Adatszivárgások: mi történik a jelszavaival, ha egy szolgáltatást feltörnek

Feltörés, scraping vagy credential stuffing?

Feltöréskor magának a szolgáltatásnak a rendszereit kompromittálják, és a tárolt adatokat — néha jelszó-hasheket — ellopják. Scraping esetén nyilvános vagy félig nyilvános adatokat gyűjtenek le egy nyitva hagyott felületen; jelszavakat nem visznek el. A credential stuffing az ellenkező irányba megy: máshol kiszivárgott jelszavakat próbálnak ki a szolgáltatásnál. A hírek ritkán tesznek különbséget — az Ön reakciójának kellene.

Mi történik egy kiszivárgott jelszó-hash-sel

A komoly szolgáltatások a jelszavakat hashelve tárolják, nem olvashatóan. De egy kiszivárgott hash offline, másodpercenként billió próbálkozással támadható, és a rövid vagy kiszámítható jelszavak órákon belül visszafejthetők. Ezért számít a hossz és a véletlenszerűség akkor is, ha az ellopott adat „titkosítva volt”.

Mi a teendő, ha egy Ön által használt szolgáltatást ér incidens

Változtassa meg a jelszót az érintett szolgáltatásnál — és mindenhol, ahol újrahasználta, majd hagyjon fel teljesen a jelszavak újrahasználatával. Kapcsolja be a kétfaktoros hitelesítést. És számítson utána célzott adathalászatra: a kiszivárgott e-mail-címekkel és nevekkel meggyőző hamis „jelszó-visszaállító” leveleket írnak.

Dokumentált incidensek nagy szolgáltatásoknál

• 2026Instagram — 2026-ben körülbelül 6,2 M Instagram-fiók adatait gyűjtötték le egy nyitva hagyott felületen keresztül (nevek, e-mail-címek, telefonszámok és profiladatok) — jelszavakat nem loptak el.
• 2023Discord — 2023-ben egy külső beszállítónál történt incidens korlátozott mennyiségű Discord-felhasználói adatot tett hozzáférhetővé (e-mail-címek).
• 2023Duolingo — 2023-ben körülbelül 2,6 M Duolingo-fiók adatait gyűjtötték le egy nyitva hagyott felületen keresztül (e-mail-címek, nevek és profiladatok) — jelszavakat nem loptak el.
• 2023Facebook — 2023-ben egy külső beszállítónál történt incidens korlátozott mennyiségű Facebook-felhasználói adatot tett hozzáférhetővé (e-mail-címek, nevek és jelszavak).
• 2022PayPal — 2022-ben körülbelül 35 E PayPal-fiókot térítettek el credential stuffing támadásokkal, más szivárgásokból újrahasznált jelszavakkal.
• 2022Roblox — 2022-ben egy külső beszállítónál történt incidens korlátozott mennyiségű Roblox-felhasználói adatot tett hozzáférhetővé (e-mail-címek és nevek).
• 2022X (Twitter) — 2022-ben körülbelül 5,4 M X (Twitter)-fiók adatait gyűjtötték le egy nyitva hagyott felületen keresztül (e-mail-címek, telefonszámok és profiladatok) — jelszavakat nem loptak el.
• 2021EA (Electronic Arts) — 2021-ben támadók forráskódot loptak a EA (Electronic Arts)-tól — felhasználói jelszavak nem érintettek.
• 2020Spotify — 2020-ben körülbelül 300 E Spotify-fiókot térítettek el credential stuffing támadásokkal, más szivárgásokból újrahasznált jelszavakkal.
• 2019Facebook — 2019-ben körülbelül 533 M Facebook-fiók adatait gyűjtötték le egy nyitva hagyott felületen keresztül (telefonszámok, nevek és profiladatok) — jelszavakat nem loptak el.
• 2019Instagram — 2019-ben körülbelül 49 M Instagram-fiók adatait gyűjtötték le egy nyitva hagyott felületen keresztül (profiladatok, telefonszámok és e-mail-címek) — jelszavakat nem loptak el.
• 2018Facebook — 2018-ben a Facebook adatszivárgást szenvedett, amely körülbelül 50 M fiókot érintett (profiladatok).
• 2016Epic Games — 2016-ben a Epic Games adatszivárgást szenvedett, amely körülbelül 251,7 E fiókot érintett (e-mail-címek és hashelt jelszavak).
• 2016Roblox — 2016-ben a Roblox adatszivárgást szenvedett, amely körülbelül 52,5 E fiókot érintett (e-mail-címek és profiladatok).
• 2014iCloud Mail — 2014-ben a iCloud Mail-fiókokat célzott adathalász- és jelszókitalálós támadások érték — a iCloud Mail saját rendszereit nem törték fel.
• 2014Snapchat — 2014-ben körülbelül 4,6 M Snapchat-fiók adatait gyűjtötték le egy nyitva hagyott felületen keresztül (felhasználónevek és telefonszámok) — jelszavakat nem loptak el.
• 2013Ubisoft — 2013-ben a Ubisoft adatszivárgást szenvedett (felhasználónevek, e-mail-címek és hashelt jelszavak).
• 2011PlayStation — 2011-ben a PlayStation adatszivárgást szenvedett, amely körülbelül 77 M fiókot érintett (nevek, e-mail-címek, hashelt jelszavak és profiladatok).
• 2011Steam — 2011-ben a Steam adatszivárgást szenvedett, amely körülbelül 35 M fiókot érintett (e-mail-címek, hashelt jelszavak és fizetési adatok).

Nyilvános beszámolókból és szolgáltatói közleményekből válogatva; az incidenstípusok a fenti definíciókat követik. Minden szolgáltatás a saját jelszó-útmutatójára mutat.