Исследователь сети Tor установил, что с 2 по 5 октября злоумышленники контролировали 333 выходных узла. Они перенаправляли SSH-соединения на 12 собственных серверов. Если пользователь игнорировал предупреждение о смене ключа удалённого сервера и вводил пароль, его могли перехватить. Кроме того, узлы блокировали некоторые почтовые порты с шифрованием, оставляя доступ к незашифрованным соединениям. Пока неизвестно, удалось ли таким способом прочитать конкретные письма. Исходная точка атаки, по данным добровольцев Tor, включала повторно использованный пароль от управляющего сервера.
Здесь важна граница риска: Tor скрывает маршрут соединения, но не отменяет проверку подлинности сервера и необходимость сквозного шифрования. Предупреждение SSH о смене ключа нельзя автоматически принимать как досадную помеху. Администраторам стоит отключать вход по паролю в пользу ключей и проверять отпечатки ключей при неожиданном изменении. Почтовые сервисы должны требовать защищённое соединение и не соглашаться на передачу писем в открытом виде. Исследование не утверждает, что были взломаны все узлы Tor или что перехвачена вся почта. Но масштаб захвата показывает: один слой анонимности не защищает содержимое трафика, если конечный протокол настроен слабо.