Хотите еще и деньги за подписку на топовый телеграм канал? Смотрите как!
Тестируем
Помоги ближнему
  • Резерв1 110$
  • Помогли4 800$
Что это такое?

Как у нас украли 1000$ — используйте везде разные уникальные пароли

17 авг 2016 Новичкам

Очень много работы, что не успевали ранее написать эту заметку. В общем, у нас украли деньги еще на той неделе около 1000$ и тут как раз на мыло поступил следующий вопрос:

Доброго времени суток. Вопрос не в вашей компетенции, но буду удовлетворен и кратким ответом. Если на всех хайпах и, тем более, на всех кошельках будет один и тот же пароль, значит, админ одного из хайпов, зная его, может попробовать подобрать личные данные своего клиента к его кошельку или "другим" хайпам? Т. е. необходимо ли диверсифицировать пароли на каждый проект и делаете ли вы это?
Возможно, это может быть тематика одной из статей как мера безопасноти для новичков в этом деле. Спасибо!

Вот представляете, в силу обстоятельств, просто потому что нам было удобно иметь одинаковый пароль везде (нас три человека, ну и проектов много) ничего не случалось около года.

Пароль у нас был вида wZ8fzRy7zT, т. е. его нельзя просто подобрать. Как раз таки админ-крыса одного из хайпов посмотрел в своей базе данных наш пароль и вошел во все хайпы. Также у нас был этот пароль на кошельке OKpay, мы им очень редко пользуемся. Вот скрин, как "доблестный" админ вывел наши деньги через обменники:

Вывод наших денег из OkPay

Также он прошел по всем хайпам и снял где что мог. Пример вписанных крысой собственных кошельков в нашем личном кабинете одного из хайпов:

Кошельки "хакера"

Даже телефон ввел :)

Введен украинский номер телефона

Здесь крыса снимает часть нашего депозита через тикеты:

Снимает деп через тикеты

Совсем не удивительно, что у него украинский IP. Где-то 80% админов именно оттуда.

IP хакера: 213.109.132.173
Ukraine
Poltavs'ka Oblast', Kremenchuk
Организация: Private Enterprise Scientific-Production Company L

В общей сумме вышло украсть где-то 1000$.

Что делать инвесторам?

Необходимо везде использовать разные УНИКАЛЬНЫЕ ПАРОЛИ! То же самое касается и PIN кода, кое-где в хайпах его тоже просят придумать. Не используйте простой ПИН, вида: 1234, 1111, 0000. Конечно, такой подберут. У нас был: 1234 :))))

Рано или поздно у Вас также уведут деньги, особенно аккуратно с паролями на кошельки и email'ы. Для нас это вылилось во много возни, со сменой назад наших реквизитов и паролей на новые - уникальные, везде разные.

Ну и понятно, нет смысла использовать везде разные, но простые пароли, например: 1111111111, 222222, qwerty и так далее. В интернете много сервисов для генерации надежных паролей из случайных комбинаций символов и цифр, используйте их. И обязательно сохраняйте их у себя. Можно на хранить на компьютере, можно выписывать в блокнот.

Очень нежелательно использовать свой настоящий телефон, вводить ФИО и прочие личные данные. Паспорт так вообще нельзя слать (будет потом гулять по и-нету), ни один хайп его не просит! Это только под скам могут басни придумывать, давай паспорт - выплатим. Как минимум, будут потом Вас спамить СМС, ну и ящик заспамят. Заведите для хайпов отдельный, желательно на gmail, туда точно доходят письма.

Что делать админам?

В большинстве хайпов это и так уже сделано. Давать вводить свои кошельки только один раз. Последующая смена возможна только через администрацию хайпа.

Кошельки можно ввести только один раз

Еще хороший вариант с включением дополнительной защиты, допустим, перед каждым входом в хайп отсылать пароль на e-mail или через SMS. При этом давать возможность выключить эту опцию, не все пользователи хотят проходить двухэтапную авторизацию.

Итог

Хайпы - крайне опасная среда :) Помимо надежных паролей должен ОБЯЗАТЕЛЬНО стоять антивирус, допустим, Касперский. Потому что Ваши супер уникальные пароли может угнать вирус, а тут уж любые комбинации не помогут. У нас какой-то админ из Украины банально переписал наш пароль, который успешно работал около года. Такие дела!

P.S. Если кто-то знает, кто это такой, будем благодарны за информацию. Выплатим вознаграждение, неплохо найти крысу админа...

82 коммента3953 просмотра
Комментарии
постраничноцеликом
датапопулярные
pixel
0

18.08.2016 09:17:27#
легко отделились ещё Леонид, с учетом Ваших оборотов
Леонид
0

18.08.2016 10:43:12#
Тут что сыграло:

1. Почта, перфекты, пееры, скайп и прочие вещи у нас совсем другие пароли. У каждого свои.
2. Многие хайпы не дают редактировать кошельки.
3. В Хайпах даже если захочешь ничего снимешь, ведь очень мало где можно в любой момент снять депозит и выплата инстанта.
PanDa24
1

18.08.2016 10:48:06#
Леонид, знаю, что пишу не по теме, за это простите.(Я читал новые правила форума и исправно их соблюдаю).
Я бы хотел у вас попросить/предложить сделать мобильное приложение для Android для учета инвестиций в различные хайпы. Т.е ваш сайт, только оффлайн и на мобильном устройстве. Я думаю, что многие хотели бы такую возможность. Если кто-то за/против такой идеи напишите ниже свои мысли.
Леонид, если у вас есть такая возможность, то пожалуйста, подумайте над моим предложением.

Еще раз прошу прощение за то, что пишу не по теме. Профита вам (:
Леонид
0

18.08.2016 12:54:38#
Не по теме!
vladpopov
0

18.08.2016 09:26:43#
Заметил, что большинство хайпов хранит пароли в незашифрованном-незахэшированном виде - это можно проверить, если после регистрации на почту отправляется логин и пароль.
Леонид
0

18.08.2016 10:44:15#
Это очень плохо, да. Хранить в открытом виде. Поэтому везде нужны уникальные разные пароли.
PanDa24
0

18.08.2016 11:11:40#
Леонид, а ведь у вас на сайте тоже пароль и логин после регистрации приходят на почту :)
Леонид
0

18.08.2016 12:10:08#
Да я как раз хотел дать ответ. Если в мыле приходит логин и пароль это ге значит что они хранятся в базе в открытом виде. Мы с регистрационной формы добавляем их в письмо, затем шифруем и добавляем в базу. Мы не знаем ни чьих паролей, они разбавлены солью и захегированы. Я сейчас с айфона пишу, потом скину сюда скрин как мы храним в базе.
vladpopov
0

18.08.2016 14:06:13#
Это все равно плохо, так как отправленное письмо возможно осталось на Вашем почтовом сервере, откуда можно взять требуемую информацию
Леонид
0

18.08.2016 14:28:20#
Ничего там не осталось. И у нас тут взламывать нечего, мы же не хайп.
Strateg
0

18.08.2016 09:28:02#
Информация что доступна на кредитной бирже по кошельку
Strateg
0

18.08.2016 09:28:52#
может кто то видел, но кошельком по рейтингу траст коре, можно судить что пользовались не часто
Леонид
0

18.08.2016 10:44:53#
Я zolotko не встречал, фиг его знает кто такой...

Тут посыл статьи, вот наш горький опыт, ребята используйте разные пароли :)
doca75
0

18.08.2016 09:36:49#
Все админы априори крысы:) этот крысее только тем что кинул лично вас а не как всегда ваших пользователей:) только и всего.
admin TTадмин хайпа
0

18.08.2016 10:41:02#
Коментарий из разряда все бабы - дуры, все мужики - козлы. У хорошых проектов как написано в статье кошелек либо нельзя сменить, вводя один раз, либо есть одноразовый пароль на почту или телефон. И только уже взлом почты приведет к возможности кражы, но защитив свою почту по тел, если не хотите светить его в проектах, Вы сводите возможность взлома к 0, так как любой запрос от другого айпи, в гугловской почте приведет к запросу пароля, что отправлен Вам на телефон. Так что напоследок, предохраняйтесь:)
Леонид
0

18.08.2016 10:55:36#
Да, так. Об этом в статье есть.
Леонид
0

18.08.2016 10:45:18#
Одно дело добровольно депать в хайп, другое дело когда у тебя деньги с кошелька себе переводят, есть разница?
dima198206
0

18.08.2016 10:03:40#
вот и у меня в tradecommer увели выплату ночью.
грешен в повторении паролей.

в личн параметрах ввели кошель биткоиновский
1En1TPzuXEPUFUAmFLMh3hUVPsAf4UNa47

Вывод (Bitcoin)-0.003398 btc

и угнали выплату.
Леонид
0

18.08.2016 10:46:13#
Не повторяйте пароли, мы вот сами такие :) Больше не будем. Год работали все ок, и тут на тебе...
neohack
0

18.08.2016 10:38:36#
Не рекламы ради, но всё же.
Рекомендую утилиту KeePass 2.x
Ссайт http://keepass.info/

Там много функций, есть русский язык, бесплатна.
Много разных клиентов под разные оси и клиенты.
А если базу хранить в облаке - так доступность повышается в разы.
Единственный минус - нет многопользовательского доступа.
neohack
0

18.08.2016 10:42:47#
Думаю что блогу наиболее может подойти http://teampass.net/

Тут есть вообще всё что нужно.
Леонид
0

18.08.2016 10:49:56#
Я сам для хранения паролей использую RoboForm. Наверно уже лет 10 :) В открытом виде в блокноте, конечно, пароли лучше не хранить. Через вирус получат доступ к компу и там их прочитают.
Леонид
0

18.08.2016 11:03:02#
А ну и антивирус Касперского уже лет 20 стоит :))) Ни разу не подвел. У меня же много где и чего хранится.
Святоsлав
0

18.08.2016 11:23:29#
А я всегда в тетради пишу разные пароли)))
И желательно еще логин разный
Леонид
0

18.08.2016 12:12:04#
Да хватит сложного пароля, допустим из 12 символов.
Pickles
0

18.08.2016 12:01:15#
Прям в воду глядели.
Сегодня ночью с сайта tradecommer.exchange неизвестные похитили мои копейки (1$) - сделали конвертацию с PM в биткоин и вывели на свой кошелек, который прописали в настройках.
И платежную систему по умолчанию оставили тоже как биткоин.
Леонид
0

18.08.2016 12:54:10#
Значит у вас тоже был одинаковый пароль?
Pickles
0

18.08.2016 12:57:21#
Для большинства хайпов да, для некоторых отдельные. Уже поменял везде кто не в скаме))
JURMALA
0

18.08.2016 12:09:07#
Да сочувствую, все таки деньги немалые.
Pickles
0

18.08.2016 12:23:46#
Я кстати уже давно думал о том что один и тот-же логин и пароль для хайпов как-то стремно держать.

Админ любого хайпа может взять и составить себе список всей реферальной команды блога и перейти в "наш выбор" и начать подбирать логины/пароли..
Леонид
0

18.08.2016 12:52:27#
Логины ерунда, пароли должны быть разные и сложные. Дело не в блоге, он по всей своей базе перебирать будет, ну понятно, выгоднее начинать с тех кто покрупнее.
Леонид
0

18.08.2016 12:53:29#
Я рад такой статье или писать теорию или на личном опыте. Больше людей задумается над надежными и разными паролями.
Gator
0

18.08.2016 13:21:22#
Ага, как говорится "сам дурак"))) тоже во всех проектах одинаковые пароли и при этом каждый раз думаю: "Надо новый придумать, ато доиграюсь", и в итоге снова и снова лень побеждает...
Ну что же, дождался звоночка, пошел менять все пароли.
Gator
0

18.08.2016 13:23:50#
А нет списка в каких проектах сняли депы? Чтоб не во всех менять)))
Леонид
0

18.08.2016 14:29:34#
Так надо менять везде где не скам.
neohack
0

18.08.2016 13:35:40#
Да используете уже кипасс, он всё сделает за вас! =)
ernatka
0

18.08.2016 15:59:35#
я думаю так где кошелёк прописывается один раз менять не обязательно.
Леонид
0

18.08.2016 16:18:14#
Пароль на вход лучше менять, а то через тикеты и поддержу может попытается сменить, находясь под вашей учетной записью.
Alenchik
0

18.08.2016 16:16:31#
У меня с payeer 500 $ украли
Леонид
0

18.08.2016 16:19:50#
Был такой же пароль как и в хайпам?
Alenchik
0

18.08.2016 16:21:50#
Нет. Другой. Этот пароль я нигде больше не использовала.
uni
0

18.08.2016 16:53:02#
тогда потырили во время пополнения с него где-то?
Alenchik
0

18.08.2016 16:23:02#
Снимали частями, не всю сумму сразу... почему-то..
Alenchik
0

18.08.2016 16:25:22#
Вечером кэш почистила, поменяла новый пароль , а рано утром сперли мои денежки....
Леонид
0

18.08.2016 17:58:32#
Это у вас через вирус...
Zim
0

18.08.2016 16:52:27#
у меня пол блокнота(тетрадь) в логин и паролях, иногда долго ищу что то :))
P.S. советую
Insane
1

19.08.2016 16:54:11#
потеряете тетрадь и все, можно вешаться
sercowo
0

18.08.2016 17:06:04#
Честно говоря немного даже удивлен таким событием. Я про один пароль, все остальное стоило ожидать.
Сам на все сервисы генерирую разные пароли.
Леонид
0

18.08.2016 17:58:11#
Да, везде нужны уникальные пароли и антивирус на компьютере.
samopal
0

18.08.2016 17:53:34#
Эти мудаки с Кременчуга взломали мою почту, после чего получили доступ к PM И WM, вывели все что было. После этого я сменил везде пароли и привязал все к телефону. Но, тут уже я лоханулся - им удалось угнать мой номер телефона и очень быстро все повторить. Поэтому всем советую везде использовать максимальную защиту - подтверждение паролей и по телефону, и через приложения, и ограничение по IP, и все что только можно)
Леонид
0

18.08.2016 17:57:25#
А как они смогли смс получить? Что им дал просто ваш номер телефона?
samopal
0

18.08.2016 23:25:10#
Не знаю как у других операторов, но в Киевстаре есть такая фишка, что можно восстановить симкарту, зная последние набранные номера абонента. Вот они и восстановили себе мою симку и все провернули. Тут им хватило несколько минут, потому что я буквально сразу заблокировал и заменил все что можно. Тем не менее им удалось вывести почти все
Леонид
0

18.08.2016 23:33:43#
Ого, ничего себе!
ernatka
0

19.08.2016 02:03:32#
не то вы говорите,что бы восстановить сим карту(получить её)явно не минутное дело.За пару минут,это они прям с сервиса выводили ваши кровные получается(((И я при восстановлении карты заполняла форму со своими паспортными данными.может у вас конеш по другому...но заинтересовали своей речью.завтра схожу узнаю,перестрахуюсь
samopal
0

19.08.2016 14:28:48#
Объясняю: для восстановления обычных карт предоплаченной связи Киевстара никаких документов и подтверждений не нужно. Все у этих ребят подготовлено заранее - восстанавливается симка, ломается доступ и меняются данные везде максимально быстро. Теперь-то я уже перешел на контракт, где восстановить номер можно только с документами.
zhulcov
0

19.08.2016 14:48:01#
Все равно не то Вы говорите. Ведь если Вы пришли восстанавливать и у вас на руках нет нет этой симки то оператор банально перезванивает. Разве что так совпало и ваш телефон в это время был отключен. А если все действительно так как Вы сказали, значит оператор был в доле.
samopal
0

19.08.2016 15:47:28#
Я Вам говорю как было. Телефон был включен. Я до этого тоже себе пару раз восстанавливал симку - никто никуда не перезванивал. В доле оператор или нет, я не в курсе. Но если бы был в доле, то он и сейчас мог бы снова угнать мой номер, даже если нужны документы для восстановления.
uni
0

18.08.2016 18:01:47#
лол ))
Леонид
0

18.08.2016 18:07:04#
Не, тут золотко, наверно фамилия.
investicyi
0

18.08.2016 23:09:55#
Я пользуюсь этим сервисом для хранения и генерирования https://lastpass.com/ (не реклама). Защита у них не плохая в принципе. Лет 5 уже использую -не жаловался)) Удобно очень, ну и антивирус конечно с защитой от фишинга, и типа программ шпионов-платная версия конечно.
investicyi
0

18.08.2016 23:10:46#
И пароли менее 15 символов не использую - везде все индивидуально.
Insane
0

19.08.2016 17:01:41#
Подтверждаю, в каждом новом хайпе автоматом генерирует новый пасс.
Аутентификация по паролю и коду из приложения.
Пусть взламывают )
investicyi
0

19.08.2016 17:30:36#
Совершенно верно.
monahyipcom
0

19.08.2016 19:33:17#
Сам знаю что это такое. ПОдобрать пароль - делом пару секунд, тем более в сети есть целые базы. Они не будут "ломать" акк, они просто подберут пароль и все, даже иногда и сгенерированный.
Лучше всего брать и цифры, и буквы разного регистра + символы.
И в разных проектах, разные пароли.
dimedroll95
0

19.08.2016 23:57:44#
Леонид, меня 4 дня назад взломал этот же человек - Кременчуг, Полтавская область. Взамал почту, увел деньги с биткоина и с АДВ. Повезло, что в это время пришло на почту письмо с АДВ с уведомлением о заходе с нового ІР. Так бы плакали мои денежки со всех платежек.
Пароли везде разные, но все построены по одной логике.
sergnechik
0

21.08.2016 11:14:11#
*Работает* один и тот же:
Payeer.com



На сайте Payeer.com была произведена попытка авторизации с IP адреса, который не удовлетворяет настройкам Вашей безопасности.

Последний раз авторизация производилась с IP: 78.111.30.235

Сейчас авторизация производится с IP: 213.109.132.173

Браузер пользователя: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/52.0.2743.82 Safari/537.36 OPR/39.0.2256.48
sergnechik
0

21.08.2016 11:15:24#
и ещё: Адванкеш


Добрый день!

Вы получили это письмо, потому что при вашей последней попытке входа в систему сработала система интеллектуальной идентификации. Возможные причины: кто-то другой пытается получить доступ к вашему счёту, Вы попытались зайти в систему с другого компьютера или иного устройства, у Вас изменился IP-адрес, Вы используете другой браузер.

IP-адрес, с которого Вы заходили в систему в предыдущий раз: 78.111.30.235
IP-адрес, который был использован для текущей попытки входа: 213.109.132.173
sergnechik
0

21.08.2016 11:16:34#
Причём всё Украина,Полтавская обл. Кременчуг
rudikwest
0

23.08.2016 17:59:43#
Леонид, Ваш блог сегодня начал блокироваться антивирусом.
Леонид
0

23.08.2016 18:45:46#
Какой-то тупой совсем у вас антивирус.
kalyan180819
0

26.09.2016 21:42:41#
А почему никто не пишет о защите VPN очень удобно я лично не пользуюсь так как у меня на даний момент портфель 150 доларав но через месяць два когда закину деньги обовязково буду використовувати VPN і звичайно Касперський))))без нього нікуда он даже на телефоне у меня стоит.
Rvladislav93
0

13.12.2016 11:34:12#
Безопасность в подобных вещах превыше всего! Полностью поддерживаю идею с "БУМАЖНЫМ" блокнотом и (или) wordoвским файлом на флешке, которую всегда и везде можно носить с собой!
haypp
0

24.12.2016 18:13:34#
статью читал отличная спасибо вам"!!
Homo
0

24.12.2016 18:13:40#
Опять что ли или вы Леонид просто решили нам напомнить?
Леонид
0

24.12.2016 18:14:31#
Так не все читали, а материал очень важный! Ну даты же есть, видно когда комментарии написаны. Ваш вопрос поражает, не огонь :(
Homo
0

24.12.2016 18:17:26#
Простите Леонид, я плохо вижу и блеклую цифру 17 августа разглядел только использую лупу, иногда под рукою, так что извините.
Леонид
0

24.12.2016 18:18:48#
Ну а комментариев откуда столько могло взяться, за пару минут невозможно просто. Аналитика, мы учим инвесторов думать!
Homo
0

24.12.2016 18:20:52#
Понятия не имею, я только подошел к компу 10 минут назад, а это увидел только что, когда открыл Телеграмм.
Denis7
0

24.12.2016 20:39:56#
Все верно написано!
Каждый проект (хайп, почта, платежка) - новый пароль не менее 8 символов, а лучше более 12.
Я все пароли заранее сгенерировал специальными программами и в защищенном месте их храню. В новый проект вхожу - из файла достаю пароль и помечаю, что он использован.
Все файлы с реквизитами доступа следует хранить в надежном месте и делать копии на флешку.
Это кстати спасет, если комп "полетел" (диск накрылся и пр.). Ну, и антивирус это самой собой разумеющееся!
Леонид
0

24.12.2016 20:40:51#
ВЕЗДЕ новый пароль, очень важно!
evgeniy16
0

28.12.2016 15:39:51#
всегда нужно придумывать разные пароли иначе в животеки будет пусто а на душе грустно!а чтобы не забыть старый но проверенный временем ~&ЧЕРНЫЙ БЛОКНОТИК$~
metel
0

22.01.2017 19:35:30#
Для того, чтобы такая ситуация не повторилась, используйте для хранения всей этой кучи паролей специальную программу, которая хранит их в зашифрованном виде. Ссылки вроде нельзя размещать, но гуглить, я думаю, все умеют. Посмотрите на KeePass или Password Safe, например.
Только зарегистрированные пользователи могут писать комментарии.
Авторизуйтесь, пожалуйста, или зарегистрируйтесь.
Новые хайпы
Cмотреть весь список
Последние скамы
Cмотреть весь список
Подписка на рассылку
Имя
Email
Контакты
hyipstatme@gmail.com