News Aus Hackerforum: Have I Been Pwned erfasst Millionen neuer Zugangsdaten

[ShiftyBro]

Immer noch der eine, gleiche alte Breach von WildStar Online.^^ Bin happy, dass seitdem keine neuen dazugekommen sind. Aber ja, alle Passwörter sind inzwischen zufällig generiert.

 

[BorstiNumberOne]

Der sollte sich im besten Fall nur im Kopf befinden.

Das handhabe ich zB schon seit Jahren. Ich habe fünf 13- bis 16-stellige Passwörter, welche zB jeweils für die Art der Seite des Anbieters stehen, wo ich dazu einen Teil an einer bestimmten Stelle im Passwort habe. Gehe ich nun auf Seite x, weiß ich um welchen Anbieter es sich handelt und von welcher Art die Seite (EMail Provider, Bank, Shopping, etc.) ist und habe dann sofort das Passwort dazu im Kopf. Würde ich heute nochmal damit anfangen, dann wären es bestimmt auch fünf verschiedene EMail Adressen. Nicht alle Passwörter kennen, sondern zu wissen, wie man darauf kommt, dass ist an der Stelle meine Devise.

 

[Banned]

Eine E-Mail-Adresse von mir ist da drinnen; aber schon lange und es ist mir auch schon lange bekannt (Website wurde gehackt).

In der letzten Zeit haben die Versuche der illegalen Zugriffe auf das Konto durch irgendwelche Arschlöcher aber irgendwie stark zugenommen: Pro Tag etwa im niedrigen zweistelligen Bereich.

Jetzt weiss ich auch warum so viele Mails mit: "Na mein Schweizer Freund" im Spam landen.
Porno Seiten wurden aber nicht geleakt. Warum also immer die vielen nackten Frauen und der Potenzmittel spam? fg

Die Adresse muss ja nicht gehackt werden. Viele Anbieter verkaufen Adressen - eben für Spam - unter der Hand auch einfach weiter (das nachzuweisen ist auch nahezu unmöglich, da kaum jemand seine Adresse nur an einer Stelle verwendet).
Je öfter du die Adresse irgendwo angibst, desto höher die Wahrscheinlichkeit, dass du Spam aller Art bekommst.
Ich habe auch eine E-Mail-Adresse (die o.g.), die ich für alles Mögliche angebe, da sie eh schon "verbrannt" ist, und daneben dann noch welche für wichtige Sachen, die ich nur sehr selten angebe.

 

[BorstiNumberOne]

Nichts. Denn man hat schlicht keinen Einfluss darauf. Du kannst dich nicht davor schützen, dass deine Daten bei einem Anbieter abhanden kommen.

Exakt, dass erstens und zweitens, fangen ja jetzt schon diverse Anbieter an, nur noch mit Authenticators zu arbeiten, weil die Kombination aus Benutzername und Paßwort einfach nicht mehr sicher ist, auch wenn das PW „ausreichend„ lang bzw. durchdacht gewählt worden ist. Bei uns auf Arbeit sind aus acht Zeichen mittlerweile 24 Zeichen geworden und jetzt geht mittlerweile alles nur noch mit 2FA/Yubikey.

 

[FR3DI]

Keine einzige Antwort hier bezieht sich auf die News.

Dafür gebe es ja den schönen "Melden"-Button. Jedoch erstens hättest du ordentlich zu tun und zweitens, melde dich doch bitte gleich mit. Danke!😎

Gruß Fred.

 

[DeepBlue23]

Ah sehr cool, das kannte ich noch nicht. Ich habe aber auch bisher keine eigene Domain angelegt. Hast du die direkt über Apple (bzw. dann über Cloudflare) geholt?

Ich kann auch Firefox Relay empfehlen - am besten Premium (99 Cent / Monat). Dann kann man sich eine eigene Domain anlegen und die Forwarder werden automatisch angelegt sobald eine Mail eintrifft. Also einfach den Teil vorne ausdenken und fertig. Funktioniert problemlos in jedem Browser.

 

[Chris007]

wenn irgendwann google mail gehackt wird sind wir sowas von am ende

 

[Banned]

@Chris007
Jetzt stell dir mal vor, was für Sicherheitsstandards ein Unternehmen wie PayPal haben muss.

Dagegen wäre Google noch harmlos.

 

[Gsonz]

Ich bin wohl von Datenlecks bei Gravatar und zynga betroffen. Keine Ahnung was zynga ist, aber da wurden wohl auch Passwörter veröffentlicht.

 

[Ozmog]

Meine "Spam"-E-Mail taucht auf, vom Deezerleck. Gut dass ich nie Deezer genutzt hatte, weil es bei der ersten Anmeldung Probleme gab und ich dann kein bock mehr hatte und zu Spotify gegangen bin. War damals mein erster versuch mit Musikstreaming.

 

[h00bi]

Ich bin bei Kodi dabei, wurde von Kodi jedoch nie informiert.
Mein Account ist noch aus dem XBMC Forum, der Account ist uralt und wurde schon seit einem Jahrzehnt nicht mehr verwendet.

zynga

Facebook Games, z.B. Farmville

 

[DaysShadow]

Nicht alle Passwörter kennen, sondern zu wissen, wie man darauf kommt, dass ist an der Stelle meine Devise.

Genau so wie du mache ich das auch. Natürlich braucht man irgendeine Referenz der Seite oder was auch immer im Passwort, völlig random lassen sich auch die Passwörter wie bei xkcd schwieriger in Masse merken.

@Vexz War vielleicht etwas zu ungenau, so wie @BorstiNumberOne es beschreibt meine ich es. So braucht man m.E. auch keinen PW Manager.

 

[Spassmuskel]

Hmm, also bei der Seite aus obiger News hab ich kein Ergebnis, aber bei der Uni Bonn seit letztem Jahr schon. Allerdings wüsste ich dort nicht mal welches Konto, weil ich nicht mal weiß, wo ich das angeblich geleakte Passwort genutzt habe.
Wurde laut der Uni Bonn in folgender Datei seit Mai 2023 Datei gefunden:
(erster Teil zensiert, da ich nicht weiß, ob ich den kompletten Namen der Datei posten darf) @Top_Crackers1.txt

Vlt. weiß hier jemand worum es sich handelt...dann gerne Bescheid sagen.

 

[DonSerious]

Das habe ich auch bei einer Hotmail-Adresse, die allerdings in keinem Leak bekannt ist.

Die klopfen denke ich alles ab. War da schon immer ab dass der log voll von solchen Versuchen ist.

 

[ÖX45]

Bin wohl auch dabei

 

[h00bi]

Ich habe fünf 13- bis 16-stellige Passwörter, welche zB jeweils für die Art der Seite des Anbieters stehen, wo ich dazu einen Teil an einer bestimmten Stelle im Passwort habe. Gehe ich nun auf Seite x, weiß ich um welchen Anbieter es sich handelt und von welcher Art die Seite (EMail Provider, Bank, Shopping, etc.) ist und habe dann sofort das Passwort dazu im Kopf.

Genau so wie du mache ich das auch. Natürlich braucht man irgendeine Referenz der Seite oder was auch immer im Passwort

Diese "Algorithmen" werden aber problematisch, sobald ein Mensch oder eine (echte) KI deine Klartextpasswörter anschaut.
angenommen dein Passwort für CB wäre

wdsp#3computerbase92!

Wenn ich das als Mensch lese, dann teste ich doch als erstes:

wdsp#3commerzbank92!

wdsp#3sparkasse92!

Nur einen Teil der Seite zu verwenden oder z.B ohne Vokale ist da schon deutlich besser, weil es schwerer zu erkennen ist, aber wenn irgendjemand euren Algorithmus durchschaut hat, dann hat er ALLE eure Passwörter.
Ich habe das auch lange so gemacht, aber bin zu dem Entschluss gekommen, dass es ein zu großes Risiko darstellt. Seit ich beruflich Bitwarden nutze habe ich den auch privat im Einsatz.
Wenn Bitwarden jetzt Passkeys kann und zukünftig auch SSH Zertifikate bereitstellen kann, spätestens dann brauch ich gar keine Passwörter mehr außer dem Masterpasswort.

 

[DeepBlue23]

Ich bin im neuesten Leak auch dabei - laut News stammen die Daten ja von Infostealern. Ist oder war also eines meiner Systeme infiziert? Oder war das dann irgendein anderes System, auf dem eine Kombination aus den anderen Leaks ausprobiert wurde?

 

[Vexz]

@Vexz War vielleicht etwas zu ungenau, so wie @BorstiNumberOne es beschreibt meine ich es. So braucht man m.E. auch keinen PW Manager.

Brauchen sowieso nicht. Ist jedem selbst überlassen, ob man sowas nutzen will oder nicht. Ich empfehle es nur. Man muss sich nur noch ein einziges Passwort merken (Masterpasswort für den Passwortspeicher) und man hat solche praktischen Funktionen wie Auto-Fill, damit man nicht mal mehr ein Passwort eingeben muss. Damit kann man sich bei der Passworteingabe auch nicht mehr verschreiben.
Aber wie gesagt: Für welche Lösung man sich entscheidet, muss jeder selbst wissen. Hauptsache die Passwörter sind möglichst einzigartig und lang, um für die nötige Sicherheit vorgesorgt zu haben.

 

[Stanzlinger]

Jeder Leak kann einem doch bares Geld einbringen ;-) Von Mastercard bekam ich 300€ Schadensersatz, Facebook zahlt sogar 500€ und Deazer ist auch bald dran

 

[FCK_PTN]

Ist oder war also eines meiner Systeme infiziert?

Schwierig zu beantworten. Klar ist es möglich, dass dein System betroffen war.
Wenn ich aber als Angreifer den Aufwand abschätze, viele einzelne PC anzugreifen, dann wäre es effektiver die Stelle anzugreifen, an der die ganzen Daten zusammenlaufen.
In anderen Fällen wird natürlich versucht die Daten direkt beim Opfer abzugreifen, etwa bei Politikern, oder Admins größerer Unternehmen.