Több mint egymilliárd felhasználói profilt érintő adatlopást lepleztek le

Troy Hunt a Microsoft ausztráliai részlegének egyik vezetője, egyben IT-biztonsági szakember, aki tevékenységéről blogot vezet, és rendszeresen ad tanácsokat egyszerű júzereknek is. Az egyik projekt, ami Hunt szívügye, a Haw I Been Pwned (HIBP) weboldal, amivel együttműködve Hunt és társai egy egyre növekvő adatbázisban gyűjtik azokat a feltört felhasználói profilokat, amikkel munkájuk során találkoznak.

Ezeknek a profiloknak a tulajdonosai sokszor nem is tudják, hogy hekkelés áldozatai vagy legalábbis potenciális áldozatai – a HIBP ezen segít: bármilyen begépelt emailcímről megmondja, hogy a hozzá tartozó azonosítók átmentek-e a múltban hekkerek kezén (azaz az email megtalálható-e a HIBP adatbázisában) vagy sem. Az oldal azt is jelzi (ha tudja), hogy az adott email adatai melyik online szolgáltatás révén kerültek hekkerekhez.

Saját példámon keresztül tudom megmutatni, hogyan, ugyanis a privát emailcímemet beírva a következő látvány fogadott:

Vagyis a mailcímem négy adatlopásban is érintett, a jelzett szolgáltatások révén. Háromról tudtam, és látszik, hogy ezek még régebbi ügyek, abból az időből, amikor még ugyanazt a jelszót használtam mindenhova (már évek óta nem használok például Last.fm-et). Pont a HIBP-nek köszönhetően értesültem erről a három érintettségről, és persze akkor rögtön jelszót is változtattam mindenhol. A negyedik figyelmeztetés viszont egész friss, és ez azt jelzi, hogy megint igencsak érdemes átgondolnom a jelszókezelési szokásaimat.

Hunt pénteken tett fel új posztot a blogjára, amiben erről a frissítésről ír. A HIBP adatbázisa éppen akkor több mint egymilliárd felhasználó adataival bővült, azaz

A frissítés két adatbázisból állt össze, az egyik 593 427 119 elemű, a másik 457 962 538 elemű, ami összesen 1,051 milliárd. Az óriási adattáblában email-jelszó párosok találhatók, közülük több emailhez több jelszó is tartozik, azaz ezek eleve többszörösen hekkelt profilok. Hogy ezek gazdái tájékozatlan (vagy csak trehány, esetleg balszerencsés) felhasználók, azt jól mutatja, hogy az egymilliárd profil 75 százaléka már megtalálható volt a HIBP korábbi frissítéseiben (mint az enyém). Hunt ellenőrzései alapján a bő egymilliárd profil valós lehet, már csak azért is, mert Hunt a saját emailcímét is megtalálta az adatbázisban.

A két forrásadatbázist hekkerek és online csalók által gyakran használt oldalak és szoftverek révén vadászta le Hunt (részletek a blogján), és úgy tűnik, hogy ezeket a feketepiaci listákat kiberbűnözők építgették korábbi adatlopásaikból, amik egyebek között érintették a MySpace, a LinkedIn, a Twitter, a Dropbox, a Yahoo, a Tumblr és az Adobe-termékek felhasználóit (bár mindennek megerősítése még pontosabb ellenőrzésre vár). Ez nagy fogás a HIBP-nek: 39 százalékkal nőtt a júzersegítő oldal adatbázisa, így most már 3,75 milliárd támadható profilt tart számon.

Ezen a ponton önnek is nagyon javasoljuk, hogy tegye meg azokat a lépéseket, amiket most én fogok:

• A HIBP-n nézze meg, hogy az emailcíme nem érintett-e adatlopásban.
• Ha igen, akkor változtassa meg jelszavát.
• De ne használjon olyan gyenge jelszavakat, mint az 123456!
• Pláne ne használja ugyanazt a jelszót minden fiókjához, mert ha egy helyről ellopják, máshol is meg fognak próbálkozni vele.
• Bátran használjon viszont kétlépcsős azonosítást, korábban azt is megmutattuk, hogyan és miért.
• A sok erős jelszóhoz jól jöhet még egy jelszókezelő is, a Lastpasstól a Dashlane-en át egy sor másik közül válogathatnak.