‘RockYou2024’ is grootste lek ooit met 10 miljard wachtwoorden
Op een online forum voor hackers circuleert sinds 4 juli een tekstbestand waar maar liefst 9.948.575.739 – bijna 10 miljard – wachtwoorden in staan. Cybernews ontdekte het document, dat de naam ‘rockyou2024.txt’ kreeg, per toeval. Volgens onderzoekers lekte een deel van die wachtwoorden al eerder uit, maar in het bestand zouden ook nieuwe inloggegevens zitten, die nog niet eerder uitlekten.
Niet de eerste keer
Het bestand werd geüpload door een gebruiker met de naam ‘ObamaCare’. De gebruiker, die sinds mei 2024 actief is op het hackersforum, laadde eerder al een aantal documenten op. Onder meer advocatenbureau Simmons & Simmons zag het personeelsbestand online verschijnen. Ook plaatste de hacker inschrijvingen voor Rowan College, een Amerikaanse school, online. In het RockYou2024-document zitten en deel van die gegevens, maar ook een heleboel nieuwe. RockYou2024 bouwt bovendien voort op een versie uit 2021, waar toen 8,4 miljard wachtwoorden in zaten.
De onderzoekers winden er geen doekjes om: ze noemen dit lek “de grootste verzameling van wachtwoorden” die al online gezet werden. Op die manier doen de hackers hun kunstje uit 2021 nog eens over. De onderzoekers merken op dat het om échte paswoorden gaat, die ook daadwerkelijk gebruikt worden voor heel wat online accounts.
Eerder dit jaar verschenen al een heleboel wachtwoorden online in de zogenaamde ‘Mother of all breaches’ (MOAB). Toen ging het om een verzameling van gegevens die eerder al uitlekten, maar samen online gezet werden. Bij RockYou2024 gaat het om wachtwoorden die de criminelen zelf opduikelden, waaronder een heleboel voor accounts op sociale media. Bovendien: bij MOAB zaten er heel wat gegevens meerdere keren in de database. Dat is hier niet het geval: de bijna 10 miljard wachtwoorden in deze database zijn uniek.
Jezelf beschermen
Zo’n grote lekken zetten de deur open voor misbruik, vooral in de vorm van ‘credential stuffing’. Daarbij proberen cybercriminelen de combinatie van een wachtwoord en e-mailadres op zoveel mogelijk sites uit, in de hoop dat het wachtwoord meerdere keren voorkomt. Dit is meteen één van de redenen dat je wachtwoorden best niet hergebruikt: dit is een van de makkelijkste manieren voor cybercriminelen om bij je accounts binnen te dringen.
Behalve unieke wachtwoorden gebruiken, zijn er nog een aantal zaken die je kan doen om misbruik te voorkomen. Verreweg de beste optie is om geen wachtwoord meer te gebruiken, maar om over te schakelen naar een passkey. Die toegangssleutels zijn specifiek voor het apparaat waar ze op staan, dus kunnen ze moeilijk gestolen worden. Ook is het nuttig om voor zoveel mogelijk accounts 2FA of MFA in te stellen. Op die manier is een wachtwoord nooit genoeg om binnen te dringen bij je account, en kan je dus iets geruster internetten.
