Schon wieder macht eine riesige Sammlung von gestohlenen Zugangsdaten die Runde im Internet. Wie The Register berichtet, soll ein Hacker auf dem Darknet-Marktplatz “Dream Market” 617 Millionen Zugangsdaten anbieten. Nicht ganz 20.000 Bitcoin (aktuell: 64.500 Euro) soll der Anbieter insgesamt für den Datenschatz verlangen.
Die Datensammlung soll sich aus den Zugangsdaten von insgesamt 16 Webseiten und Apps zusammensetzen. Darunter befinden sich Armor Games, 500px, Whitepages, ShareThis, aber auch die in Deutschland entwickelten Plattformen Dubsmash und EyeEm.
Mit Dubsmash hinterlegen Sie einen Selfie mit Tiergeräuschen oder Zitaten. Mit EyeEm wiederum können Sie Fotos teilen. Von Dubsmash soll die größte Datenbank aus der Datensammlung stammen: 162 Millionen Accounts soll sie umfassen und bereits einmal verkauft worden sein, wie der Verkäufer gegenüber The Register mitgeteilt hat.
Von EyeEm sollen 22 Millionen Konten enthalten sein. Außerdem: MyFitnessPal (151 Millionen), MyHeritage (92 Millionen), ShareThis (41 Millionen), HauteLook (28 Millionen), Animoto (25 Millionen), 8fit (20 Millionen), Whitepages (18 Millionen), Fotolog (16 Millionen), 500px (15 Millionen), Armor Games (11 Millionen), BookMate (8 Millionen), CoffeeMeetsBagel (6 Millionen), Artsy (1 Millionen) und DataCamp (700.000).
Die Zugangsdaten sollen sich zusammensetzen aus Nutzernamen, Mailadressen und gehashten Passwörtern. Letzteres bedeutet, dass ein Käufer die Passwörter nicht einfach mal eben im Klartext lesen kann, sondern diese erst entschlüsseln muss. Ob beziehungsweise wie leicht das gelingt, hängt von der Stärke der Verschlüsselung der Passwörter ab.
Sofern die Verschlüsselung schon älter und schwächer ist, sollte das Entschlüsseln der Passwörter möglich sein. Ist das Passwort aber erst einmal entschlüsselt und besitzt der Angreifer dazu passend auch den Accountnamen oder die Mailadresse, dann kann er versuchen, sich damit auch bei anderen Diensten anzumelden. Hat der betroffene Internetnutzer nämlich die identische Kombination aus Zugangsnamen und Passwort bei mehreren unterschiedlichen Internetdiensten verwendet, dann lassen sich diese hacken. Teilweise sind in dem Datenschatz auch Hinweise auf den Ort und persönliche Details der Nutzer sowie Social-Media-Authentifizierungs-Tokens enthalten. Konto- oder Kreditkartendaten sollen dagegen bisher nicht gefunden worden sein.
Zumindest Teile der Daten sollen dem Bericht zufolge aktuell und korrekt sein. Laut Anbieter sollen die meisten Daten aus dem Jahr 2018 und von ihm selbst durchgeführten Hacks stammen. “The Register” hat mehrere Unternehmen, von denen die gestohlenen Daten stammen sollen, auf den Diebstahl hingewiesen. Diese würden nun ihre Nutzer informieren und deren Passwörter zurücksetzen.
The Register hat eine genaue Liste mit Details zu den gehackten Diensten veröffentlicht.
10 Fragen und Antworten zu Passwörtern
Autor: Hans-Christian Dirscherl, Redakteur
Hans-Christian Dirscherl schreibt seit über 20 Jahren zu fast allen IT-Themen. Sein Fokus liegt auf der Koordination und Produktion von Nachrichten mit hohem Nutzwert sowie auf ausführlichen Tests und Ratgebern für die Bereiche Smart Home, Smart Garden und Automotive.