Gmail, Facebook, OnlyFans i platební karty: obří databáze ukradených údajů ležela volně na internetu. Problém mají i státní instituce

Úniky e-mailových adres, hesel a uživatelských účtů jsou běžné, některé z nich se ale vymykají svým rozsahem. Platí to i o posledním úlovku, který společně se společností ExpressVPN odhalil Jeremiah Fowler. Obsahuje přes 149 milionů záznamů, mezi nimiž se nachází účty včetně hesel ze služeb jako jsou Gmail, Netflix, Roblox, Outlook nebo iCloud. V tomto případě ale nejde o únik v pravém slova smyslu – hackeři nezískali data prolomením jedné konkrétní databáze, ale zkompilovali údaje primárně sbírané malwarem.

48 milionů účtů z Gmailu

Fowler ve svém příspěvku popisuje, že kompilace uložená na cloudovém úložišti každý den bobtnala o další přidávané údaje. Byla volně přístupná všem, kdo měl odkaz – nebyla chráněná heslem a v posledních týdnech se začala skloňovat na hackerských fórech.

Ukázka databáze, všimnout si lze i obsažených hesel.

Autor: ExpressVPN

Je pravděpodobné, že zčásti tato obří databáze obsahuje údaje z předchozích tradičních úniků, zároveň ale obsahuje i unikátní údaje. Kromě přihlašovacích dat jde o čísla platebních karet a údaje ke krypto peněženkám. Velká část těchto údajů měla být sesbírána ze zařízení infikovaných malwarem typu infostealer, který se na krádeže citlivých dat specializuje.

Mezi největší služby, které se objevily v databázi, patří:

• Gmail: 48 mil. účtů
• Facebook: 17 mil. účtů
• Instagram: 6,5 mil. účtů
• Yahoo: 4 mil. účtů
• Netflix: 3,4 mil. účtů
• TikTok: 780 tisíc účtů
• OnlyFans: 100 tisíc účtů

Kromě toho se v databázi objevily i e-mailové adresy (některé s uživatelským heslem) s koncovkou .gov. Ta patří v mnoha zemích státním institucím a odhalení těchto účtů může mít dopady i na státní správu dotčených zemí.

Co dělat?

Fowler bohužel ve své analýze nezmiňuje, jaké množství účtů bylo v době získání údajů relevantní a není tedy jasné, z jakého období pochází. Dá se ale předpokládat sběr těchto dat po dobu posledních let a nezanedbatelná část přihlašovacích a jiných údajů tak bude stále platná.

Protože se jedná o kompilaci mnoha typů dat, prozatím na webu není možné ověřit, koho se týká. U standardních úniků lze využít především specializovanou stránku Have I Been Pwned (Haveibeenpwned.com), tam se ale prozatím tato databáze nedostala.

Přečtěte si také:

3D tiskárny z Číny mohou špehovat a krást data, varují české úřady

I zde však platí základní bezpečnostní pravidla: používat unikátní hesla pro každou službu, ideálně v kombinaci s kvalitním správcem hesel, používat virtuální platební karty, u nejcitlivějších služeb měnit hesla.

Zdroj: ExpressVPN