Entwarnung zum Datenleck: Zugangsdaten waren fast alle gefälscht

Riesiger Datenleak: 272 Mio. Mail-Adressen/Passwörter aufgetaucht



Nutzer von bekannten Diensten von Google, Microsoft und Yahoo sollten ihre Anmeldedaten wohl besser ändern, auch wenn das derzeit noch eine Vorsichtsmaßnahme ist. Denn ein renommierter Sicherheitsexperte sagt, dass in der russischen Unterwelt derzeit hunderte Millionen gestohlener Zugangsdaten gehandelt werden.

Wie die Nachrichtenagentur Reuters berichtet, sind die 272,3 Millionen gestohlenen Zugangsdaten vor allem russischen Ursprungs, der Großteil des riesigen Datensatzes soll vom Dienstleister Mail.ru stammen. Allerdings sollten sich westliche Nutzer nicht in Sicherheit wiegen, da ein kleinerer Anteil auch Google, Microsoft und Yahoo betreffen soll.

Besorgniserregend ist ebenfalls, dass auch explizit "hunderttausende deutsche und chinesische Konten" erwähnt werden. Welche Provider hierzulande betroffen und wie aktuell diese Daten sind, ist derzeit nicht bekannt.

Duplikate
Quelle für diese Enthüllung ist der bekannte Sicherheitsforscher Alex Holden, Chef des Sicherheitsunternehmens Hold Security. Entdeckt wurde der Datensatz über einen jungen russischen Hacker, der in einem Forum geprahlt hat, dass er Zugangsdaten in Höhe von 1,2 Milliarden in seinem Besitz haben soll.

Infografik: Ein sicheres Passwort wählen hier Klicken


Laut Holden sei es auch nicht schwierig gewesen, die Daten zu bekommen. Die effektive Zahl der Mail/Passwort-Kombinationen ist allerdings nicht so hoch wie behauptet, die Sicherheitsforscher von Hold Security haben zahlreiche Duplikate ausgesiebt.

Als "mysteriös" bezeichnet Reuters die Tatsache, dass der Hacker gerade einmal 50 Rubel (weniger als ein Euro) für den gesamten Datensatz haben wollte und sich schlussendlich bereit erklärte, alles unbezahlt herzugeben, wenn die Hold-Experten positive Kommentare über ihn hinterlassen.

Laut Holden sind es etwa 57 Millionen Mail.ru-Zugangsdaten, 40 Millionen Yahoo-Konten, 33 Millionen werden Hotmail-Adressen zugeschrieben und 24 Millionen stammen von Gmail. Es ist derzeit nicht bekannt, ob es Pläne gibt, den Daten-Leak beispielsweise in Form einer durchsuchbaren Online-Datenbank (teilweise) zu veröffentlichen.

Quelle

gut das ich da nicht mehr bin, man muss sich mit sowas nicht mehr rumschlagen

Entwarnung zum Datenleck: Zugangsdaten waren fast alle gefälscht



Mitte vergangener Woche tauchte ein Bericht über ein riesiges Datenleck auf, ein russischer "Hacker" bzw. Datensammler will angeblich 272 Millionen Nutzernamen/Passwort-Kombinationen zu fast allen relevanten Web-Anbietern zusammengetragen haben. Doch inzwischen scheint festzustehen: Das war offenbar praktisch zur Gänze eine Fälschung. Google, Microsoft, Yahoo, Mail.ru und noch etliche mehr: Das waren die Unternehmen, die vom angeblichen "massiven Datenleak" betroffen gewesen sein sollen. Die Quelle war an sich eine zuverlässige, so verbreitete die renommierte Nachrichtenagentur Reuters diese Story, die auf Informationen und Analysen des Sicherheitsunternehmens Hold Security basierte.

"Müll"
Nun ist aber mit an Sicherheit grenzender Wahrscheinlichkeit festzustellen: Der Bericht kann als Panikmache oder als "Müll" bezeichnet werden. Letzteres jedenfalls meint Ars Technica (via Caschy) und übt scharfe Kritik an Reuters und vor allem Hold Security. Denn gleich zu Beginn stellt Ars fest: "Wenn ein Script Kiddie 272 Millionen Konten für einen Dollar verkauft, sollte man sehr sehr skeptisch sein."

Dass die Datensätze ein Fake sind, steht mittlerweile weitgehend fest: Laut dem Suchmaschinenriesen aus Mountain View seien mehr als 98 Prozent der Google-Daten erfunden, der russische Anbieter Mail.ru erklärte sogar 99,98 Prozent zur Fälschung. Ganz ähnlich dürfte es auch bei Microsoft und Yahoo sein.

Kritik übte Ars Technica vor allem an Hold Security, auch wenn man dort nach wie vor zur Aussage steht, dass im Fall von Mail.ru zwölf Prozent der Konten kompromittiert worden sind. Ars meint aber, dass dort alle Alarmglocken hätten schrillen müssen als der jugendliche "Hacker" die Liste um einen Dollar angeboten und schlussendlich gegen ein paar freundliche Kommentare sogar kostenlos hergegeben hat.

Der wahrscheinlich schwerwiegendste Fehler von Hold war aber wohl, die Liste mit Reuters geteilt zu haben, ohne die betroffenen Anbieter kontaktiert zu haben. Es ist auch nicht das erste Mal, dass Hold Security so etwas passiert: Mitte 2014 sorgte ein ähnlicher Fall für Aufsehen, bereits damals wurde Hold-Chef Alex Holden der Schlamperei bezichtigt.

Quelle