Drie miljard wachtwoorden online te vinden

In dit artikel:

Een dataset met 3,2 miljard unieke combinaties van e-mailadressen en wachtwoorden staat opnieuw openbaar op internet. De gegevens werden in februari 2021 onder de naam ‘Compilation of Many Breaches’ (COMB) op hackersforum RaidForums aangeboden voor twee dollar per download. Ze waren samengesteld uit eerdere datalekken bij onder meer LinkedIn, Netflix, Zoom en Yahoo en bevatten geen nieuwe hack, maar wel samengevoegde en opgeschoonde inloggegevens.

De FBI haalde RaidForums in 2022 offline, maar inmiddels zijn kopieën verspreid via onder meer BitTorrent, het Dark Web en een gratis doorzoekbare website. Daar kunnen bezoekers zoeken op naam, e-mailadres of wachtwoord; ook is een API beschikbaar. Computable noemt de locatie niet, maar meldt dat de site op een Amerikaanse server draait en daarnaast andere hackertools aanbiedt.

In de database staan honderdduizenden Nederlandse adressen. Ook privégegevens van prominenten, ministers en ambtenaren komen voor, onder wie Eelco Heinen, Heleen Herbert en Jaimi van Essen, evenals burgemeester Femke Halsema. Verder zijn medewerkers van alle ministeries, Buitenlandse Zaken en Defensie terug te vinden. Sommige wachtwoorden zijn zwak of werden voor privéaccounts gebruikt. De betrokken organisaties zeggen dat zakelijke systemen door wachtwoordbeleid, controles en vaak tweefactorauthenticatie worden beschermd; enkele betrokkenen bevestigen dat de vermelde wachtwoorden oud zijn of niet voor werk worden gebruikt.

De gelekte gegevens raken ook vitale sectoren. In de dataset staan medewerkers van onder meer Shell, de kerncentrale in Borssele, Luchtverkeersleiding Nederland, TenneT, Gasunie, ASML, de Rotterdamse haven, banken en drinkwaterbedrijven. Vooral hergebruikte wachtwoorden kunnen aanvallers helpen bij phishing of het binnendringen van bedrijfsnetwerken. EPZ en Defensie erkennen dat verkeerd gebruik van zakelijke adressen risico’s kan opleveren, maar zeggen dat wachtwoorden regelmatig moeten worden gewijzigd. De website Have I Been Pwned waarschuwt gebruikers wel voor gelekte adressen, maar toont de wachtwoorden niet.