Liam Tung er en australsk forretningsteknologijournalist, der bor et par for mange svenske mil nord for Stockholm til hans smag. Han tog en bachelorgrad i økonomi og kunst (kulturstudier) ved Sydneys Macquarie University, men hackede sig (uden nordisk eller ondsindet kode for den sags skyld) sig ind i en karriere som enterprise tech-, sikkerheds- og telekommunikationsjournalist hos ZDNet Australia.
Fuld bio den 21. december 2021 | Emne: Sikkerhed 
Det britiske nationale kriminalitetsagentur (NCA) og National Cyber Crime Unit (NCCU) har opdaget en 225 millioner cache med stjålne e-mails og adgangskoder og overdraget dem til HaveIBeenPwned (HIBP), den gratis service til sporing af legitimationsoplysninger stjålet og/eller lækket gennem tidligere databrud.
De 225 millioner nye adgangskoder bliver en del af HIPBs eksisterende krop på 613 millioner adgangskoder i Pwned Passwords-sættet, som tilbyder webstedsoperatører en hash af adgangskoderne for at sikre, at brugerne ikke bruger dem, når de opretter en ny konto. Enkeltpersoner kan bruge HIPB's Pwned Password-side til at se, om deres adgangskoder er blevet lækket i tidligere brud.
Tjenesten hjælper organisationer med at opfylde NISTs anbefaling om, at brugere skal forhindres i at bruge adgangskoder, der tidligere har været afsløret i et brud. Dette krav har til formål at adressere den stigende brug af “credential stuffing”, hvor kriminelle tester store lister over lækkede og almindeligt anvendte brugernavne og adgangskodekombinationer mod forskellige onlinekonti.
SE: Hackere henvender sig til denne enkle teknik til at installere deres malware på pc'er
Teknikken er blevet brugt til at kompromittere 50.000 online bankkonti siden 2017, advarede FBI sidste år, og virker, fordi mange mennesker stadig bruger den samme adgangskode til at beskytte flere konti; hvis nogen af disse konti, der er beskyttet med den fælles adgangskode, blev brudt, bliver personens andre konti sårbare over for legitimationsfyld.
Teknikken blev et problem for ti år siden, efter at milliarder af legitimationsoplysninger blev lækket online efter større databrud, hvilket gav angribere enorme legitimationsdatasæt til at teste mod konti af varierende betydning, lige fra onlinespilkonti til bankkonti og medarbejderkonti.
NCA og NCCU stødte på cachen med stjålne legitimationsoplysninger på et kompromitteret, men unavngivet cloudlager.
“Under de seneste operationelle aktiviteter fra NCA var NCCU's Mitigation@Scale-team i stand til at identificere en enorm mængde af potentielt kompromitterede legitimationsoplysninger (e-mails og tilhørende adgangskoder) i en kompromitteret cloud-lagerfacilitet,” sagde NCA i en erklæring til HIPB.
“Gennem analyse blev det klart, at disse legitimationsoplysninger var en ophobning af overtrådte datasæt kendte og ukendte. Det faktum, at de var blevet placeret på en britisk virksomheds cloud storage-facilitet af ukendte kriminelle aktører betød, at legitimationsoplysningerne nu eksisterede i det offentlige domæne, og kunne blive tilgået af andre tredjeparter for at begå yderligere svig eller cyberforseelser.”
NCA fortalte BBC, at det sidste år i samarbejde med britisk politi identificerede, at der havde været et kompromittering af en britisk organisations cloud-lagringsfacilitet, fører til, at over 40.000 filer bliver uploadet til deres servere af cyberkriminelle. Blandt disse filer var indsamlingen af kompromitterede e-mails og adgangskoder.
NCA afleverede de kompromitterede adgangskoder til HIBP's operatør, Troy Hunt, som bekræftede NCCU's resultater om, at adgangskoderne ikke var i det eksisterende Pwned Passwords-datasæt. Nye adgangskoder inkluderet i cachen, sagde han, inkluderede:
flamingo228Alexei200591177700123Testsaganesq
“NCCU's Mitigation@Scale-team gennemførte en sammenligning af de kompromitterede data mod HIBP-adgangskodelageret for at identificere eventuelle hidtil usete adgangskoder i det offentlige domæne nu.” NCA sagde.
Organisationer kan downloade det hashed-datasæt i SHA-1-format i en komprimeret 17,2 GB fil. Det er den første version, der inkluderer en regelmæssigt opdateret liste over kompromitterede legitimationsoplysninger, som retshåndhævere, såsom FBI, opdager under efterforskningen.
Hunt understregede, at de adgangskoder, som FBI og NCA har leveret til HIPB, ikke er til hans tjeneste, men for samfundet, da det kan bruges af enhver til at imødekomme NISTs anbefalinger for at mindske legitimationsfyldning.
Dette er en fed overskrift, men journalister mangler noget virkelig vigtigt, når de siger, at @NCA_UK eller @FBI giver enten @haveibeenpwned eller mig selv adgangskoder; de giver **fællesskabet** adgangskoder https://t.co/MtIr2pYuRD
— Troy Hunt (@troyhunt) 20. december 2021
“Dagens udgivelse bringer det samlede antal Pwned-adgangskoder tæller til 847.223.402, en stigning på 38 % i forhold til den sidste version. Mere markant, hvis vi tager prævalenstællingerne i betragtning, er det 5.579.399.834 forekomster af en kompromitteret adgangskode repræsenteret i dette korpus,” forklarer Hunt.
Sikkerhed
Log4j-trussel: Hvad du har brug for at vide, og hvordan du beskytter dig selv Ransomware i 2022: Vi er alle skruet Microsoft Patch tirsdag: Zero-day udnyttet til at sprede Emotet malware Kronos ramt med ransomware, advarer om databrud og 'flere ugers' udfald De bedste VPN'er til små og hjemmebaserede virksomheder i 2021 Security TV | Datastyring | CXO | Datacentre