Hackers hebben een dump geplaatst van bijna 10 miljard plaintext-wachtwoorden op hackersforum BreachForums. De extreme omvang van het bestand maakt het mogelijk dat hackers makkelijker veelgebruikte wachtwoorden kunnen misbruiken.
De dump van bijna 10 miljard wachtwoorden in het plaintext-bestand ‘Rockyou2024.txt’ op BreachForums werd vorige week opgemerkt door Cybernews. De verantwoordelijke poster van dit bestand, ObamaCare, refereert met de naam van dit bestand aan een eerdere extreem grote password dump, Rockyou2021, op hetzelfde hackersforum.
Die eerdere dataset omvatte ook een groot bestand van 8,4 miljard gelekte wachtwoorden in plaintext. Rockyou2021 is zelf ook weer een expansie van een dataset uit 2009 met enkele tientallen miljoenen aan gelekte wachtwoorden.
Mix van oude en nieuwe data
Inhoudelijk is de meest recente dump van wachtwoorden een mix van het oude grote databestand en nieuwe gegevens, denken experts. De bestaande Rockyou2021-dataset is met ongeveer 1,5 miljard ‘nieuwe’ gelekte wachtwoorden verrijkt en heeft de omvang van de dataset met 15 procent doen toenemen. De informatie zou afkomstig zijn uit 4.000 databases uit de hele wereld.
Brute force-aanvallen meest logisch
Volgens Cybernews kan Rockyou2024 worden gebruikt voor aanvallen op alle systemen die niet (afdoende) tegen brute force-aanvallen zijn beschermd. Dit varieert van on- en offline diensten tot aan met het internet verbonden camera’s en OT-systemen. Zeker als de nu gelekte wachtwoorden in combinatie met andere hackgegevens of -methoden worden gebruikt.
Gebruikers die dezelfde wachtwoorden voor meerdere diensten gebruiken, lopen hierbij natuurlijk extra gevaar. Vooral als hackers zich richten op aanvalsmethoden als credential stuffing.
Experts roepen op de nodige maatregelen te nemen. Denk aan het compleet veranderen van alle wachtwoorden en het voorkomen van dubbel gebruik. Ook het inschakelen van two-factorauthenticatie, en het gebruik van password managers voor het opslaan en genereren van wachtwoorden zijn belangrijk om systemen en omgevingen te wapenen tegen mogelijke inbreuken.
Lees ook: Wat is ‘credential stuffing’ en wat doe je ertegen?