Massive Datenlücke: 184 Millionen Passwörter für Google und Microsoft durchgesickert

Der Sicherheitsforscher Jeremiah Fowler hat eine massive Datenlücke offengelegt. Einem Bericht zufolge entdeckte er eine Online-Datenbank mit mehr als 184 Millionen individuellen Zugangsdaten. Sie enthält Benutzernamen, Passwörter, E-Mail-Adressen und URLs für Anwendungen und Websites unter anderem von Google, Microsoft, Apple, Facebook, Instagram und Snapchat. Zudem fanden sich in der Datenbank Anmeldedaten für Bank- und Finanzkonten, Gesundheitsplattformen und Behördenportale.

Zudem war die Datenbank weder mit einem Kennwort geschützt, noch verschlüsselt. Vielmehr soll es sich um eine einfache Textdatei mit Millionen von vertraulichen Daten im Klartext handeln.

Bei seiner Analyse stellte Fowler fest, dass die Daten von einer Art Infostealer-Malware erfasst wurden. Infostealer werden von Cyberkriminellen benutzt, um Benutzernamen, Kennwörter und andere vertrauliche Daten von angegriffenen Websites und Servern abzugreifen. Sobald die Kriminellen die Daten in die Hände bekommen haben, können sie sie für ihre eigenen Angriffe verwenden oder die Informationen im Dark Web vertreiben.

Mit seinem Fund wandte sich Fowler an den zugehörigen Hosting-Anbieter, der die Datei aus dem öffentlichen Zugang entfernte. Den Namen des Eigentümers der Datei wollte der Anbieter dem Bericht zufolge indes nicht preisgeben. Fowler erklärte, er wisse nicht, ob die Datenbank rechtmäßig erstellt und dann versehentlich veröffentlicht oder absichtlich für böswillige Zwecke verwendet wurde.

Die Gültigkeit der Daten überprüfte Fowler, indem er einzelne in der Datei genannte Personen kontaktierte und über seine Recherchen informierte. Mehrere Personen bestätigten daraufhin, dass ihre Datensätze gültige Passwörter und andere Informationen enthielten.

Die Verantwortung für den Datenverlust sieht der Forscher hingegen nicht nur beim Anbieter der ungeschützten Datenbank. „Viele Menschen behandeln ihre E-Mail-Konten unwissentlich wie einen kostenlosen Cloud-Speicher und bewahren jahrelang sensible Dokumente wie Steuerformulare, Krankenakten, Verträge und Passwörter auf, ohne zu bedenken, wie sensibel sie sind“, so Fowler. „Dies könnte zu ernsthaften Sicherheits- und Datenschutzrisiken führen, wenn sich Kriminelle Zugang zu Tausenden oder sogar Millionen von E-Mail-Konten verschaffen würden.“ Ein Missbrauch solcher Daten können zu Credential-Stuffing-Angriffen und Kontoübernahmen führen sowie Phishing, Social Engineering und auch Ransomware-Attacken ermöglichen.