2 miljard gestolen mailadressen en wachtwoorden ontdekt
Have I Been Pwned heeft als missie internetgebruikers te waarschuwen over gehackte mailadressen en wachtwoorden. Het heeft net een nieuwe lijst toegevoegd bij de al 17,28 miljard gecompromitteerde accounts. Bij de meeste aankondigingen over gestolen adressen gaat het om een paar miljoen of enkele honderdduizenden, maar deze keer was het wel degelijk een enorme massa.
Enorme hoeveelheid data
Troy Hunt, stichter van Have I Been Pwned, benadrukt in zijn uitleg over dit gigantische datalek dat dit veruit het meest uitvoerige corpus aan gegevens is dat ze ooit hebben moeten uitspitten. Het cijfer van twee miljard is niet bij de haren gegrepen, want het gaat wel degelijk om 1.957.476.021 unieke e-mailadressen. Daarbij horen 1,3 miljard unieke wachtwoorden (uiteraard zitten er ook dubbele bij). Daarvan waren er 625 miljoen compleet nieuwe wachtwoorden, dus nog nooit eerder gezien bij Have I Been Pwned.
De gegevens komen van Synthient. Dat cybersecuritybedrijf had heel wat data gebundeld die waren gebruikt door online criminelen. De inloggegevens zaten in credential stuffing-lijsten. Dergelijke lijsten bevatten eerder gelekte of gestolen e-mailadressen en wachtwoorden, en worden doorverkocht. Daarmee kunnen cybercriminelen die inloggegevens die afkomstig zijn van een bepaalde website op een andere site invoeren, aangezien logins vaak worden hergebruikt. Dat soort aanvallen verloopt geautomatiseerd, dus je moet je niet voorstellen dat ze jouw mail en wachtwoord een voor een zitten ingeven in alle verschillende sites.
Synthient heeft na een eerste, voorlopige lijst van 183 miljoen adressen ook de volledige rimram gedeeld met Have I Been Pwned. Daar zijn de mensen mee aan de slag gegaan om de echtheid van de wachtwoorden en dergelijke te controleren, waarna ze tot het totaal van bijna 2 miljard adressen en 1,3 miljard wachtwoorden zijn gekomen.
Check of je erbij zit
Je kan zelf heel eenvoudig nakijken of jouw gegevens zijn gecompromitteerd. Gewoon je mailadres invoeren bij het hoofdmenu en je krijgt te zien of (en eventueel bij welke) je tussen de verschillende datalekken te vinden was. Daarna kan je ook je wachtwoorden controleren onder de tab Passwords. Zit je ertussen, dan verander je uiteraard je slechte wachtwoorden door nieuwe en gebruik je zoveel mogelijk multifactor-authenticatie. Zo vermijd je dat criminelen je gegevens kunnen misbruiken, want de gevolgen kunnen zwaar zijn. Ook oude accounts verwijderen kan helpen.
Geen Gmail-lek
Ten slotte benadrukt Troy Hunt nog dat deze adressen echt niet uit een lek bij Gmail komen. Dat had zelf al een statement gepubliceerd daarover, maar ook hier wou Hunt nog eens benadrukken dat dit uit de lucht is gegrepen. Uiteraard zitten er veel gmail.com-adressen tussen, maar dat is alleen maar logisch, gezien de populariteit van die domeinnaam.
