Обновление: пресс-служба Яндекс сообщила нам о результатах проведенного расследования. Если коротко: проблема на стороне пользователей.

За последние несколько часов мы тщательно проанализировали эту базу и пришли к следующим выводам.

Речь не идёт о взломе инфраструктуры Яндекса, данные стали известны злоумышленникам в результате фишинга или вирусной активности на заражённых компьютерах некоторых пользователей. Это не целенаправленная атака, а результат сбора скомпрометированных аккаунтов в течение длительного периода времени.

О 85% скомпрометированных аккаунтов из этой базы нам уже было известно: большинство из них уже несколько лет появляются в подобных списках. Мы предупреждали их владельцев и предлагали сменить пароль, но они этого не сделали. Это означает, что такие аккаунты либо заброшены, либо создавались роботами. Владельцам оставшихся 150 тысяч аккаунтов этой ночью мы сбросили пароль, и они не смогут войти в ящик, пока не поменяют его. Если вы не видите такого предупреждения от Яндекса, то вашего аккаунта нет в опубликованном списке и можно не беспокоиться.

Данные пользователей Яндекса конечно же не хранятся в открытом виде, как предполагают на хабре, - в этом виде их представили на обозрение злоумышленники. Речь не идёт о «кроте» - пароли «утекли» от пользователей, а не из Яндекса. Фишинг и утечка паролей с компьютеров пользователей из-за вирусов - постоянная проблема многих популярных сервисов, а не результат одноразовой и целенаправленной атаки.


Миллион логинов и паролей пользователей почтового сервиса Яндекс.Почта внезапно появились в открытом доступе в Интернете. На данный момент достоверно неизвестно, был ли это взлом самого почтового сервиса или кто-то просто собрал уже гуляющую по Сети информацию о взломанных паролях в одну базу данных.

Почитать обсуждение происходящего можно в социальной сети Хабрахабр, но сначала поменяйте пароль своей Яндекс.Почты, если пользуетесь этим сервисом. И еще: если кроме почты вы используете также Яндекс.деньги, убедитесь, что пароли у этих сервисов не совпадают. Лишним не будет.

Несмотря на астрономическую цифру, похоже, что сама Яндекс.почта все же не была скомпрометирована. По крайней мере пресс-служба компании сохраняет оптимизм:

Пароли пользователей Яндекса надёжно защищены и не хранятся в открытом виде. Поэтому опубликованный список - это не «взлом» и не «утечка» Яндекса. Наши специалисты проверяют этот список, и пока нет оснований считать, что среди среди опубликованных аккаунтов есть те, что принадлежат «живым» пользователям (тем, кто бы заходил на наши сервисы, в Почту, и совершал какие-либо действия, а не был создан роботами), или тех, о взломе которых бы мы не знали (такие аккаунты уже давно отправлены на восстановление пароля).

Также специалисты Яндекса хотят напомнить следующее:

Взлом пароля не означает взлома сервиса. Пароли могут быть скомпрометированы из-за того, что на компьютере пользователя могут быть вирусы, которые передают информацию обо всех персональных данных злоумышленникам или в результате фишинга (когда сайт злоумышленника выглядит, как «настоящий»). Бывает и так, что пользователи регистрируются на разных сомнительных сайтах, в качестве пароля выбирая тот же, что и у e-mail.
В интернете регулярно всплывают «базы паролей». Во-первых, они могут быть ненастоящими, и до их покупки горе-хакер не может этого знать. Во-вторых, существуют базы логинов, которые были созданы роботами с единственной целью - чтобы продать. В-третьих, в подобных базах могут содержаться логины пользователей, пострадавших из-за вирусов на своих компьютерах и фишинга.
Если мы видим, что аккаунт мог быть взломан (по его присутствию в подобных "базах" или по тому, как изменилось поведение пользователя при входе в аккаунт) - мы принудительно разлогиниваем пользователя и отправляем его на смену пароля.

Что, тем не менее, не отменяет наших советов. Небольшая паранойя серьезно облегчает жизнь, так что пароль, на всякий случай, поменяйте.