіберзлочинності подібні «мегазливи» нерідко виявляються сумішшю старих баз, відкритих даних і маркетингового шуму для залучення покупців на тіньових форумах. Тим не менш експерти з кібербезпеки нагадують: навіть якщо йдеться не про повноцінний злом, подібні бази все одно становлять серйозну загрозу. Комбінація email, телефону, соціальних мереж і активності акаунта може використовуватися для:

фішингу;
підміни особистості;
атак через відновлення паролів;
шантажу;
масового спаму;
і цільових шахрайських схем.

Особливо чутливою ситуація стає для користувачів платформ контент-підписок, де питання анонімності та конфіденційності часто є критично важливими.

На тлі новини користувачам рекомендують:

змінити паролі;
увімкнути двофакторну автентифікацію;
перевірити, чи не використовувався той самий пароль на інших сайтах;
бути обережнішими з листами та повідомленнями від невідомих відправників;
а також уважно стежити за підозрілою активністю у своїх акаунтах.

Історія з «витоком 340 мільйонів користувачів» поки що залишається радше сірою зоною між справжнім зломом і масштабною збіркою даних із безлічі старих джерел. Але в цифрову епоху навіть такий «конструктор» може виявитися небезпечнішим за повноцінну хакерську атаку. Інтернет давно нічого не забуває – особливо якщо це можна запакувати в ZIP-архів і виставити на продаж за біткоїни.