Eater
Meer dan een miljard e-mailadressen en wachtwoorden gelekt: zo ontdek je of jij erbij zit
Troy Hunt, veiligheidsexpert en oprichter van het platform Have I Been Pwned, vertelt in zijn blogpost dat er meer dan twee miljard unieke e-mailadressen zijn gelekt. Hiervan kunnen 1,3 miljard worden gekoppeld aan gestolen wachtwoorden. Deze databundel is samengesteld door beveiligingsbedrijf Synthient, dat informatie uit diverse datalekken heeft verzameld en samengebracht in één groot overzicht.
Na grondige filtering bleven alleen unieke combinaties van e-mailadressen en wachtwoorden over, die vooral afkomstig zijn van zogenoemde infostealers. Dit is malware die opgeslagen inloggegevens uit browsers steelt. Deze gegevens worden later gedeeld of verkocht op hackersfora en Telegram-kanalen.
Oude wachtwoorden duiken weer op
In zijn blogpost beschrijft Hunt hoe hij de authenticiteit van de data controleerde. Hij begon met zijn eigen e-mailadres en vond tot zijn verbazing een oude account uit de jaren ’90 terug, mét enkele wachtwoorden waarvan er één zelfs nog correct bleek te zijn. Vervolgens vroeg hij enkele volgers hetzelfde te doen. Sommigen ontdekten verouderde wachtwoorden, anderen vonden recente, nog actieve accounts.
Deze mix van oud en nieuw laat zien hoe vaak gelekte gegevens worden hergebruikt bij cyberaanvallen. Hackers proberen bekende combinaties van e-mailadressen en wachtwoorden in te zetten, in de hoop dat mensen hun wachtwoorden opnieuw gebruiken. Dit noemen we credential stuffing en het werkt verrassend vaak, vooral bij gebruikers die hun wachtwoord zelden wijzigen.
Controleer of jij getroffen bent
De nieuw gevonden wachtwoorden zijn inmiddels toegevoegd aan de database Pwned Passwords van Have I Been Pwned. Je kunt hier gemakkelijk nagaan of een bepaald wachtwoord ooit is gelekt. Maak je geen zorgen: dit gebeurt volledig anoniem en je privacy blijft te allen tijde gewaarborgd.
Hunt waarschuwt: “Het maakt niet uit of het wachtwoord oorspronkelijk van jou is. Als jouw wachtwoord zoals ‘Fido123!’ in de lijst voorkomt, is het onveilig. Het is simpelweg te voorspelbaar.” Zijn advies is helder: gebruik nooit meer een wachtwoord dat al in een datalek is opgedoken. Maak liever gebruik van een wachtwoordmanager, activeer tweestapsverificatie en controleer regelmatig via Have I Been Pwned of je gegevens nog veilig zijn.
Infostealers uitleg
Infostealers zijn kwaadaardige softwareprogramma’s (malware) die speciaal zijn ontworpen om vertrouwelijke informatie van een slachtoffer te stelen. Ze kunnen bijvoorbeeld wachtwoorden, bankgegevens, creditcardgegevens en e-mailadressen onderscheppen en versturen naar cybercriminelen. Infostealers dringen vaak binnen via geïnfecteerde e-mails, verdachte websites of malafide downloads. Deze malware vormt een groot risico voor de online veiligheid van gebruikers en organisaties.
Credential stuffing uitleg
Credential stuffing is een vorm van cyberaanval waarbij hackers gestolen combinaties van e-mailadressen en wachtwoorden automatisch proberen te gebruiken om in te loggen op verschillende online accounts. Omdat veel mensen dezelfde inloggegevens hergebruiken op meerdere websites, hopen aanvallers zo toegang te krijgen tot meerdere accounts van hetzelfde slachtoffer.
Bij deze methode zetten criminelen geautomatiseerde software in die miljoenen gekraakte gebruikersnamen en wachtwoorden snel test op populaire platforms zoals e-maildiensten, webwinkels of sociale media. Als een combinatie werkt, kunnen ze persoonlijke gegevens stelen, aankopen doen, accounts kapen of zelfs identiteitsfraude plegen.
