1,4 Milliarden Nutzernamen mit Klartext-Passwörtern im Darkweb aufgetaucht
Die bisher größte Datenbank dieser Art hat fast 800 Millionen Einträge. Die neue Datenbank ist zudem durchsuch- und sortierbar. Sie gibt auch Einblicke darin, wie Nutzer Passwörter wieder verwerten oder bei dem Versuch scheitern, sichere Passwörter zu erstellen.
Der Sicherheitsanbieter 4iQ hat im Darkweb eine Datenbank gefunden, die 1,4 Milliarden Anmeldedaten im Klartext enthält. Sie wurde offenbar aus Daten verschiedener Hackerangriffe und Datenverluste zusammengestellt und soll die größte Datenbank ihrer Art sein, die bisher im Darkweb entdeckt wurde. Der zuvor größte Fund war eine Exploit.in genannte Liste mit 797 Millionen Einträgen. Sie umfasste 252 zuvor bekannt gewordene Datenverluste, darunter entschlüsselte Passwörter von LinkedIn-, BitCoin- und Pastebin-Nutzern.
„Das ist nicht nur eine Liste, sondern eine interaktive Datenbank, die eine schnelle Suche und den Import neuer Daten erlaubt“, schreibt Julio Casal, Gründer und CTO von 4iQ in einem Blogeintrag. „Angesichts der Tatsache, dass Nutzer Passwörter für E-Mail-, Social-Media-, E-Commerce-, Banking- und Arbeitskonten wiederverwenden, können Hacker Kontoentführungen und –übernahmen automatisieren.“
Die Datenbank vereinfache zudem das Auffinden bestimmter Passwörter. Suchanfragen zu „Admin“, „Administrator“ und „Root“ lieferten innerhalb weniger Sekunden beispielweise 226.631 Kennwörter von Administratoren.
Zudem sei es möglich, die Datenbank alphabetisch nach Passwörtern zu sortieren. Das gebe Einblick darin, wie Nutzer Passwörter erstellten, wiederverwendeten oder nach vorgegebenen Mustern änderten. Daraus ließen sich auch Trends für Passwörter ablesen. In dem Zusammenhang verwies Casal auf Empfehlungen für sichere Passwörter wie das NIST Cybersecurity Framework.
Eine Log-Datei soll 4iQ zufolge auch Auskunft über die Quellen der Datenbank geben. Dort finden sich Einträge wie MySpace, Yahoo, Redbox, Twitter, Youporn, Badoo, LinkedIn, Minecraft, Netflix, PayPal, Origin, Amazon und Gmail. Sie beziehen sich auf Updates, die der Datenbank kürzlich hinzugefügt wurden.
Die Analyse der Datenbank ergab zudem, dass sie zuletzt am 29. November 2017 aktualisiert wurde, und zwar auf 1.400.553.869 Anmeldedaten bestehend aus Nutzername und Kennwort. Davon stuften die Forscher 1,164 Milliarden Nutzernamen als eindeutig ein. Zudem fanden sie lediglich 463,62 Millionen unterschiedliche Passwörter. Gegenüber den bisher bekannten Datenbanken dieser Art soll die neue Datenbank 27 Prozent mehr eindeutige Nutzer und 32 Prozent mehr eindeutige Passwörter enthalten.
Ein Screenshot soll zudem zeigen, dass Nutzer Passwörter oftmals für mehrere Konten verwenden. Ein offenbar aus Deutschland stammender Nutzer kombinierte dasselbe Passwort demnach mit E-Mail-Adressen von epost.de, gmx.de, lycos.de, web.de, yahoo.com und yahoo.de, um sich bei unterschiedlichen Diensten anzumelden. Andere Nutzer folgen dem Ratschlag, ihre Kennwörter regelmäßig zu ändern, scheinbar nur durch den Austausch einzelner Zeichen, beispielsweise „e“ durch „3“ oder „I“ durch „!“ – wobei das Ausgangs-Passwort jederzeit auf den ersten Blick erkennbar bleibt und damit auch neue Varianten ohne Aufwand erraten werden können.
Der Blogeintrag von 4iQ enthält aber auch eine Liste der beliebtesten Passwörter. 9,2 Millionen Mal fand sich in der Datenbank der Eintrag „123456“. Auch „123456789“, „qwerty“, „password“, „111111“, „12345678“ und „abc123“ sind jeweils mehr als eine Million Mal vertreten.
Einige der Anmeldedaten nutzte 4iQ, um die betroffenen Nutzer zu kontaktieren. „Fast alle Nutzer, die wir angesprochen haben, haben die Passwörter als echt bestätigt“, heißt es weiter in dem Blogeintrag. Oftmals hätten Nutzer mit „Aber das ist ein altes Passwort“, gefolgt von „Oh mein Gott, ich nutze das Passwort immer noch für diese Seite“ reagiert.
4iQ verlinkt aus sicherheitstechnischen Überlegungen nicht auf die Datenbank. Nutzer können allerdings unter folgender Adresse überprüfen, ob ein Passwort in der Datenbank enthalten ist. Um sich vor Missbrauch von Zugangsdaten zu schützen, sollte man bei sensiblen Konten außerdem eine Zwei-Faktor-Authentifizierung aktivieren. Diese Schutzmaßnahmen wird inzwischen von vielen Diensten angeboten.
Passwort überprüfen: Haveibeenpwned.com
Quelle: ZDnet.de
