Según este sitio Ashley Madison mantenía un hash inseguro almacenado en su base de datos utilizando MD5, además del hash bcrypt mucho más seguro. Este grupo utilizó los hashes MD5 para descifrar rápidamente la base de datos de contraseñas en lugar de usar los hashes bcrypt, que son mucho más difíciles.
El artículo solo da esta breve pista:
La variable $ loginkey parecía ser utilizada para el inicio de sesión automático, pero nosotros No pasó mucho tiempo investigando más. Fue generado sobre creación de cuenta de usuario y se volvió a generar cuando el usuario modificó los detalles de su cuenta, incluidos el nombre de usuario, la contraseña y la dirección de correo electrónico.
La pregunta es, ¿cuál es el propósito de esta variable $ loginkey? Obviamente, no tiene sentido usar bcrypt, que es deliberadamente lento cuando usas un hash mucho más rápido como md5 en otros lugares, es un objetivo más fácil. Obviamente, esto es un gran error por parte de los desarrolladores de Ashley Madison, pero tengo curiosidad por saber por qué habrían puesto esto en primer lugar, y por qué nunca se solucionó ya que (alguien) sabía usar bcrypt para el contraseña principal hash.