Der Sicherheitsanbieter 4iQ hat im Darkweb eine Datenbank gefunden, die 1,4 Milliarden Anmeldedaten im Klartext enthält. Sie wurde offenbar aus Daten verschiedener Hackerangriffe und Datenverluste zusammengestellt und soll die größte Datenbank ihrer Art sein, die bisher im Darkweb entdeckt wurde.
Der zuvor größte Fund war eine Exploit.in genannte Liste mit 797 Millionen Einträgen. Sie umfasste 252 zuvor bekannt gewordene Datenverluste, darunter entschlüsselte Passwörter von LinkedIn-, BitCoin- und Pastebin-Nutzern.
„Das ist nicht nur eine Liste, sondern eine interaktive Datenbank, die eine schnelle Suche und den Import neuer Daten erlaubt“, schreibt Julio Casal, Gründer und CTO von 4iQ in einem Blogeintrag. „Angesichts der Tatsache, dass Nutzer Passwörter für E-Mail-, Social-Media-, E-Commerce-, Banking- und Arbeitskonten wiederverwenden, können Hacker Kontoentführungen und –übernahmen automatisieren.“
Die Datenbank vereinfache zudem das Auffinden bestimmter Passwörter. Suchanfragen zu „Admin“, „Administrator“ und „Root“ lieferten innerhalb weniger Sekunden beispielweise 226.631 Kennwörter von Administratoren.
Zudem sei es möglich, die Datenbank alphabetisch nach Passwörtern zu sortieren. Das gebe Einblick darin, wie Nutzer Passwörter erstellten, wiederverwendeten oder nach vorgegebenen Mustern änderten. Daraus ließen sich auch Trends für Passwörter ablesen. In dem Zusammenhang verwies Casal auf Empfehlungen für sichere Passwörter wie das NIST Cybersecurity Framework.
Eine Log-Datei soll 4iQ zufolge auch Auskunft über die Quellen der Datenbank geben. Dort finden sich Einträge wie MySpace, Yahoo, Redbox, Twitter, Youporn, Badoo, LinkedIn, Minecraft, Netflix, PayPal, Origin, Amazon und Gmail. Sie beziehen sich auf Updates, die der Datenbank kürzlich hinzugefügt wurden.
Die Analyse der Datenbank ergab zudem, dass sie zuletzt am 29. November 2017 aktualisiert wurde, und zwar auf 1.400.553.869 Anmeldedaten bestehend aus Nutzername und Kennwort. Davon stuften die Forscher 1,164 Milliarden Nutzernamen als eindeutig ein. Zudem fanden sie lediglich 463,62 Millionen unterschiedliche Passwörter. Gegenüber den bisher bekannten Datenbanken dieser Art soll die neue Datenbank 27 Prozent mehr eindeutige Nutzer und 32 Prozent mehr eindeutige Passwörter enthalten.
Ein Screenshot soll zudem zeigen, dass Nutzer Passwörter oftmals für mehrere Konten verwenden. Ein offenbar aus Deutschland stammender Nutzer kombinierte dasselbe Passwort demnach mit E-Mail-Adressen von epost.de, gmx.de, lycos.de, web.de, yahoo.com und yahoo.de, um sich bei unterschiedlichen Diensten anzumelden. Andere Nutzer folgen dem Ratschlag, ihre Kennwörter regelmäßig zu ändern, scheinbar nur durch den Austausch einzelner Zeichen, beispielsweise „e“ durch „3“ oder „I“ durch „!“ – wobei das Ausgangs-Passwort jederzeit auf den ersten Blick erkennbar bleibt und damit auch neue Varianten ohne Aufwand erraten werden können.
Der Blogeintrag von 4iQ enthält aber auch eine Liste der beliebtesten Passwörter. 9,2 Millionen Mal fand sich in der Datenbank der Eintrag „123456“. Auch „123456789“, „qwerty“, „password“, „111111“, „12345678“ und „abc123“ sind jeweils mehr als eine Million Mal vertreten.
Einige der Anmeldedaten nutzte 4iQ, um die betroffenen Nutzer zu kontaktieren. „Fast alle Nutzer, die wir angesprochen haben, haben die Passwörter als echt bestätigt“, heißt es weiter in dem Blogeintrag. Oftmals hätten Nutzer mit „Aber das ist ein altes Passwort“, gefolgt von „Oh mein Gott, ich nutze das Passwort immer noch für diese Seite“ reagiert.
UPDATE 14.12.2017
4iQ verlinkt aus sicherheitstechnischen Überlegungen nicht auf die Datenbank. Nutzer können allerdings unter folgender Adresse überprüfen, ob ein Passwort in der Datenbank enthalten ist. Um sich vor Missbrauch von Zugangsdaten zu schützen, sollte man bei sensiblen Konten außerdem eine Zwei-Faktor-Authentifizierung aktivieren. Diese Schutzmaßnahmen wird inzwischen von vielen Diensten angeboten.
Passwort überprüfen: https://haveibeenpwned.com/Passwords
Report: State of Digital Transformation EMEA 2019
Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!
Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Neueste Kommentare
9 Kommentare zu 1,4 Milliarden Nutzernamen mit Klartext-Passwörtern im Darkweb aufgetaucht
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Hallo,
Ich kann nur mitteilen, dass unsere interne Cyber Security abteilung offensichtlich recherchiert hat. Eine Kollege von mir wurde kürzlich darüber informiert, dass seine mail adresse in der DB aufgetaucht ist. Kein scherz. Trotzdem irgendwie doof, dass man nicjt einfach selbst nachschauen kann, verstehe aber warum…
Man erwartet von mir, mein Passwort einzugeben. Was soll der Scheiß. Ich gebe doch nicht freiwillig mein Passwort preis. Hier nicht und auch nicht wo anders.
Es fehlen halt schlichtweg die Fakten, um diese Geschichte zu verifizieren.
Wo steht dieses Zeug und wer kann es nutzen und warum informiert man nicht die Nutzer und sperrt/zerstört diese Daten bzw. das Netzwerk
Weil das nicht einfach ist. Das BSI hat mal eine Online Abfrage gemacht, mit der man das verifizieren konnte – nichts würde gespeichert. Man sollte eine Email Adresse eingebe , und der BSI Server schickt einem, falls die Email Adresse in der gehackten DB enthalten ist, eine Mail mit dem Hinweis ‚Gehackt‘. Dann sollte man das Passwort ändern.
Aber: erstens bietet sich das an für Spam und Phishing (weil man ja auf eine nach BSI aussehende Mail wartet, und dann evtl. unvorsichtig wird), und zweitens, weil man nicht sicher sein kann, dass da nicht wirklich jemand die abgefragten Passwörter ‚sammelt‘.
Selbest wenn das BSI nix in der Richtung tut, es genügt, wenn eine „Sicherheitsbehörde“ sich zwischenklemmt und den Cache ausliest. Sie kriegt dann frei Haus jedes mögliche Passwort geliefert, und hat ‚verifizierte‘, echte Passwörter.
Man muss der Behörde vertrauen, und dazu war ich nicht bereit.
Ich hab dann darauf verzichtet, und einfach proaktiv die Passworte geändert. War auch eine Möglichkeit.
Wer unsicher ist, sollte proaktiv das Passwort ändern. Besser einmal zu viel, als einmal zu wenig. So sehe ich das.
Und, wichtig: nicht das selbe Passwort auf mehreren Rechnern nutzen. Besser ist ein kompliziertes Passwort, das man z.B. An der 4. Stelle nach einem nur einem selbst bekannten Verfahren variiert.
Beispiel: jhd5ghgt und dann eben einen Buchstaben variieren, also z.B. den Buchstaben hinter der 5 mit dem Dienst anpassen. g für Google, a für Amazon, E für Ebay, n für Netflix, etc. Wird eines gehackt, dürften die anderen weiterhin ‚sicher‘ sein.
Muss man dann mal das Passwort ändern, genügt ein Neues – und das entsprechende Schema anpassen.
Der Artikel schreckt eine auf. Aber was nützt das, darüber zu schreiben wenn man selber nicht in der Datenbank nachschauen kann welches der 100 Passwörter die man benutzt gehackt ist.
Ja taucht auf:
Klaus.ich.bin.eigentlich.tim.cook@apple.de
Lustig … aber in welchem Alter muss man sein, um darüber zu lachen? Ich präzisiere: in welcher Grundschulklasse? ;-)
Wenn man nicht schon verbitterter, dreifach geschiedener Vater von drölf Kindern ist dann kann man verdammt lange über ziemlich vieles lachen. :)
100 Millionen davon lauteten bestimmt „password1“, „schatzi“ oder „qwerty“ (bei uns „qwertz“). ;-)
Ich würde ja zu gerne mal auf der Liste einen Blick werfen, ob meine Email Adresse auftaucht.