Szépen el lehet felejteni a korábbi adatszivárgásokat és jelszólopásokat, most egy olyan gyűjtemény kering az interneten, ami minden eddiginél több személyes adatot tartalmazhat. A Collection #1 névre keresztelt adatbázisban főként e-mail címek és jelszavak találhatók, és a mérete okán szinte biztosak vagyunk abban, hogy olvasóink legtöbbje is érintett. Szóval mutatjuk, hogyan lehet a leggyorsabban megbizonyosodni erről, aztán védekező állásba helyezkedni.
A lista már elérhető a Hawe I Been Pwned? nevű oldalon is - ezt az ingyenes szolgáltatást épp azért hozták létre, hogy a nyilvánossá vált listák alapján bárki rákereshessen saját e-mail címére és ellenőrizhesse, veszélyben van-e valamelyik adatszivárgás kapcsán.
A HIBP eddig is elég méretes listákkal dolgozott, hiszen összegereblyézték nagyjából az utóbbi 15 év nagy szivárgásait és jelszólopásait, ezért megtaláljuk az összes ellopott vagy veszélybe került adatot már a 2008-as MySpace botránytól (itt 360 millió fiók volt érintett) a LinkedIn 2016-os, 164 millió jelszót tartalmazó feltörésén át a legújabb, idei sérülékenységekig. Nézzük is, mit tartalmaz a mostani Collection #1!
Összesen 2,7 milliárd (!!!) elem található a listán, melynek többsége e-mail cím és jelszó páros, amelyekhez nevek, felhasználónevek is társulhatnak. Persze bőven vannak duplikátumok, hiszen sokan használnak ugyanazon e-mail címmel több szolgáltatást is, de még így is brutális mennyiségű, közel 773 millió egyedi e-mail cím érintett. A 85 gigabájtnyi, 12 ezer külön fájlban tárolt adathalmazt ismeretlenek a MEGA fájlmegosztón tették elérhetővé és legelőször a TroyHunt számolt be a létezéséről. Részletesen így néz ki a lista:
- 2.692.818.238 sornyi adat
- 1.160.253.228 egyedi e-mail és jelszó páros (tehát ebben egy e-mail többször is szerepelhet más és más jelszavakkal párosítva, ha a felhasználó különféle szolgáltatásokon más jelszavakat használ)
- 772.904.991 egyedi e-mail cím
- 21.222.975 egyedi jelszó (ez egyértelműen azért jóval kevesebb, mert sok olyan jelszó van, amit többen is előszeretettel használnak, és itt főleg rátok nézek, kedves "admin" és "123456")
Mi a teendő?
Először is minél gyorsabban próbálgassátok ki a Hawe I Been Pwned? főoldalán az általatok használt e-mail címeket. Ezeket egyszerűen be kell írni a keresőmezőbe, majd a "pwned?" gombra kattintva jönnek az eredmények.
Ha a keresőmező alatt téglavörös színre vált az oldal és az "Oh no - pwned!" felirat látszik, akkor bizony van baj. A felirat alatt egy gyors összegzést olvashatunk, hány szolgáltatásból származnak a kikerült adataink, és van-e ezek között átfedés.
Persze még nem feltétlenül biztos, hogy hatalmas és azonnali a baj, de ez mindjárt kiderül. Görgessünk lefelé, és a "Breaches you were pwned in" szakaszban találjuk meg részletesen, melyik adatszivárgás során került ki az adott e-mailhez tartozó jelszavunk.
Az általunk beírt (egyébként csak teszt-célokra használt) e-mail címnél például látható, hogy érintett volt a Dropbox 2012-es adatszivárgásában, a Last.fm 2012-es ffeltörésében és a LinkedIn 2016-os botrányában is. Ha az általatok beírt címnél csak ilyen, korábbi események bukkannak fel, akkor csak annyit kell ellenőrizni, hogy az adott szolgáltatásokban az említett időpontok óta változtattunk-e jelszavakat (és persze azt is gondoljuk végig, használjuk-e ugyanazt a jelszót valami máshoz is). Ha nem, akkor mielőbb találjunk ki új jelszót és írjuk át az adott helyen.
Ha viszont a listán megtaláljuk a Collection #1 sort is, akkor bizony tényleg SOS beavatkozásra van szükség, hiszen az adott e-mail cím a legfrissebb óriás-adatbázisban is szerepel.
Mivel az eddig látottak alapján megszámlálhatatlan különféle szolgáltatásból származik ez a lista, bizony csak akkor leszünk biztonságban, ha MINDEN olyan szolgáltatásban azonnal megváltoztatjuk a jelszavunkat, amit a keresett e-mail címmel használunk. Ezen kívül, ahol lehet, állítsunk be kétfaktoros hitelesítést (ekkor az e-mail cím és jelszó megadása után az adott szolgáltatás mindig küld egy csak akkorra érvényes második jelszót vagy PIN kódot SMS-ben vagy e-mailben).
Még egy kis segítség ahhoz, hogy az aktuális jelszavad rajta van-e a listán: külön a jelszót is leellenőrizheted a haveibeenpwned.com/Passwords oldalon, itt értelemszerűen ne a címedet, hanem a keresett jelszót írd be, és ha elég egyedit használsz, akkor esélyes, hogy itt "zöld lámpát" kapsz - ez azt jelenti, hogy ugyan a friss listában is ott lehet az e-mail címed, de a jelenleg használt jelszavaddal biztonságban vagy (legalábbis most).
Érdekes egyébként, hogy a TroyHunt által megosztott illusztráción máris felbukkan két magyar szolgáltatás is: a kép tanúsága szerint a www.kepzesilista.hu 11.543 felhasználója és a www.kutatokejszakaja.hu 64.211 felhasználója érintett, és ez csak egy kis részlete a teljes listának. Szóval ellenőrzésre és jelszócserére fel!
