Datenbank mit 184 Millionen Zugangsdaten entdeckt
Zahlreiche Dienste betroffen:
Datenbank mit 184 Millionen Zugangsdaten entdeckt
Das Datenleck umfasst Passwörter für Nutzerkonten bei Microsoft, Google, Facebook, Amazon, Apple, Nintendo, Paypal und vielen weiteren.
Ein Sicherheitsforscher namens Jeremiah Fowler hat eine riesige ungesicherte Datenbank mit Anmeldeinformationen für mehr als 184 Millionen Onlineaccounts entdeckt. In einem eigenen Blogbeitrag spricht der Forscher von 47,42 GByte an Zugangsdaten. Woher die Daten genau stammen, ist noch unklar. Wahrscheinlich wurden sie von Malware oder aus früheren Datenlecks zusammengetragen.
Die inzwischen vom Netz genommene Datenbank enthielt laut Fowler E-Mail-Adressen, Nutzernamen, Passwörter und URLs der Dienste, für die die jeweiligen Anmeldedaten vorgesehen sind. Zu Letzteren zählen unter anderem solche von Microsoft, Google, Facebook, Instagram, Snapchat, Roblox, Discord, Netflix, Paypal, Amazon, Apple, Nintendo, Spotify und Wordpress.
Einem Bericht von Wired zufolge fand Fowler in einem Auszug von 10.000 Datensätzen auch Zugangsdaten für Banking-Anwendungen, Wallets und Regierungsportale von 29 verschiedenen Staaten. Die Passwörter lagen wohl jeweils im Klartext vor. Fowler kontaktierte mehrere Betroffene und konnte dadurch verifizieren, dass die Anmeldedaten echt und zumindest einige der Passwörter noch gültig waren.
Hoster greift ein
Wie lange die Datenbank frei zugänglich war und wem sie genau gehört, konnte der Sicherheitsforscher nicht feststellen. Nachdem er sich an den zuständigen Hosting-Anbieter World Host Group gewandt hatte, leitete dieser unmittelbar Maßnahmen ein, um die Daten vom Netz zu nehmen. Ungewiss bleibt jedoch, ob zuvor noch andere Akteure die Datenbank entdeckten und die enthaltenen Daten bereits abgriffen.
Fowler geht davon aus, dass die Zugangsdaten von Infostealer-Malware eingesammelt wurden. Es ist jedoch ebenso denkbar, dass die Daten zumindest teilweise aus anderen Quellen wie beispielsweise früheren Datenlecks stammen und lediglich von einem unbekannten Akteur in einer großen Datenbank zusammengetragen wurden.
Nutzer sollten handeln
Anwender, die sich vor einem möglichen Missbrauch schützen wollen, sollten regelmäßig bei Diensten wie HaveIBeenPwned oder dem Identity Leak Checker des Hasso-Plattner-Instituts prüfen, ob ihre Anmeldedaten in bekannten Datenlecks enthalten sind, und gegebenenfalls ihre Passwörter ändern. Bei der Vergabe von Passwörtern sollte zudem darauf geachtet werden, dass diese ausreichend komplex sind und nicht mehrfach verwendet werden.
Überdies lohnt es sich, von verfügbaren Zwei-Faktor-Authentifizierungsmethoden (2FA) Gebrauch zu machen, da ein erbeutetes Passwort allein in diesem Fall nicht ausreicht, um das zugehörige Konto zu kapern.