Aus Infostealer-Datensätzen konnte Have-I-Been-Pwned-Betreiber Troy Hunt 1,3 Milliarden Passwörter extrahieren.
Troy Hunt hat die Datenbank von Have I Been Pwned um rund 1,3 Milliarden einzigartige Passwörter erweitert. Ein großer Teil stammt aus der erweiterten Sammlung mit dem Namen Synthient. Diese Sammlung bündelt frei zugängliche Daten aus offenen Cloudspeichern und aus Chatgruppen. Daraus hat Hunt nun weitere Passwörter extrahiert und eingepflegt.
Bereits vor etwa zwei Wochen hatte er einen ersten Teil der Datensätze geprüft und rund 183 Millionen Zugangsdaten aufgenommen. Besonders betroffen sind Informationen, die durch sogenannte Infostealer abgeflossen sind. Dabei handelt es sich um Schadprogramme, die sich auf Computern oder Smartphones einnisten und Anmeldungen mitschneiden. Die erbeuteten Daten werden an Steuerungsserver übermittelt und landen nicht selten offen im Netz. Häufig gelangen Infostealer als Beifang über vermeintliche Software Cracks auf die Geräte. Auch Sicherheitslücken in installierter Software können den Weg bereiten.
Die Synthient Sammlung umfasst erheblich mehr als nur einzelne Leaks. Sie vereint Einträge aus vielen Datenpannen und dient Angreifern als Grundlage für das sogenannte Credential Stuffing. Dabei werden bekannte Kombinationen aus E Mail Adressen und Passwörtern automatisiert bei anderen Diensten ausprobiert. Wer Passwörter wiederverwendet, läuft Gefahr, dass weitere Konten kompromittiert werden.
Laut Hunt enthält der aktuelle Import 625 Millionen bislang unbekannte Passwörter. Um die Qualität zu prüfen, hat er Abonnenten von Have I Been Pwned um Rückmeldung gebeten. Die Antworten zeigen ein klares Muster. Einige erkannten alte Passwörter wieder, andere sogar noch aktive Varianten. Die Sammlung reicht weit zurück und enthält sowohl sehr alte als auch jüngere Einträge.
Die jetzt gemeldeten 1,3 Milliarden neuen Einträge sind ein eindringlicher Hinweis darauf, dass gestohlene Zugangsdaten in großem Stil kursieren.
