Cock[.]li взломали. Похищены данные миллиона пользователей

В июне 2025 года немецкий провайдер электронной почты Cock[.]li, известный своим акцентом на конфиденциальность и минимальной модерацией, подвергся масштабной кибератаке. В результате взлома были похищены данные более 1 миллиона пользователей, что стало одним из крупнейших инцидентов в истории этого сервиса. Атака была осуществлена через уязвимости в устаревшей платформе веб-почты Roundcube, которая на момент инцидента уже была выведена из эксплуатации.

Масштаб утечки данных

По официальным данным, предоставленным Cock[.]li, в результате взлома были скомпрометированы записи 1 023 800 пользователей, которые заходили в систему через веб-интерфейс Roundcube с 2016 года. Кроме того, были похищены контактные данные, связанные с примерно 93 000 пользователей, из которых 10 400 аккаунтов содержали дополнительную информацию, такую как имена, email-адреса, vCard и комментарии.

Список похищенных данных включает:

• Адреса электронной почты;
• Временные метки первого и последнего входа в систему;
• Количество и данные о неудачных попытках входа;
• Языковые настройки;
• Сериализованные настройки Roundcube и подписи к письмам;
• Контактные данные (для подгруппы из 10 400 аккаунтов).

При этом Cock[.]li подчеркивает, что пароли пользователей, содержимое писем и IP-адреса не были затронуты, так как они хранились в отдельных таблицах базы данных, не попавших в руки злоумышленников.

Как произошел взлом

Атака была осуществлена через уязвимости в платформе Roundcube, которая использовалась Cock[.]li для предоставления веб-доступа к почте. В частности, упоминаются две уязвимости: SQL-инъекция CVE-2021-44026 и удаленное выполнение кода (RCE) CVE-2025-49113, которая, по некоторым данным, является недавно обнаруженным zero-day эксплойтом. Несмотря на то, что Cock[.]li отрицает уязвимость своей версии Roundcube к последнему эксплойту, сервис принял решение полностью отказаться от использования этой платформы после инцидента.

Первые признаки проблемы появились на прошлой неделе, когда доступ к веб-почте Cock[.]li был внезапно прерван без официальных объяснений. Вскоре после этого на подпольных форумах, включая русскоязычный XSS, появился злоумышленник под псевдонимом Satoshi, который предложил две базы данных Cock[.]li на продажу за 1 биткоин (примерно 92 500–105 000 долларов США).

Реакция Cock[.]li и рекомендации пользователям

Cock[.]li подтвердил подлинность утекших данных, проанализировав предоставленные злоумышленником образцы и структуру столбцов баз данных. В официальном заявлении на сайте сервиса администрация признала, что использование Roundcube было ошибкой, и сообщила о полном отказе от этой платформы. На данный момент приоритетным решением не является внедрение новой веб-почты; вместо этого пользователям рекомендуется использовать настольные или мобильные почтовые клиенты для доступа к своим аккаунтам.

Всем пользователям, которые заходили в систему с 2016 года, настоятельно рекомендуется сменить пароли. Кроме того, владельцы 10 400 аккаунтов, чьи контактные данные были скомпрометированы, получат отдельные уведомления от сервиса.

Кто использует Cock[.]li и почему это важно

Cock[.]li, основанный в 2013 году под управлением единственного оператора, известного как Винсент Кэнфилд, позиционирует себя как альтернативу крупным почтовым провайдерам. Сервис популярен среди тех, кто ищет анонимность и не доверяет мейнстримовым платформам, включая участников сообществ по информационной безопасности и open-source. Однако платформа также привлекает киберпреступников, таких как участники ransomware-группировок Dharma и Phobos, что делает утечку данных особенно значимой для исследователей и правоохранительных органов.

Последствия и уроки

Этот инцидент подчеркивает риски, связанные с использованием устаревшего программного обеспечения, особенно в сервисах, ориентированных на конфиденциальность. Cock[.]li признал, что более своевременные обновления и отказ от Roundcube могли бы предотвратить утечку. Утечка данных может быть использована для дальнейших атак, таких как фишинг, или для анализа активности пользователей, включая потенциальных киберпреступников.

В условиях роста киберугроз подобные инциденты служат напоминанием о необходимости строгого контроля за безопасностью используемых платформ. Для пользователей Cock[.]li текущая ситуация требует немедленных действий по защите своих аккаунтов, а для самого сервиса — пересмотра подходов к обеспечению безопасности данных.