1 miljard wachtwoorden en e-mailadressen zijn gelekt. Wat betekent dat?

Je hoort cybersecurity-specialisten de hele tijd praten over het opvullen van geloofsbrieven, maar heb je ooit gedacht aan de pure logistiek van het uitvoeren van een dergelijke aanval? Credential stuffing (of wachtwoordvulling, zoals het soms wordt genoemd) betekent het nemen van gebruikersnaam- en wachtwoordcombinaties die bij een online service zijn gelekt en ze tegen meerdere anderen proberen. Omdat mensen dezelfde inloggegevens gebruiken op verschillende platforms, kan een enkel gebruikersnaam- en wachtwoordpaar veel accounts openen. De theorie is eenvoudig genoeg, maar sommigen van jullie hebben misschien al een paar problemen opgemerkt.

Ten eerste is de hele aantrekkingskracht van credential stuffing dat het veel mensen tegelijkertijd treft. Als hackers elk gebruikersnaam- en wachtwoordpaar handmatig moeten invoeren en wachten tot het bericht "Login succesvol" verschijnt, zal de aanval niet bijzonder effectief zijn. Daarom gebruiken ze speciale scripts en botnets om het meeste werk voor hen te doen. Al deze automatisering is echter volkomen zinloos als de criminelen om te beginnen niet over een groot aantal gelekte referenties beschikken. Ze krijgen op het eerste gezicht het grootste probleem.

Natuurlijk kunnen de boeven altijd naar een donkere webmarkt of een hackforum gaan en wat bitcoins uitwisselen in ruil voor gestolen gebruikersnamen en wachtwoorden. Het blijkt echter dat ze soms alleen maar een zoekmachine hoeven te gebruiken.

1,5 TB e-mailadressen en wachtwoorden achtergelaten in een onbeveiligde ElasticSearch-database

Bob Diachenko, een expert op het gebied van cyberbeveiliging die verantwoordelijk was voor de ontdekking en openbaarmaking van veel enorme datalekken, deed precies dat - hij gebruikte een zoekmachine. Op 4 december vond hij een Elasticsearch-database die niet werd beschermd door enige vorm van authenticatie met behulp van BinaryEdge - een internetscanservice. Daarin zaten maar liefst 2,7 miljard records met een gewicht van 1,5 TB. Alle records hadden e-mailadressen, en ongeveer 1 miljard van hen bevatten ook gewone tekstwachtwoorden, waardoor de database perfect was voor iedereen die een grootschalige aanval voor het vullen van referenties probeerde te starten.

In feite kan dit de reden zijn waarom de gegevens in de eerste plaats zijn blootgesteld. Nadat hij het had ontdekt, deelde Diachenko zijn bevindingen met onderzoekers van Comparitech die nader bekeken en zeiden dat iemand meer en meer records aan de Elasticsearch-installatie toevoegde, mogelijk ter voorbereiding op een campagne voor het vullen van referenties. De onderzoekers konden niet achterhalen wie de database bezat, maar ze hebben de ISP wel geïnformeerd die deze heeft gehost, en op 9 december werd deze verwijderd. BinaryEdge indexeerde het echter eerst op 1 december, wat betekent dat de inloggegevens meer dan een week zichtbaar bleven. In die periode had iedereen ze kunnen downloaden en gebruiken voor allerlei kwaadaardige activiteiten.

De meeste referenties komen van "The Big Asian Leak"

In januari 2017 beschreef een cybercrimineel onder de bijnaam DoubleFlag de gegevensdump van bijna 1 miljard accounts die hij probeerde te verkopen als "The Big Asian Leak". Volgens de experts van Comparitech is deze dump in de onbeschermde Elasticsearch-database geplaatst die Diachenko in het begin van de maand heeft gevonden.

De overgrote meerderheid van de gebruikersnamen en wachtwoorden zijn gestolen van populaire Chinese online services en zijn eigendom van mensen in Oost-Azië, vandaar de naam. Zoals HackRead destijds meldde, wilde DoubleFlag iets meer dan $ 600 voor de inloggegevens. Minder dan drie jaar later waren ze toegankelijk voor iedereen die een internetverbinding had en wist waar hij moest zoeken. Dit laat zien hoe snel gegevens worden afgeschreven nadat ze zijn gestolen.

Aan de andere kant, de gebruikersnamen en wachtwoorden zijn nu vrij oud, wat betekent dat ten minste sommige van hen niet langer geldig zijn. Er is echter een ding dat deze specifieke gegevens enger lekt dan andere vergelijkbare incidenten. Mensen in het Verre Oosten hebben vaak moeite met het begrijpen en typen van Latijnse tekens, en daarom gebruiken ze hun telefoonnummers vaak als gebruikersnamen wanneer ze hun e-mailaccounts maken. Dankzij dit leidde de onbeschermde database tot de blootstelling van een flink aantal telefoonnummers, die op zichzelf al heel wat schade kunnen veroorzaken.

Zelfs als uw telefoonnummer niet in uw e-mailadres is opgenomen, en zelfs als u geen last hebt van dit specifieke gegevenslek, zou de blootstelling u opnieuw moeten laten zien welk soort risico u loopt door dezelfde wachtwoorden over meerdere rekeningen.