Оказа се, че подборът и създаването на файлове с еднакъв MD5 хеш е съвсем лесен. Програмистът Нат Макхю (Nat McHugh) доказа това с експериментите си с електронния облак на Amazon. Резултатът е поразителен: търсенето и намирането на MD5-колизия за два съвсем различни файла му е отнело 10 часа и му е струвало само 65 цента за заплащане на използваните облачни ресурси.
Слабостта на алгоритъма за изчисляване на MD5-хешове е известна отдавна, но сега стана ясно, че подобна атака може да бъде осъществена от всеки, при това без особени затруднения. Само преди няколко години намирането на подобни колизии се считаше за висш пилотаж в хакерското изкуство. Колизии от този тип бяха използвани в шпионския троянец Flame, използван от специалните служби на някои държави.
В своите експерименти програмистът е използвал две различни изображения, за които е създал съвършено еднакъв хеш. За да получи еднакви хешове, той използвал атака с променлив префикс (chosen prefix collision), при която битове, части от байтове и цели байтове се добавят в края на JPEG-файла, докато хешовете станат еднакви, като самият файл, който в случая е префикс, остава без промени.
За автоматичен подбор на добавките в края на файловете е използвана програмата HashClash.