(Bild: geralt)
Auf der Schwarzmarkt-Website Dream Market bietet ein Verkäufer eine mehrere Gigabyte große Datenbank mit aus Hacks erbeuteten persönlichen Daten für 20.000 US-Dollar an. Der Marktplatz befindet sich nicht im öffentlichen Internet – er ist über das Tor-Netzwerk erreichbar.
The Register berichtet in einer Meldung über das Datenleak. Stichproben zufolge seien die Daten echt. Sie sollen von 16 verschiedenen Websites aus den Jahren 2016 bis 2018 stammen. Bei einigen Seiten war bis zum Auftauchen der Datenbank nicht bekannt, dass sie Opfer einer Hacker-Attacke waren.
Beispielsweise war der Hack der Ernährungs-App MyFitness bereits öffentlich. Der Hack der Fotografie-Community 500px wiederum nicht. Die Verantwortlichen der Website setzen derzeit Passwörter zurück und benachrichtigen Betroffene.
Diese Websites sind betroffen – in der Klammer steht die Anzahl der kopierten Accounts:
- 8fit (20 million)
- 500px (15 million)
- Animoto (25 million)
- Armor Games (11 million)
- Artsy (1 million)
- BookMate (8 million)
- CoffeeMeetsBagel (6 million)
- DataCamp (700,000)
- Dubsmash (162 million)
- EyeEm (22 million)
- Fotolog (16 million)
- HauteLook (28 million)
- MyFitnessPal (151 million)
- MyHeritage (92 million)
- ShareThis (41 million)
- Whitepages (18 million)
Passwörter geschützt – aber oft unzureichend
The Register zufolge finden sich in dem Datenleak E-Mail-Adressen, Namen und Passwörter. Es sollen keine Bank- oder Kreditkartendaten darin vorkommen. Die Kennwörter sollen nicht im Klartext vorliegen, sondern durch verschiedene Hash-Verfahren geschützt sein. Dabei soll aber in einigen Fällen das schon lange als unsicher geltende MD5-Verfahren zum Einsatz kommen. Käufer der Daten könnten damit behandelte Passwörter in überschaubarer Zeit knacken.
„Hackern das Leben einfacher machen“
Der Verkäufer der Daten teilte The Register mit, dass er noch über weitere Sammlungen mit gehackten Daten verfügt. Insgesamt soll er im Besitz von über 1 Milliarde gehackter Accounts sein. Ihm gehe das darum, Hackern das Leben einfacher zu machen. Außerdem will er mit dem Verkauf Geld beiseite schaffen.
Kriminelle sollen die kopierten Nutzerdaten von Websites auch einzeln kaufen können. Es ist davon auszugehen, dass sie die Daten für Credential-Stuffing-Attacken nutzen. Bei solchen Angriffen probieren Angreifer Listen mit E-Mail-Passwort-Pärchen bei verschiedenen Online-Services aus, umso Accounts zu kapern. Oft kommt es nämlich vor, dass Opfer bei verschiedenen Services die gleichen Log-in-Daten nutzen.
Datenleak über Datenleak
Seit Anfang des Jahres häufen sich die Veröffentlichungen von durch Hacks erbeutetete persönliche Daten. Erst tauchten persönliche Dokumente von Politikern und Promis auf und wenig später kursierte eine riesige Sammlung mit 773 Millionen Online-Konten durch das Internet.
Lesen Sie dazu auch:
