149 Mio. Passwörter für Instagram, TikTok & Co ungeschützt im Netz

Netflix, Instagram, Onlyfans passwords leaked — Image by Cybernews.

Sicherheitsforscher haben eine offene Datenbank mit Millionen von Zugangsdaten gefunden, vermutlich gesammelt mit Infostealer-Malware. Sie enthält Passwörter für beliebte Dienste wie Facebook, Gmail, Netflix, Binance und andere, glauben die Forscher.

Eine falsch konfigurierte Cloud-Datenbank hat über 149 Millionen Anmeldedaten geleakt, die vermutlich mit Infostealer-Malware gesammelt wurden.
Geleakte Konten umfassen Gmail, Facebook, Instagram, Netflix, TikTok, Binance und OnlyFans und betreffen Nutzer auf der ganzen Welt.
Der Datensatz enthielt 96 GB strukturierte Zugangsdaten, URLs und Gerätekennungen, die groß angelegte Kontoübernahmen ermöglichen.

Die offengelegte Datenbank enthielt satte 96 GB rohe Zugangsdaten, die über 149 Millionen eindeutige Logins und Passwörter umfassen und wurde von Sicherheitsforschern bei ExpressVPN gefunden. Laut dem Autor der Veröffentlichung, Jeremiah Fowler, enthielten die Daten auch URLs, die zu spezifischen Diensten und Konten führten.

„Dies ist nicht der erste Datensatz dieser Art, den ich entdeckt habe, und er unterstreicht nur die globale Bedrohung durch Infostealer-Malware. Wenn Daten gesammelt, gestohlen oder abgegriffen werden, müssen sie irgendwo gespeichert werden, und ein Cloud-basiertes Repository ist normalerweise die beste Lösung", schreibt Fowler.

Sample of the leaked Facebook, Instagram data — Die geleakten Daten, Bild: ExpressVPN.

Infostealer-Malware, beschreibt Fowler, schleicht sich in die Geräte der Nutzer ein, sammelt heimlich Zugangsdaten und sendet diese an die Datenbanken der Angreifer. Später nutzen Hacker die Informationen, um Konten zu übernehmen und Geld zu stehlen.

Der Besitzer der Datenbank sammelte Millionen von Zugangsdaten beliebter Dienste aus der ganzen Welt. Der kleinste Datensatz ist OnlyFans mit 100.000 geleakten Zugangsdaten, der größte, mit 48 Millionen, ist Gmail. Hier die Liste mit Fowlers Schätzungen:

Gmail - 48M
Facebook - 17M
Instagram - 6.5M
Yahoo - 4M
Netflix - 3.4M
Outlook - 1.5M
iCloud - 900k
TikTok - 780k
Binance - 420k
OnlyFans - 100k

„Unter den Daten fand ich auch viele Logins für Streaming- und Entertainment, wie Netflix, HBO Max, Disney+, Roblox und andere. Finanzdienstleister, wie Krypto-Wallets oder Tradingkonten, Banking- und Kreditkarten-Logins tauchten ebenfalls in der Stichprobe auf, die ich überprüft habe", sagte Fowler.

Laut Fowler enthielt der Datensatz auch Zugangsdaten, die mit öffentlichen Institutionen verbunden waren. Dadurch ist nicht auszuschließen, dass Hacker die Daten nutzen könnten, um auf Systeme in Behörden zuzugreifen, die oft große Mengen personenbezogener Daten enthalten.

Bedrohungsakteure könnten auch Regierungs-E-Mail-Adressen für gezielte Phishing-Angriffe nutzen, was dazu führen könnte, dass Malware in Regierungsnetzwerken eingesetzt wird.

Die Datenbank enthielt keine Informationen zum Eigentümer. Der Forscher meldete das Problem direkt nach der Entdeckung an den Hosting-Anbieter. Laut dem Hosting-Anbieter wird die IP von einer unabhängigen Tochtergesellschaft betrieben.

Es dauerte fast einen Monat, bis die offengelegte Datenbank für die Öffentlichkeit gesperrt wurde, was bedeutet, dass nicht nur die Administratoren des Infostealers Zugriff darauf hatten, sondern auch jeder, der es schaffte, den Datensatz zu entdecken.

„Eine beunruhigende Tatsache ist, dass die Anzahl der Datensätze von dem Zeitpunkt, als ich die Datenbank entdeckte, bis zu ihrer Sperrung und Nichtverfügbarkeit zunahm", sagte Fowler.

Neugierig, was andere über diese Geschichte denken? Teile deine Gedanken in unserer Diskussion.

Bei der Untersuchung einer Datenprobe bemerkte der Forscher, dass die Datenbank neben URLs und Zugangsdaten auch einen „host_reversed path" (com.example.user.machine) Eintrag enthielt. Fowler glaubt, dass Angreifer damit die Flut an Informationen besser organisieren und grundlegende Erkennungsmechanismen umgehen konnten.

„Das System verwendete einen Zeilen-Hash als Dokument-ID, um einen eindeutigen Datensatz pro eindeutiger Protokollzeile sicherzustellen. Bei einer begrenzten Suche nach diesen Hash- und Dokument-IDs wurde festgestellt, dass sie tatsächlich eindeutig waren und keine Duplikate zurückgaben", sagte Fowler.

Böswillige Akteure können diese Art von Datenbank leicht für zahlreiche schändliche Zwecke nutzen. Der offensichtlichste ist das Eindringen in Nutzerkonten und der Diebstahl persönlicher Daten. Darüber hinaus ermöglicht eine strukturierte Datenbank automatisiertes Credential Stuffing, da Nutzer oft Passwörter wiederverwenden.

Infostealer sind weltweit ein großes Problem, da Angreifer massive Datenbanken für spätere Aktionen sammeln. Letztes Jahr berichtete Cybernews beispielsweise über eine Kombination von 16 Milliarden offengelegten Anmeldedaten, die über mehrere Datenbanken verteilt waren.

Wie können Angreifer geleakte Passwörter ausnutzen?

Dein Konto als Geisel nehmen.

Ein Hacker kann sich einloggen und Nutzer aussperren, indem er ihr Passwort und ihre Wiederherstellungsdaten ändert. Manchmal verlangen sie sogar Geld, um es zurückzugeben, während sie das Konto nutzen, um Spam zu versenden oder zwielichtige Dinge zu tun, ohne dass die Nutzer es bemerken.

Deine Identität für böswillige Aktivitäten nutzen.

Wenn Angreifer in Finanzkonten von Nutzern eindringen, können sie sich als diese ausgeben. Das könnte bedeuten, ihre Konten zu leeren, zweifelhafte Käufe zu tätigen oder in ihre privaten Informationen zu graben.

Überzeugende Phishing-Nachrichten versenden.

Mit Details aus offengelegten Konten können Hacker E-Mails oder Textnachrichten zusammenstellen, die sehr überzeugend aussehen. Sie könnten Opfer – oder deren Freunde – dazu verleiten, auf einen Link zu klicken oder noch mehr Informationen preiszugeben.

Versuchen, offengelegte Passwörter bei anderen Konten zu verwenden.

Nutzer haben die Angewohnheit, Passwörter für verschiedene Seiten wiederzuverwenden. Hacker könnten dies ausnutzen und andere Konten übernehmen. Das nennt sich Password Spraying, und es funktioniert öfter, als Cybersicherheitsexperten es gerne zugeben würden.