Hackers vazam dados de site de encontros extraconjugais

Um grupo de criminosos que se autodenomina "Impact Team" vazou um pacote de 9,6 gigabytes de dados do site de traição Ashley Madison. Os arquivos incluem dados de transações financeiras, credenciais de acesso (endereço de e-mail e senha criptografada) e diversos dados cadastrais dos usuários.

O pacote não inclui mensagens trocadas pelo site. Seria possível obter essas mensagens fazendo login com o usuário e a senha vazados, mas o Ashley Madison protegeu as senhas com uma fórmula chamada "Bcrypt". O Bcrypt é bastante seguro e isso significa que, mesmo com a senha em formato "Bcrypt" em mãos, ainda é preciso realizar um ataque de tentativa e erro para descobrir qual era a senha de fato utilizada no site. Por conta da segurança do Bcrypt, esse ataque pode levar bastante tempo, mas senhas mais fracas e curtas estão em risco de serem descobertas.

Todos os dados no pacote divulgado estão compactados, o que significa que a quantidade real de dados é ainda maior.

Os dados foram divulgados porque a Avid Life Media, que mantém o portal "Ashley Madison", não cedeu às exigências dos hackers para retirar o site do ar.

Ainda não está claro quantos usuários tiveram suas informações expostas, mas a Avid Life Media afirma que seus sites têm 40 milhões de usuários cadastrados. As páginas, no entanto, não verificam o e-mail no momento do cadastro, o que significa que parte das informações pode estar incorreta.

Hackers acusaram empresa de fraude
O Ashley Madison é um site de relacionamentos voltado para pessoas casadas que procuram um caso. O slogan do site é "A vida é curta. Curta um caso". O incentivo à infidelidade conjugal parece ter motivado os hackers, mas não foi o principal motivo.

A invasão teria ocorrido por causa de um serviço que promete apagar todos os registros de um usuário do site. Para os invasores, esse serviço é uma fraude, pois as informações de pagamento do usuário - incluindo o nome completo - continuam armazenadas pela empresa. A companhia negou a acusação dos invasores e disse que todas as informações são removidas com o uso da opção, que depois passou a ser oferecido gratuitamente.

O "Impact Team" já havia divulgado uma pequena amostra dos dados em julho e exigindo que a Avid Life Media, empresa controladora do site, retirasse a página do ar, bem como outro site de sua propriedade, o "Established Men", que promete unir "homens de sucesso e mulheres bonitas".

"Desativar o Established Men e o Ashley Madison terá um custo para vocês, mas a recusa vai custar ainda mais. Vamos liberar todos os registros de clientes, perfis com as fantasias secretas dos clientes, fotos nuas e conversas vinculadas à transação do cartão de crédito com nomes reais e endereços, documentos de funcionários e e-mails. A Avid Life Media será responsabilizada por fraude e dano extremo a milhões de usuários", dizia a ameaça dos hackers.

Em uma nova declaração publicada junto do pacote de dados, o Impact Team afirma que até 95% dos cadastros no Ashley Madison eram de homens e quase todos os perfis femininos eram falsos e que, por isso, o site é uma fraude. Em uma mensagem aparentemente destinada aos cônjuges dos usuários do site, os hackers dizem: "é provável que seu homem tenha se registrado no maior de site de casos do mundo, mas nunca teve um. Ele só tentou. Se é que essa diferença importa."

A Avid Life Media classificou o vazamento como um "ato de criminalidade", segundo um comunicado da empresa enviado à ao site da "Wired". "Esse evento não é um ato de hacktivismo [ativismo hacker], é um ato de criminalidade. É uma ação ilegal contra os membros individuais do AshleyMadison.com, além de qualquer pensador livre que decide se envolver com atividades on-line completamente lícitas. O criminoso ou criminosos envolvidos neste ato se nomearam juízes, jurados e executores da moral, achando adequado impor uma noção pessoal de virtude em toda a sociedade. Não vamos ficar sentados e permitir que esses ladrões forcem a ideologia pessoal deles em cidadãos do mundo todo", diz o comunicado da companhia.

Os hackers ainda dizem que quem aparece no pacote deve processar a Avid Life Media pelos danos causados pelo vazamento.

Os arquivos estão sendo distribuídos por meio do protocolo BitTorrent e havia cerca de 900 pessoas baixando e enviando o pacote no fim desta terça-feira (18). O arquivo começou a ser distribuído no domingo (16) em um pequeno site da rede de anonimato Tor chamado "Quantum Magazine". O site parece ter sido criado no dia 9 de agosto.

De acordo com a Alexa, que mede o tráfego de páginas visitadas na web, o Ashley Madison é o 231º site mais acessado no Brasil. Em julho, o site ocupava a 177º posição do mesmo ranking.

Imagens: Site Ashley Madison, lista de arquivos vazados e declaração do Impact Team. (Foto: Reprodução)