Eater
Cybernews-onderzoekers ontdekten een onbeveiligde database met 24 miljard records, waaronder gebruikersnamen, e-mailadressen, platte tekst-wachtwoorden en inlog-URL’s. De gegevens lijken afkomstig te zijn van infostealer-malwarelogs: gestolen informatie van geïnfecteerde apparaten, verzameld via Telegramkanalen, samengestelde datalekken en andere bronnen.
Belangrijkste punten
- Onderzoekers van Cybernews vonden een blootgestelde Elasticsearch-cluster met 24 miljard records en meer dan 8,3 TB aan gegevens.
- De meeste records lijken infostealer-logs te zijn, met daarin gebruikersnamen, e-mailadressen, wachtwoorden en inlog-URL’s.
- De gegevens kwamen uit 36 bronnen, waaronder Telegramkanalen, samengestelde datalekken en grote ‘collecties’.
- Nog niet vaststaat hoeveel records dubbel zijn en hoeveel unieke personen zijn getroffen.
- De database is niet langer openbaar toegankelijk, maar hergebruikte wachtwoorden kunnen accounts nog steeds in gevaar brengen.
Hoewel datalekken met miljoenen records inmiddels bijna normaal lijken, is een lek met 24 miljard records, waaronder gebruikersnamen en wachtwoorden, van een heel andere orde. Daarom controleerde het Cybernews-onderzoeksteam de bevindingen meerdere keren nadat het meer dan 8 terabyte aan online blootgestelde gegevens had ontdekt.
Ons team trof op 12 juni waarschijnlijk een van de grootste databases ooit openbaar aan. Volgens de onderzoekers bestond het overgrote deel van de 24 miljard blootgestelde records uit infostealer-logs. Dat zijn gestolen gebruikersnamen, wachtwoorden en gegevens van diensten waarvoor deze inloggegevens toegang moesten geven.
“Dit datalek met inloggegevens is vooral gevaarlijk vanwege de enorme omvang. Nu de gegevens online zijn gelekt, lopen miljarden getroffen accounts een ernstig risico op overname, vooral als ze niet zijn beveiligd met multifactor-authenticatie,” aldus het team.
Wat bracht het datalek van 24 miljard records aan het licht?
De records die het team aantrof, stonden opgeslagen op een publiek toegankelijke Elasticsearch-cluster: een groep met onderling verbonden zoekservers. De totale hoeveelheid informatie in de cluster bedroeg meer dan 8,3 terabyte.
Bijna alle blootgestelde records waren infostealer-logs: gegevens die zijn verzameld door schadelijke software die gevoelige informatie steelt. Volgens het team bevatten de logs in ruwe vorm inloggegevens, waarbij elk onderdeel apart was opgeslagen, zoals e-mailadressen, gebruikersnamen en wachtwoorden in platte tekst.
Daarnaast vonden de onderzoekers URL’s waartoe de gelekte inloggegevens toegang moesten geven, evenals de bron van de logs.
De blootgestelde gegevens kwamen uit 36 verschillende bronnen, variërend van Telegramkanalen tot samengestelde verzamelingen van eerdere datalekken en datasets die rechtstreeks waren geëxporteerd vanaf live doelservers.
Welke Telegramkanalen zijn betrokken bij het datalek?
Meer dan 1,7 miljard records zouden bijvoorbeeld afkomstig zijn uit verschillende Telegramkanalen. De betrokken kanalen lijken zich allemaal bezig te houden met cybercriminaliteit, met een focus op gestolen inloggegevens en datalekken.
De meeste van de 36 databronnen, ruim 30, zijn Telegramkanalen met aantallen die uiteenlopen van honderden miljoenen blootgestelde records tot enkele duizenden. Hoewel de meeste kanalen Engelstalig waren, waren sommige in het Russisch.
Om geen reclame te maken voor Telegramkanalen met gestolen inloggegevens, noemen we de namen niet. Wel zijn de meeste Telegramrecords vermoedelijk afkomstig uit hackinggerelateerde kanalen.
Een andere categorie Telegramkanalen richt zich op gestolen creditcardgegevens; één kanaal leek hier zelfs volledig aan gewijd te zijn.
Opvallend is dat bijna 260 miljoen records afkomstig waren van Telegramkanalen met “Darkside” in de titel. Enkele jaren geleden was Darkside een van de meest actieve ransomwaregroepen. De groep viel onder meer de Colonial Pipeline aan, waardoor de brandstofvoorziening aan de oostkust van de VS werd verstoord.
Miljarden records in onbekende ‘collecties’
Maar liefst 22,6 miljard records zouden afkomstig zijn uit wat de gegevensbezitter “collecties” noemde. Deze records kunnen afkomstig zijn van verschillende infostealer-collecties die eerder online zijn gelekt, of ze kunnen betekenen dat de records zijn gegroepeerd op basis van de diensten waartoe ze ongeautoriseerde toegang zouden moeten geven.
Omdat de data kort na de ontdekking uit het publieke zicht werd gehaald, konden de onderzoekers de herkomst van de informatie binnen de bron “collecties” niet verder onderzoeken.
Om dezelfde reden kon het team niet precies achterhalen welke dienstverleners waren getroffen. Gezien de enorme hoeveelheid records is het echter zeer waarschijnlijk dat het gaat om toegang tot diensten met zeer grote gebruikersbestanden.
Het team zag ook een bron met 150 miljoen records onder de naam “local database dumps”. Records uit deze bron zijn waarschijnlijk rechtstreeks geëxporteerd vanaf live doelservers. Bij lokale databasedumps wordt doorgaans de inhoud van een bepaalde database op een apparaat gedownload.
Wil je je email adres nakijken klik hier
In dit specifieke geval kan “local data dumps” betekenen dat de persoon die de server beheerde de records zelf heeft geüpload, of dat de data uit andere bronnen is verkregen.
“Daarnaast bevatten records bestandsnamen van waaruit ze zijn geïmporteerd. In totaal waren er ten minste 195 verschillende bestandsnamen. Sommige daarvan gaven aan dat de betreffende inloggegevens afkomstig waren uit de AntiPublic-collectie en om wat voor soort accounts het ging,” aldus de onderzoekers.
De AntiPublic-collectie is een stealer-log-combolijst die in 2016 voor het eerst opdook en ongeveer 600 miljoen records bevatte. De AntiPublic-gerelateerde informatie in het lek categoriseerde de inloggegevens in de AntiPublic-collectie. Sommige bestanden bevatten bijvoorbeeld alleen logins voor websites met volwassen inhoud of alleen voor streamingplatforms.
Nog eens 146 miljoen records kwamen uit een bron met de naam “breach compilation combo” en bevatten vermoedelijk informatie uit eerdere datalekken waarin gebruikersgegevens waren buitgemaakt. Aanvallers maken graag gebruik van informatie uit eerdere datalekken, omdat gebruikers vaak inloggegevens hergebruiken en hun wachtwoorden zelden veranderen.
De bron met het kleinste aantal records heette “Redline stealer” en bevatte slechts 27 records. RedLine stealer is een veelvoorkomende infostealer die werkt als malware-as-a-service (MaaS), waardoor ook minder ervaren aanvallers kunnen deelnemen aan cybercriminaliteit.
Eigenaar geïnteresseerd in nieuwsartikelen en socialmediaberichten
Opvallend is dat onze onderzoekers een kleine subset van de gegevens aantroffen, ongeveer 17.000 records, met informatie die zelden voorkomt in datalekken. Meer dan 9.500 documenten bevatten bijvoorbeeld CVE-IDs (Common Vulnerabilities and Exposures) en beschrijvingen, samen met bijbehorende GitHub-repository-URL’s.
Een van de geïdentificeerde kwetsbaarheden in de blootgestelde cluster betrof een probleem in de Valhall GPU Kernel Driver.
Daarnaast bevatten ruim 5.200 documenten logbestanden van nieuwsartikelen over recente datalekken, inclusief artikel-URL’s, inhoud en korte beschrijvingen. Een van die artikelen was zelfs nog maar in februari 2026 gepubliceerd en ging over een supply-chainaanval op de Python Package Index (PyPI)-repository.
Nog eens 2.900 documenten bestonden uit logbestanden van socialmediaberichten over cyberincidenten. In een van de berichten die het team zag, werden de operationele details van de Babuk-ransomware uit 2021 besproken.
Dit alles wijst erop dat de eigenaar van de gegevens actief het cyberdreigingslandschap volgt, waarschijnlijk met de bedoeling zijn enorme verzameling inloggegevens aan te vullen met nieuwe records uit recente datalekken en gegevenslekken.
Wat we nog niet weten
Hoewel we ervan overtuigd zijn dat het datalek dat ons team heeft ontdekt inderdaad 24 miljard records bevat, zijn er grenzen aan wat we weten over de gegevens in de inmiddels afgesloten Elasticsearch-cluster.
Ten eerste had het team beperkte tijd om het datalek te onderzoeken, waardoor we niet dieper konden ingaan op de soorten informatie die mogelijk in de bron “Collections” waren opgenomen.
Daarnaast kunnen we niet met zekerheid inschatten hoeveel dubbele records in het lek zaten, waardoor het aantal getroffen personen onbekend blijft. Toch zou het nauwelijks verbazen als een datalek met 24 miljard records gevolgen heeft voor meer dan slechts enkele online accounts.
Op dit moment kunnen we ook niet precies zeggen hoe oud of hoe nieuw de gelekte gegevens zijn. Op basis van het nieuwsartikel uit februari 2026 dat in het lek werd aangetroffen, lijkt het erop dat de eigenaar van de gegevens de cluster regelmatig bijwerkt met nieuwe informatie.
We weten ook niet wie de eigenaar van de gegevens is, of waarom iemand zoveel data zou verzamelen. Volgens ons team kunnen “zowel een bedrijf als een individuele dreigingsactor zulke informatie verzamelen voor uiteenlopende doeleinden.”
“Bedrijven kunnen deze data verzamelen voor een monitoringdienst of een beveiligingscontrole. Dreigingsactoren kunnen deze data verzamelen om nieuwe kwetsbaarheden te vinden en zo datalekken te vergemakkelijken,” aldus de onderzoekers.
Ondertussen denkt ons team dat het bij historische datalekken vooral loont om alles te bewaren.
“Waarom zouden ze zoveel data niet verzamelen? Als het gaat om historische gelekte data en informatie over exploits en aanvallen, geldt: hoe meer informatie je hebt, hoe beter. Daarmee krijg je beter inzicht, ontdek je relevantere gecompromitteerde accounts en zie je beter op welke manieren een doelwit kan worden binnengedrongen,” legde het team uit.
Wat kun je nu doen om je gegevens te beschermen?
Om jezelf te beschermen is het belangrijk om proactief te handelen en enkele eenvoudige maar cruciale voorzorgsmaatregelen te nemen. Verander hergebruikte wachtwoorden zo snel mogelijk, te beginnen met belangrijke accounts zoals e-mail, sociale media, cloudopslag en bankzaken.
Het is ook verstandig om waar mogelijk multifactor-authenticatie in te schakelen en een wachtwoordbeheerder te gebruiken om sterke en unieke wachtwoorden aan te maken. Wees bovendien alert op phishingberichten die in sommige gevallen hulp aanbieden om te controleren of jouw gegevens zijn gelekt.
Daarnaast kunnen een paar slimme gewoonten en hulpmiddelen veel doen om je persoonlijke gegevens te beschermen tegen infostealers en het dreigingsactoren veel lastiger te maken om ze te bemachtigen.
- Gebruik een vpn op openbare wifi. Dat helpt je verbinding veiliger en privé te houden.
- Wees voorzichtig met links of bijlagen in e-mails of berichten die je niet verwacht of niet vertrouwt.
- Houd al je apps en besturingssystemen op al je apparaten up-to-date, omdat updates vaak belangrijke beveiligingsoplossingen bevatten.
- Schakel twee-stapsverificatie (2FA) in zodra dat mogelijk is, voor een extra beveiligingslaag.
- Download alleen apps en software uit officiële winkels of van betrouwbare websites om nep- of besmette versies te vermijden.
Miljarden records lekken wordt steeds normaler
Helaas worden datasets met miljarden records steeds vaker openbaar toegankelijk achtergelaten. Eerder dit jaar ontdekte ons team opnieuw een blootgestelde Elasticsearch-cluster met meer dan 160 indices, goed voor 8,7 miljard voornamelijk Chinese records, variërend van nationale identiteitsnummers tot uiteenlopende bedrijfsgegevens.
Afgelopen december vond ons team een database met 4,3 miljard records, waarvan sommige persoonlijke informatie bevatten die was afgeleid van LinkedIn. De 16 TB grote instantie bevatte e-mailadressen, foto’s, arbeidsverleden en andere persoonlijke gegevens. Alleen al één verzameling bevatte 732 miljoen records, waaronder foto’s.
In juli 2025 ontdekten Cybernews-onderzoekers een van de grootste datalekken uit de geschiedenis, na het vinden van meerdere verzamelingen inloggegevens met in totaal 16 miljard records. Het team trof 30 blootgestelde datasets aan, elk met tienduizenden tot meer dan 3,5 miljard records.
Toch is het enige datalek dat vergelijkbaar is met deze recente ontdekking het lek dat ons team in 2024 vond. Het enorme lek bevatte gegevens uit talloze eerdere datalekken en bestond uit maar liefst 12 terabyte aan informatie, verspreid over meer dan 26 miljard records.
