How did Instagram know that my password was compromised on another site?

Question

Information Security

Recently, my email account on the hosting was maliciously exploited for sending spam. As it turned out later, the attacker found my password somewhere and connected directly to SMTP. Changing the password didn't help because it didn't work. Everything was fixed. Changed passwords. I broke my head - where could I burn my password. Unless some site was hacked and all the passwords leaked to the network, including mine.
And today I received a notification from my Instagram that my password matches the one that was recently stolen on another site and that they say I need to change it. So the question is: how did they know about it?

Answer 1

Да лаадно.
1) Имем где-то базу паролей с мылами.
2) Знаем (мы же инстаграм!) алгоритм генерации хэша
3) Генерируем хэш из слитого пароля
4) Проверяем с хэшем в базе
5) Если совпало - бьём тревогу.

Answer 2

Отсюда вопрос: откуда они об этом узнали?

В крупных компаниях за этим делом следят.
Никому не охота терять деньги и сливать репутацию на пустом месте.
Поэтому они стараются отслеживать утечки баз, и разумеется сверяют хэши из этих баз со своими хэшами при совпадении логина. Во избежание...

Answer 3

https://www.leakedsource.com/

Answer 4

АртемЪ: Теория на мой взгляд верная, но это возможно только если, как мы все уже поняли: либо инстаграму досталась база утекших паролей в открытом виде, либо инстаграм хранит пароли в открытом виде, либо алгоритм хранения паролей инстаграм совпал до соли с алгоритмом загадочного сайта.
Если понадеяться на благонадежность фейсбука, то вероятнее всего первый сценарий. Тогда любопытно на каком ресурсе есть такая база.

Answer 5

I think it's easier to do it by hand...