Collection #1 war nur der Anfang. Der Datenhändler Sanixer verkauft via Telegram die komplette Sammlung mit 4 TB für umgerechnet 61,60 Euro.
Die Daten des Archivs Collection #1 waren schon bis zu drei Jahre alt. Der Cyberkriminelle Sanixer verkauft via Telegram die komplette Sammlung an E-Mail-Adressen und Passwörtern für 0.02 BTC. Das sind umgerechnet etwa 61,60 Euro. Weniger Faule finden die Download-Links für MEGA aber auch in diversen einschlägigen Foren.
Collection #1 – Daten mit vier TB Umfang
Letzte Woche Donnerstag stolperte ein australischer Sicherheitsforscher über die „Collection #1“, ein Archiv mit 87 GB an Daten. Darin enthalten sind unzählige noch immer funktionierende E-Mail-Adressen. Für einige E-Mails steht sogar das korrekte Passwort daneben. Was Troy Hunt nicht erwähnte: die Zusammenstellung war zwar gigantisch groß, so richtig neu war sie aber nicht. Sein Kollege Brian Krebs beziffert das Alter der Daten auf zirka zwei bis drei Jahre.
Der komplette Leak: 4 TB für 70 Dollar
Dazu kommt: Die erste Zusammenstellung #1 war, wie der Name schon erahnen lässt, nur der Anfang. Insgesamt gibt es bisher fünf Collections zuzüglich zu zwei nicht öffentlichen Datensätzen, die alle zusammen im Paket verkauft werden. Wir kontaktierten den Datenhändler Sanixer bei Telegram. Er schrieb uns, man könne die Account- und Passwortsammlung bei ihm für 0.02 BTC oder alternativ 70 US-Dollar via PayPal-Überweisung an Freunde kaufen. Einen Käuferschutz gibt es bei beiden Methoden naturgemäß nicht. Das Versenden von Bitcoin oder die Nutzung der PayPal-Option „Freunde und Familie“ beinhaltet keinerlei Sicherheiten. Das wird in manchen Untergrund-Foren anders geregelt. Neue Anbieter unterliegen dort der Treuhänder-Pflicht (TH-Pflicht). Die Ware wird dementsprechend erst dann übermittelt, sobald die Bezahlung erfolgt ist und umgekehrt.
Collection #1 – Sammlung auch für lau verfügbar
Außerdem sind die Informationen auch kostenlos im Netz verfügbar, ein kostenpflichtiger Account beim Sharehoster MEGA vorausgesetzt. In mehreren einschlägigen Boards (Foren) sind die Download-Links zu den Archiven sowieso schon für umsonst verfügbar. Wer es nicht lassen kann, die illegal erlangten Zugangsdaten herunterzuladen, muss bei MEGA einmalig 4.99 US-Dollar bezahlen. Der Premium-Zugang namens „Pro Lite“ ist für 30 Tage aktiv. Im Anbetracht der Download-Kosten erscheint der Preis von Sanix wiederum als Wucher.
Wenn ein Datenleck wie eine Sau durchs Dorf getrieben wird!
Der in Kassel tätige Penetrationstester Benjamin Kunz Mejri beurteilt den medialen Hype der Collection #1 sehr kritisch. Er schrieb uns im O.-Ton:
„Kollektiv gesammelte Daten aus verschiedensten Einbrüchen werden heutzutage auf allen möglichen Plattformen im Untergrund gehandelt. Meistens sind diese schon für wenige hundert Euro erhältlich. Der Preis auf dem Schwarzmarkt orientiert sich daran, wie zuverlässig die Erfolgsaussichten beim Auswerten der Daten sind. Gleichzeitig aber auch daran, wo die Daten abgeflossen sind und wie viele andere ebenfalls die Datensätze erhalten.
Der aktuelle Hype ist nur eine Aufmerksamkeitsmasche der Medien, die aktuell keine sinnvollen Themen haben, über die sie berichten können. Besonders der Zwischenfall der veröffentlichten Datensätze von Politikern vor wenigen Tagen trägt dazu bei, dass immer mehr Falschmeldungen öffentlich werden. Nur eil jemand Star- oder Politiker-Daten veröffentlicht hat, bedeutet das nicht, dass wir solche Zwischenfälle nicht täglich erleben. Tausend Datensätze sind im Vergleich zu den abgeflossen Daten der letzten Jahre ein Tropfen auf den heißen Stein. Die Einzigen, für die das nützlich ist, sind die Medien und der Staat. Die Medien bekommen einen falschen Hype (und ihre Klicks). Der Staat erhält mehr Geld für Überwachungsmethoden.
Werden wir für die Zukunft etwas daraus lernen?
Es ist schnell getan mehrere Millionen Datensätze, die man illegal erworben hat, zusammen in einer Datenbank zu vereinen. Bei einer einfachen Suche im Netz, findet man schon nach wenigen Minuten hunderttausende von Datensätzen oder komplette Datenbanken. Fehleinstellungen, Sicherheitslücken, Missbrauch und die Nachsicht mit sozialen Medien (Privacy & Technology) der Öffentlichkeit und des Staates kommen nun eiskalt als Rechnung serviert zurück zu den Endanwendern. Die Frage ist am Ende, ob wir für die Zukunft etwas daraus lernen.
Auch Troy Hunt, der eingangs erwähnte Sicherheitsexperte aus Australien, konnte durchaus einen Vorteil aus dem Leak ziehen. Seinen Namen haben viele News-Portale in aller Welt erwähnt und seinen Blog verlinkt. Und der Werbepartner seines Portals HaveIbeenPwned.com, der Passwortmanager 1Password, wird sich über den neuen Besucherstrom auf seiner Seite sicher nicht beschweren.
Quelle Beitragsbild, thx! (CC0 1.0)
Tarnkappe.info
