Έντονους προβληματισμούς έχει προκαλέσει στον χώρο των αναλυτών διαδικτυακής ασφαλείας η πρόσφατη αναφορά της Hold Security περί άνευ προηγουμένου συγκέντρωσης/υποκλοπής κωδικών (η οποία, κατά την εταιρεία, περιελάμβανε 1,2 δισ. μοναδικούς συνδυασμούς usernames- κωδικών που αντιστοιχούν σε 500 εκατ. διευθύνσεις email) από ρωσικό κύκλωμα κυβερνοεγκλήματος (το αποκαλούμενο CyberVor).
Έντονους προβληματισμούς έχει προκαλέσει στον χώρο των αναλυτών διαδικτυακής ασφαλείας η πρόσφατη αναφορά της Hold Security περί άνευ προηγουμένου συγκέντρωσης/υποκλοπής κωδικών (η οποία, κατά την εταιρεία, περιελάμβανε 1,2 δισ. μοναδικούς συνδυασμούς usernames- κωδικών που αντιστοιχούν σε 500 εκατ. διευθύνσεις email) από ρωσικό κύκλωμα κυβερνοεγκλήματος (το αποκαλούμενο CyberVor).
Όπως αναφέρεται σε δημοσίευμα του Guardian, ερευνητές της Kaspersky, της Symantec και του University College London εξέφρασαν προβληματισμούς σχετικά με την αναφορά που έκανε τον γύρο του κόσμου, λόγω των τεράστιων αριθμών που περιέχονται σε αυτήν.
Ειδικοί εξέφρασαν ανησυχία για το ότι η εταιρεία δεν δημοσιοποίησε/ κατέστησε τα δεδομένα διαθέσιμα για επιβεβαίωση από χρήστες. «Δημοσιεύθηκαν πολύ λίγες ‘συμπαγείς’ πληροφορίες» δήλωσε στον Guardian o Ντέιβιντ Εμ, ερευνητής της Kaspersky. «Οπότε τείνω να αντιμετωπίζω την όλη υπόθεση με κάποιες αμφιβολίες προς το παρόν» πρόσθεσε, κάνοντας λόγο για «ασαφή ισχυρισμό περί της μεγαλύτερης παραβίασης ασφαλείας μέχρι σήμερα». Ωστόσο υπενθυμίζεται ότι στο σχετικό δημοσίευμα των ΝΥ Times (που έφεραν πρώτοι την υπόθεση στο φως της δημοσιότητας) αναφέρθηκε ότι ζητήθηκε από ανεξάρτητο ειδικό, ο οποίος δεν είχε σχέσεις με τη Hold Security, να αναλύσει τη βάση δεδομένων με τα κλεμμένα πιστοποιητικά, ο οποίος επιβεβαίωσε ότι ήταν αυθεντική.
Από πλευράς του, ο Δρ. Μπραντ Καρπ, του τμήματος επιστήμης υπολογιστών του University College London σημείωσε ότι δεν έχουν δημοσιοποιηθεί πολλά στοιχεία σχετικά με το «τι βρήκαν ακριβώς αυτοί οι τύποι».
«Δεν είναι απίθανο να βρήκαν τόσα πολλά πιστοποιητικά, αλλά…θα έπρεπε να δούμε περισσότερα δεδομένα. Μας είπαν ότι ανεξάρτητοι ειδικοί τα επιβεβαίωσαν, αλλά δεν είδαμε τι επιβεβαίωσαν και δεν ξέρουμε ποιοι είναι». Σε αντίστοιχο πλαίσιο κινήθηκε και ο Κάντιντ Γουέεστ, της Symantec: «είναι πιθανόν, αλλά προς το παρόν πρόκειται για θεωρία από πλευράς μίας πηγής και δεν έχουμε δει επιπλέον αποδείξεις, οπότε προς το παρόν πρέπει δυστυχώς να περιμένουμε και να δούμε πώς θα εξελιχθεί».
Σχετικοί προβληματισμοί εκφράζονται και σε δημοσίευμα του Forbes, όπου υπογραμμίζεται ότι ο Άλεξ Χόλντεν, στέλεχος της Hold Security, δεν κατονόμασε θύματα της επίθεσης ή εταιρείες των οποίων οι ιστοσελίδες παραμένουν ευάλωτες. Όπως επισημαίνει σε ελαφρώς ειρωνικό τόνο η αρθρογράφος του Forbes, η αναφορά προκάλεσε πανικό, ωστόσο η έλλειψη λεπτομερειών έφερε σύγχυση, καθώς κανείς δεν μπορεί να ξέρει εάν πρέπει να αλλάξει τους κωδικούς του ή όχι: «αλλά περιμένετε, υπάρχει λύση! Μπορείτε να πληρώσετε ‘από 120 δολάρια’ στη Hold Security μηνιαίως για να μάθετε εάν η ιστοσελίδα σας επηρεάζεται από την παραβίαση. Η Hold Security ανέβασε σελίδα στο site της σχετικά με τη νέα υπηρεσία ενημέρωσης παραβιάσεων περίπου την ίδια ώρα που ανέβηκε η ιστορία των Times».
Όπως επισημαίνεται στη συνέχεια, λίγο μετά ο δημοσιογράφος της Wall Street Journal, Ντάνι Γιάντρον, ανέβασε link προς τη συγκεκριμένη σελίδα στο Twitter και έκανε ερωτήσεις σχετικά με αυτήν, οπότε η εταιρεία αντικατέστησε την περιγραφή της παρεχόμενης υπηρεσίας με μήνυμα «coming soon».
Στο δημοσίευμα αναφέρεται ότι ο Χόλντεν ανέφερε μέσω email ότι η υπηρεσία τελικά θα κοστίζει δέκα δολάρια τον μήνα και 120 τον χρόνο. Ωστόσο, η αρθρογράφος εκφράζει τους προβληματισμούς της σχετικά με την ύπαρξη οικονομικού κινήτρου: «ναι, είναι αναμενόμενο οι εταιρείες ασφαλείας να βγάζουν λεφτά κάνοντας ασφαλέστερο το Ίντερνετ, αλλά είμαι σκεπτικίστρια απέναντι στο να είναι κύρια πηγή μιας ιστορίας που προκαλεί πανικό μία εταιρεία με οικονομικό κίνητρο όσον αφορά στη δημιουργία πανικού».
Σε παρεμφερές πνεύμα κινείται και δημοσίευμα του TheVerge, όπου, πέρα από τους προβληματισμούς περί εκμετάλλευσης της όλης υπόθεσης από την Hold Security, εκφράζεται η άποψη ότι τα υπάρχοντα δεδομένα είναι «λίγο παράξενα»: «αν η ιδέα του χακαρίσματος 1,2 δισ. usernames ακούγεται απίστευτη, αυτό συμβαίνει επειδή είναι. Είναι λίγες οι υπηρεσίες με πάνω από ένα δισ. χρήστες- με το Facebook, το Google Search και το Microsoft Office να είναι στην κορυφή- και εάν εμπλεκόταν κάποια από αυτές τότε η Hold δεν θα ‘ντρεπόταν’ να το πει. Αντ’αυτού, αυτά τα δεδομένα προέρχονται από εκατοντάδες χιλιάδες παραβιάσεις μέσα σε διάστημα μηνών. Η σύγκρισή της με παραβιάσεις όπως της Adobe ή της Target, όπως κάνει επανειλημμένα η Πέρλροθ (η δημοσιογράφος των Times, που μαζί με τον Ντέιβιντ Γκέλες, υπογράφει το ρεπορτάζ) δεν βγάζει λογική».