Größter Datenleck der Geschichte: 16 Milliarden Apple-, Facebook- und Google-Passwörter geleakt

Ein Rekord von 16 Milliarden Passwörtern wurden in einem massiven Datenleck offengelegt, das von Cybersicherheitsforschern in Zusammenarbeit mit Cybernews aufgedeckt wurde, so Vilius Petkauskas.

Diese Zugangsdaten wurden nicht aus alten Hacks wiederverwendet oder aus öffentlichen Leaks erneut gepostet. Sie sind neu, nicht dokumentiert und hochgefährlich.

Petkauskas und sein Team bestätigten, dass sie monatelang in dem Chaos gegraben haben, wobei sie 30 verschiedene Datensätze identifizierten, die jeweils Zehnmillionen bis 3,5 Milliarden Datensätze enthielten.

Forscher verknüpfen Datenleck mit globalen Plattformen und neuen Hacks

Jede dieser Dateien enthält echte Benutzer-Zugangsdaten – E-Mail-Adressen, Benutzernamen und Passwörter – bereit zur Ausnutzung. Das Ausmaß ist alles andere als zuvor gesehen. Petkauskas nannte es das größte jemals bestätigte Dump gestohlener Zugangsdaten.

Der Großteil des geleakten Materials war noch nie öffentlich sichtbar. Es gibt nur eine Ausnahme: eine Datenbank mit 184 Millionen Passwörtern, die bereits online in Umlauf war. Alles andere? Komplett neu. Und auch kein zufälliger Müll.

Die Daten sind strukturiert – saubere Zeilen, die die URL der Plattform zeigen, gefolgt von Benutzernamen und Passwörtern. Es ist der Traum eines Hackers, da es ohne jegliche Anpassung in automatisierte Angriffstools eingespeist werden kann. Deshalb warnten Forscher, dass dies nicht nur ein weiterer Leak ist. Dies ist das Fundament für Massenkontoübernahmen.

Die offengelegten Zugangsdaten gewähren Zugriff auf große Plattformen wie Apple, Google, Facebook, GitHub, Telegram, und sogar einige Regierungsportale. Die Gefahr hier liegt nicht nur im Ausmaß – sondern in der Qualität. Dies sind keine abgelaufenen, irrelevanten Logins. Die Daten deuten auf aktive Konten hin, von denen viele noch genutzt werden. Petkauskas und sein Team sagten, das Leak könnte zu groß angelegten Phishing-Kampagnen, Credential-Stuffing-Angriffen und direkten Kontoübernahmen in jedem großen Tech-Ökosystem führen.

Die Forscher sah, wie die Zugangsdaten strukturiert, gespeichert und gebündelt wurden. Das einheitliche Format und das Fehlen früherer Exposition deuten darauf hin, dass diese nicht passiv gesammelt wurden. Sie wurden mit aktiven Tools gescraped oder exfiltriert – höchstwahrscheinlich Infostealer-Malware – und zu Datensätzen optimiert für Verkauf oder Einsatz zusammengefasst.

Einige Datensätze enthielten Logins für Entwicklerportale, VPN-Konten und Unternehmenszugangsdaten, was Angreifern die Schlüssel zu sowohl persönlichen als auch Unternehmenssystemen gab.

Darren Guccione, Mitbegründer und CEO von Keeper Security, sagte, dieses „GOAT-Passwort-Leak“ zeige, wie oft Unternehmen ungewollt sensible Daten offen liegen lassen. Guccione sagte, falsch konfigurierte Cloud-Einrichtungen seien immer noch eine massive Schwachstelle. In einigen Fällen würden Zugangsdaten in Cloud-Buckets ohne jegliche Zugriffskontrollen abgelegt. „Dies könnte nur die Spitze des größten Sicherheits-Eisbergs sein, der darauf wartet, in die Online-Welt zu krachen“, sagte Darren.

Massive Organisationen mit dezentralen Teams machen weiterhin dieselben Fehler: Daten auf freigegebene Laufwerke schieben, Logs ungeschützt lassen und einfache Passwörter über Systeme hinweg verwenden. So landen Milliarden von Datensätzen im Umlauf. Darren sagte: „Die Tatsache, dass die betreffenden Zugangsdaten für weit verbreitete Dienste von hohem Wert sind, hat weitreichende Implikationen.“