Datainnbrudd: hva skjer med passordene dine når en tjeneste hackes?

Innbrudd, scraping eller credential stuffing?

Ved et innbrudd kompromitteres tjenestens egne systemer, og lagrede data — noen ganger passordhasher — blir stjålet. Ved scraping høstes offentlige eller halvoffentlige data via et eksponert grensesnitt; ingen passord tas. Credential stuffing går motsatt vei: passord lekket andre steder prøves mot tjenesten. Overskriftene skiller sjelden mellom de tre — det bør reaksjonen din gjøre.

Hva skjer med en lekket passordhash

Seriøse tjenester lagrer passord hashet, ikke lesbart. Men en lekket hash kan angripes offline med billioner av gjetninger per sekund, og korte eller forutsigbare passord gjenvinnes i løpet av timer. Derfor betyr lengde og tilfeldighet noe selv når de stjålne dataene «var kryptert».

Hva du gjør når en tjeneste du bruker rammes

Bytt passordet hos den rammede tjenesten — og overalt der du har gjenbrukt det, og slutt deretter helt å gjenbruke passord. Aktiver tofaktorautentisering. Og forvent målrettet phishing etterpå: lekkede e-postadresser og navn brukes til å skrive overbevisende falske «tilbakestill passordet»-e-poster.

Dokumenterte hendelser hos store tjenester

• 2026Instagram — I 2026 ble data fra rundt 6,2 mill. Instagram-kontoer høstet via et eksponert grensesnitt (navn, e-postadresser, telefonnumre og profildata) — ingen passord ble stjålet.
• 2023Discord — I 2023 eksponerte en hendelse hos en tredjepartsleverandør en begrenset mengde brukerdata fra Discord (e-postadresser).
• 2023Duolingo — I 2023 ble data fra rundt 2,6 mill. Duolingo-kontoer høstet via et eksponert grensesnitt (e-postadresser, navn og profildata) — ingen passord ble stjålet.
• 2023Facebook — I 2023 eksponerte en hendelse hos en tredjepartsleverandør en begrenset mengde brukerdata fra Facebook (e-postadresser, navn og passord).
• 2022PayPal — I 2022 ble rundt 35k PayPal-kontoer kapret i credential stuffing-angrep med passord gjenbrukt fra andre lekkasjer.
• 2022Roblox — I 2022 eksponerte en hendelse hos en tredjepartsleverandør en begrenset mengde brukerdata fra Roblox (e-postadresser og navn).
• 2022X (Twitter) — I 2022 ble data fra rundt 5,4 mill. X (Twitter)-kontoer høstet via et eksponert grensesnitt (e-postadresser, telefonnumre og profildata) — ingen passord ble stjålet.
• 2021EA (Electronic Arts) — I 2021 stjal angripere kildekode fra EA (Electronic Arts) — ingen brukerpassord ble berørt.
• 2020Spotify — I 2020 ble rundt 300k Spotify-kontoer kapret i credential stuffing-angrep med passord gjenbrukt fra andre lekkasjer.
• 2019Facebook — I 2019 ble data fra rundt 533 mill. Facebook-kontoer høstet via et eksponert grensesnitt (telefonnumre, navn og profildata) — ingen passord ble stjålet.
• 2019Instagram — I 2019 ble data fra rundt 49 mill. Instagram-kontoer høstet via et eksponert grensesnitt (profildata, telefonnumre og e-postadresser) — ingen passord ble stjålet.
• 2018Facebook — I 2018 ble Facebook rammet av et datainnbrudd som berørte rundt 50 mill. kontoer (profildata).
• 2016Epic Games — I 2016 ble Epic Games rammet av et datainnbrudd som berørte rundt 251,7k kontoer (e-postadresser og hashede passord).
• 2016Roblox — I 2016 ble Roblox rammet av et datainnbrudd som berørte rundt 52,5k kontoer (e-postadresser og profildata).
• 2014iCloud Mail — I 2014 ble iCloud Mail-kontoer utsatt for målrettet phishing og passordgjetting — iCloud Mail sine egne systemer ble ikke kompromittert.
• 2014Snapchat — I 2014 ble data fra rundt 4,6 mill. Snapchat-kontoer høstet via et eksponert grensesnitt (brukernavn og telefonnumre) — ingen passord ble stjålet.
• 2013Ubisoft — I 2013 ble Ubisoft rammet av et datainnbrudd (brukernavn, e-postadresser og hashede passord).
• 2011PlayStation — I 2011 ble PlayStation rammet av et datainnbrudd som berørte rundt 77 mill. kontoer (navn, e-postadresser, hashede passord og profildata).
• 2011Steam — I 2011 ble Steam rammet av et datainnbrudd som berørte rundt 35 mill. kontoer (e-postadresser, hashede passord og betalingsopplysninger).

Kuratert fra offentlig rapportering og leverandøruttalelser; hendelsestypene følger definisjonene over. Hver tjeneste lenker til sin passordguide.