Email und passwörter geleakt...im großen stil.

[keulemaster]

hier nachlesbar:
https://www.heise.de/security/meldung/P ... 79375.html

hier überprüfbar:
https://haveibeenpwned.com/

muss nichts heissen, kann aber...

[Nanno]

Ich würde mir die Liste ja gern direkt anschaun...

[motorang]

Genau ... ein großes Textfile mit einer knappen Dreiviertelmilliarde Zeilen. Vielleicht schickt er es Dir zu?

[motorang]

Außerdem taugt das eh nix.
Ich WEISS dass meine Firmen-Email-Addy damals beim Adobe Breach abgegriffen wurde.
Die taucht aber in der Abfrage als "Good news — no pwnage found!" auf.

Wertlos.

Gryße!Andreas, der motorang

[keulemaster]

Ich WEISS dass meine Firmen-Email-Addy damals beim Adobe Breach abgegriffen wurde.

wer sagt oder wo steht, dass in dieser Sammlung die von ADOBE abgriff die emails drinnen stehen sollten?

[Straßenschrauber]

Ernste Sache!
Mit einem geklauten, geleakten, zu einfachem email-Paßwort läßt sich viel Geld verdienen.

Das ist einem Freund vor 2 Wochen passiert:
Er konnte sich bei amazon nicht mehr anmelden, hat sich wenig dabei gedacht und sein Paßwort zurücksetzen lassen.
Wohin ging das neue Paßwort?
Richtig, an das kompromittierte email-Konto.

Bis er es gemerkt hat, wurden innerhalb 30 Minuten für 400.- Gutscheine gekauft, von seinem Geld.

[BMW maniac]

Moin!

Hier mal lesen, leichter verständlich
https://www.fluter.de/wer-hat-welche-daten-von-mir

Fluter ist die Jugendzeitung von der Bundeszentrale für politische Bildung.

Hatte mir den Datensatz runtergeladen, 10 GB gepackt 25 GB entpacht mit wingrep drin suchen.

Ich wusste zwar vorher schon, das eine e-mail Adresse von mir gehackt war,
aber dann konnte ich sehen mit welchem (zum Glück alten ...) Passwort.

Scheinen wohl noch ein paar Adresse dazugekommen zu sein, ich lese 86 GB entpackt ...

Uffbasse!

Grüße
Andreas

[Nanno]

Genau ... ein großes Textfile mit einer knappen Dreiviertelmilliarde Zeilen. Vielleicht schickt er es Dir zu?

Mit einem Stream-Editor geht das schon ganz gut*. Und ja, die Frage ist, welches meiner Passwörter sie haben. Da gibts einige, die wären mir ziemlich egal und je nach Sicherheitsbedarf hab ich andere Passwörter, da wäre mir schon unwohler.

*ganz gut ist natürlich relativ zu sehen, aber man kann mit solchen Datensätzen schon auch abseits einer Datenbank arbeiten.

[motorang]

Es steht doch oben dass in dem File nur die Adressen sind, keine Passwörter?

Gryße!
Andreas, der motorang

[Nanno]

Ja, eh aber da ich unterschiedliche Passwortfamilien verwende, je nach Seite, weiß ich, welche es erwischt hat.

[BMW maniac]

In dem Datensatz den ich habe (exploit.in), siehe auch hier:
https://www.reddit.com/r/hacking/comments/7n6myl/exploitin_password_list/
sind zu jedem Datensatz die passwörter drin ...

Ich habe verstanden, dass das verbrecherische Konzept in mehreren Stufen läuft:
1. Daten werden für viel Geld verkauft
2. Daten werden für weniger Geld verkauft
...
N. Daten werden für jeden online gestellt und werden dann nur noch zum spammen benutzt.

Die Textdateien kann man sehr leicht mit z.B. wingrep durchsuchen, siehe:
https://tools.stefankueng.com/grepWin.html

Ich hab's gemacht, weil ich wissen wollte, WELCHES Passwort dort drin steht.
In der neuen Sammlung ist die "exploit.in" wieder enthalten.
Das sind also z.Teil schon rechte alte Daten und ich befürchte, das die
neuen Daten nur zu finden waren, weil die schon ausgelutscht sind (s.o.)

[Straßenschrauber]

Viele Passwörter sind einfach zu leicht, die müssen gar nicht geleakt worden sein.
"12345" oder "Katze" beispielsweise

Vielleicht doch lieber mal ein paar Passwörter ändern? Und nicht überall das selbe nehmen?
Gut zu erinnernde und doch sehr sichere Passwörter z.B. so:

Warum bin ich seit 2012 so gerne im AIA-Forum unterwegs?
Ergibt dieses Passwort:
Wbis2012sgiA-Fu?

[Richy]

Solch Passwörter sind auch nicht sicherer als Passwörter, die aus mehreren Wörtern zusammengesetzt sind.
Passender xkcd dazu:

https://xkcd.com/936/

[Straßenschrauber]

Rechne Dein Beispiel aus xkcd mal NICHT mit der Annahme, es seien einzelne Wörter ...

[Zimmi]

Mal abgesehen davon, dass ich die Berechnungsweise bei xkcd nicht verstehe: Leerzeichen in Passwörtern gehen doch eh nicht, oder hab ich was falsch verstanden?

Wenn das Passwort nicht einfach erraten werden kann (Katze, 12345 und ähnlicher Kwatsch), müsste doch gelten: Je länger das PW ist, um so sicherer ist es.
Formel dazu: Anzahl möglicher Kombinationen = (Anzahl möglicher verwendbarer Zeichen) hoch (Anzahl der Zeichen des Passwortes)
Beispiel: 26 Zeichen (Alphabet), Passwort hat 3 Zeichen -> Anzahl möglicher Kombinationen 26³ = 17576.

Stimmt's?