Слив данных 180 тысяч пользователей FL.ru

То что папром в хеш виде это не страшно

Ребята, я малость не в теме. Подобный стиль обращения хакера, это прикол или он что-то этим подчёркивает?
Просто я такое видел последний раз лет 5-6 назад на сайтах типа udaff.

файлопомойку хабраэффектом накрыло?

Кто-то таки перезалил в dropmefiles.com/8TNIu

Мало приятного, я там есть.

Видимо из-за взлома перестало работать из API.
Не работает их официальное приложение play.google.com/store/apps/details?id=ru.freelance
краткий анализ выявил что адресс апи больше не существует: www.fl.ru/external/post-json/index.php

Надеюсь что временно, через приложения удобно было мониторить

Ждем сайта slivfl.ru где можно быстренько проверить свой логин и телефон =)

Надо же. Есть в списке. Ну хоть в какой-то список я угодил. Теперь буду более мнительным и с большим подозрением относиться к входящим звонкам, все также ленясь встать и ответить.

Ой, а меня нет. Видимо не всю базу слили

Особо весело вспоминается, что эти ребята предлагали всем в обязательном порядке обсуждать детали проектов в личных сообщениях, писать все пароли явки и данные по сути вопроса. Тогда забили себе гвоздь в крышку гроба, а теперь еще и добивают.

Я насчитал 180,869 уникальных ников.

У меня в настройках привязка мобильного телефона выключена. И в топе страницы предлагается привязать телефон к аккаунту и получать SMS-уведомления. Тем не менее я нашёл свой телефон в слитых данных. Я уже не помню, возможно когда-то я и вводил его, а потом удалил. Означает ли это, что FL.ru продолжал хранить его? Вопрос, собственно, риторический.

cat ./*|cut -d"@" -f2|cut -d" " -f1|sort|uniq -c|sort -nr|head -n50

Имею 2 акка (фрилансер, работодатель), слился только тот, в который я заходил в начале февраля. До этого на фри-лансе не логинился больше года.

Совокупность имени, фамилии и телефона являются персональными данными? (Судя по обсуждению — да).
Не сказать прямо, что все это очень приятно. Уже спам на телефон посыпался.

Бггг, и себя нашел. Собственно, кроме «мусорной» почты, ничего нового, чего в сети не найти.
А вообще, на сайт админы забили. Все. Точка.

Я уже пять лет фигею с free-lance.ru. Не перестают «радовать» сюрпризами. Приблизительно раз в год они делают себе серьезную антирекламу. Хотя давайте, в таком же духе. Чем больше инцидентов, тем быстрее Заказчик перейдёт на тот же адекватный «фрилансим» :).

Нашел себя… Радуюсь, что с момента регистрации там я успел дважды сменить почту и один раз телефонный номер.

u0061126.isp.regruhosting.ru/

Тут можно чекнуть себя в базе

Нашёл себя в БД, пойду пароль поменяю.

А меня нет =)
Я правда сервисом года 2 не пользуюсь.

Самое странное, что я в списке есть, но там указан мой старый телефон, который я сменил 2 месяца назад на сервисе. Скорее всего база не новая. Хорошо, что утёк старый номер телефона =)

В этой базе только те, кто привязывал аккаунт к номеру телефона. Ценность данных только в том, что в файле указаны почтовые адреса и номера телефонов пользователей, которые в профиле не светились (хотя могли и совпадать), а использовались при регистрации и привязке. Интересно что покажет их расследование, но почему то мне кажется, что слив был сделан через админку одним из модераторов (самостоятельно, или его взломали), поэтому доступа к паролям пользователей, даже в хешированном виде, у него не было.

Аккаунту пол года отроду, телефон подтвержден.
заходил 3 дня 19 часов назад

В базе нет.
Похоже, сливали инъекцией, а собирали даные чем-то внедренным

Не совсем понятна реакция администрации FL.ru. С момента слива прошло больше суток.

Пользователям не сообщили. Обсуждения на форуме по этой теме закрываются. Вот, например, тема с их форума, где люди случайно узнали о том, что вообще произошел слив:
feedback.fl.ru/topic/620155-administratsii-vsyo-ravno-na-svoih-polzovatelej/

Что сделала администрация? Удалила тему из общего доступа. Также поступают с остальными темами про слив.

Это далеко не первый слив персональных данных в истории интернета. Если я правильно понимаю, то обычной практикой является наиболее широкое освещение этой информации, а не попытки зарыться в землю аки страус. Ведь нужно, чтобы люди знали о том, что их личная информация скомпроментирована и приняли меры — поменяли пароль, поменяли телефон, поменяли email или вообще ничего не делали. Тут главное — известить клиентов о факте взлома и утечки их данных.

Да, это пятно на репутации FL, но от попыток замалчивания это пятно только увеличивается. Нужно включить режим damage control, признать, что произошел слив и довести до сведения всех клиентов. Сейчас о факте слива знают только пользователи хабра.

Информация, опубликованная взломщиком, и ранее находилась в открытом доступе..., пояснил он.

Аж два раза. Как насчет номеров телефонов? У меня, например, телефон даже в личном кабинете не прописан, но в слитой базе как-то оказался.

Определенно базу слил какой-то уволенный сотрудник/партнер дабы насолить текущей администрации.
Факты за вышесказанное:
— нет аккаунтов, которым более 3-6 месяцев. (моего текущего нет — 4.5 мес, старый ~6 лет — присутствует с телефоном, который был изменен ~4.5 месяца назад)
— старые данные в базе (телефон,email)
— формат сообщения о взломе явно показывает «показушность» сообщения

Базу взломали — это косяк. Но от этого никто на 100% не застрахован, будем реалистами.

Но как компания реагирует на подобные проблемы? Меня раздражает не только факт взлома, но очень плохая реакция со стороны компании на это. Нужно:
— сделать рассылку по пользователям
— разместить новость на главной
— объяснить какие именно данные скомпроментированы
— успокоить людей типа «ведем расследование» (это самое простое)
— на самом деле провести расследование (это посложнее)
— заткнуть дыры (если были) и двигаться дальше

Поезд уехал, так что нужно просто взять на себя ответственность. Нужно дать понять, что компания хоть и косячит, но думает о пользователях. Сейчас выходит, что компания косячит, но о пользователях особо не думает.

Непонятно одно — почему не выложили на торренты? зачем вот эти депозитфайлс если есть torrent magnet ссылка? пришлось потратить минут 15 что бы проверить нахождения себя в БД.

А вообще, злоумышленник мог бы и добрее быть. Сливал бы помимо телефонов-адресов-имен еще и сферу деятельности, отзывы, ссылку на портфолио — вот это все. Не так обидно было бы. А от этой базы ничего кроме приглашения на новый фриланс-сайт ждать не приходится.

Врят ли базу сломали, скорее всего просто парсили с платного аккаунта, но недопарсили, т.к. ограничительная политика сервака сработала. Поэтому и акков в результирующих файлах мало.

А что, это оказывается не вся база… проверил рабочий акк и заказчика — слава Богу нету.
И не все аккаунты с привязанными телефонами в нее попали.

Испытываю двойную обиду, т.к. на fl.ru не появлялся несколько лет и примерно месяц назад не смог зайти на их сайт, потому что fl меня знать не знает, мол, аккаунт удалили за сроком давности. И сейчас любуюсь на себя в слитой базе. Нет слов, одни эмоции.

Не могу зайти на их форум:
feedback.fl.ru/

Вижу «У Вас нет доступа к этому форуму». Хотя несколько часов назад проблем не было.

Либо администрация закрыла форум для всех. Либо администрация закрыла форум для тех, кто обсуждает слив данных. Либо просто какой-то глюк. Вас пускают на форум?

Другие биржи теперь смотрятся еще привлекательнее на фоне FL.

P.S. Кстати, если не переключать раскладку на английскую, то при вводе букв fl получаем ад. Символично.

После предыдущих шумих вокруг fl.ru Карма у их профиля Freelance упала ниже плинтуса. Они тогда завели новый аккаунт freelanceru. Странно что у него карма чистая.

Разработчики FL уже год не могут исправить поле сайт в профиле. Не проходят валидацию адреса в новых TLD.
Ребята пилят новые фишки, а старые ошибки видимо исправлять некому. О какой безопасности речь.

Прошла почти неделя, а никаких официальных комментариев по поводу ситуации до сих пор нет. Только молча заставили сбросить пароль при попытке залогиниться (причем, опять же, никаких предупреждений не было, тупо разлогинили).
А ведь утекли персональные данные. Может быть, пора уже на них заяву катать? Пусть органы наводят порядок в компании, раз они сами не могут этого делать.

Столько лет прошло / бабла пришло, а фри-ланс не меняется. Разве, что в худшую сторону.

slivfl.ru — а рекламы то понавесили, ни вздохнуть ни пернуть.

UPD: Появился сервис, где каждый по логину/почте/номеру/ФИО может проверить себя на нахождение в базе:

Уберите пожалуйста эту ссылку, при переходе по ней у меня в новой вкладке открылся левый сайт, который зациклил алерты и не давал ничего с делать браузером не смотря на хромовские галочки: «блокировать алерты в этом окне», требуя 5000 рублей и угрожая полицией.