Fünf Fragen zum Leak von 16 Milliarden Apple-, Google- und Telegram-IDs und Passwörtern

Riesige Mengen privater Daten sind in die ahnungslosen Hände von Cyberkriminellen gelangt. Seit Jahresbeginn wurden 16 Milliarden Benutzernamen und Passwörter gestohlen und online veröffentlicht, wie Forscher des Cybersicherheitsmagazins Cybernews am Donnerstag, dem 19. Juni, enthüllten. Der Missbrauch dieser sensiblen Informationen könnte dramatische Folgen für ihre Besitzer haben. Libération zieht in fünf Fragen Bilanz.

Dabei handelt es sich in erster Linie um Anmeldedaten und Passwörter für den Zugriff auf Apple-, Google-, Telegram- und Unternehmenswebsites. Noch schwerwiegender ist, dass einige davon Berichten zufolge auch für die Anmeldung bei Behördendiensten verwendet werden. Diese 16 Milliarden Daten verteilen sich auf 30 große gestohlene Datensätze, die seit Jahresbeginn von Forschern identifiziert wurden. Jede Datei enthält mehrere zehn Millionen bis mehrere Milliarden Informationen. Die größte Datei enthält 3,5 Milliarden, hauptsächlich Informationen zur portugiesischsprachigen Bevölkerung.

Cybernews weist allerdings darauf hin, dass es schwierig sei, die tatsächliche Zahl der Opfer zu schätzen: Es seien Duplikate der aufgeführten Anmeldeinformationen identifiziert worden.

Stecken mehrere Cyberkriminelle hinter diesem Fall? Schwer zu sagen. Sicher ist jedoch, dass die enorme Datenmenge nicht an einem einzigen Tag durch ein einziges massives Leck angehäuft wurde. Dieser Berg gestohlener Daten hat sich im Laufe der Zeit dank verschiedener Schadprogramme angehäuft, die in sozialen Medien oder auf den Unternehmensplattformen des Opfers aktiv waren.

Diese Infostealer – so ihr Name – sind auf Datendiebstahl spezialisiert. Im Gegensatz zu auffälliger Ransomware (einem Virus, der einem Benutzer gegen Geld den Zugriff auf seine Daten sperrt) bleibt der Infostealer unauffällig. Oft wird er versehentlich über einen beschädigten E-Mail-Anhang oder einen irreführenden Link heruntergeladen und lauert im Verborgenen. Er zeichnet die Anmeldeinformationen seines Opfers auf, um sie an den Absender weiterzugeben.

Die gute Nachricht? Die 16 Milliarden gesammelten Benutzernamen und Passwörter waren nur für kurze Zeit öffentlich zugänglich. Die schlechte Nachricht: Sie befinden sich noch immer in den Händen ihrer Diebe.

Erpressung durch Ransomware, gezielte Phishing-Kampagnen, Kontoübernahmen … Mithilfe dieser Informationen kann ein Cyberkrimineller eine ganze Reihe von Operationen durchführen. Durch den Zugriff auf bestimmte Konten können sie neue, noch sensiblere Daten sammeln. Geschickt eingesetzt, könnten diese Informationen ihnen Zugriff auf bestimmte Bankkonten verschaffen. Oder den Hack eines Unternehmens ermöglichen. Dies „ist nicht nur ein Datenleck, sondern eine Operationsbasis für groß angelegte Ausnutzung“, warnen die Forscher von Cybernews .

Online gibt es Tools, mit denen Sie feststellen können, ob Ihre Daten gestohlen wurden. Ein Beispiel ist die Website „ Have I Been Pwned “. Dort geben Sie einfach Ihre E-Mail-Adresse ein. Es gibt zwei Möglichkeiten: Ist die Anzeige grün, ist alles in Ordnung. Ihre Daten wurden geschützt. Ist sie rot, ist Ihre E-Mail tatsächlich durchgesickert. Die Plattform identifiziert die für das Leck verantwortlichen Ereignisse für Sie.

Aufgrund der Aktualität des Falles ist es jedoch möglich, dass die Website „Have I been pwned“ die betroffenen Konten noch nicht identifiziert hat.

Auf Unternehmensseite muss die Festung verstärkt werden. „Diese Daten sind besonders gefährlich für Organisationen, die weder über ein Multi-Faktor-Authentifizierungssystem noch über eine gute Authentifizierungshygiene verfügen“, warnen Experten. Daher empfiehlt es sich, einen zusätzlichen Schritt in den Anmeldeprozess eines Benutzers zu integrieren. Zusätzlich zu den üblichen „Benutzernamen + Passwort“ kann beispielsweise die Eingabe eines per SMS erhaltenen Codes verlangt werden.

Standardmäßig wird empfohlen, Passwörter regelmäßig zu ändern. Verwenden Sie keine alten Passwörter, auch wenn es verlockend ist. Aktivieren Sie nach Möglichkeit die Zwei-Faktor-Authentifizierung auf Websites, die diese anbieten. Auch wenn die Wartezeit auf einen Code per SMS wie eine Ewigkeit erscheint.