Userbase

Eerder een storm in een glas water of toch iets om serieus te nemen ?
https://gotcha.pw/news
Het kwam ook op het VRT nieuws gisteravond.

Hier getest met 3 email adressen en bij 2 zijn ze blijkbaar uitgelekt.
Ze tonen echter enkel de 2 eerste tekens van het paswoord. Het valt mij op dat er van die 2 tekens er slechts 1 klopt, de andere is fake.

Tijd om nog eens onze paswoorden te veranderen.

Goh, is dit niet gewoon een mindere versie van https://haveibeenpwned.com/ ?

Ik weet niet of het een mindere versie is daar gotcha de eerste twee tekens van het wachtwoord toont (als dat nog niet veranderd is sinds het lek). Ik heb het gedaan voor een aantal domeinen die ik beheer, en daar kwam toch e.e.a. uit waarvan ik weet dat het inderdaad kan kloppen. Double-check met haveibeenpwned wijst in het overgrote deel van de gevallen naar de breach bij LinkedIn.

Bij haveibeenpwned zie je enkel via welke sites je gegevens gelekt zijn. Hier zie je wat de paswoorden zijn die gelekt zijn, wat er m.i. wel op duidt dat hij ook effectief de userids+paswoorden heeft.
Via haveibeenpwned weet ik dat ik alleszins in enkele leaks zit terwijl gotcha mij niet vindt, dus de bronnen zijn alleszins verschillend. Vraag me ook af hoe hij aan die files geraakt is, want ik zou denken dat daar underground wel veel geld voor gevraagd wordt.

Via https://haveibeenpwned.com kon ik inderdaad zien welke sites een lek hadden.
Bij mij was dit Dropbox, Disqus en Last.fm

Kan je die list ook downloaden?
Want ik gebruik voor alle sites etc een ander email adres, en ik heb geen zin om ze allemaal individueel te doorlopen.

Natuurlijk niet. Dat gaat in tegen zijn businessmodel.
Ik vind het altijd grappig dat mensen daar zomaar hun emailadres invullen en dan verwonderd zijn dat ze plots weer iets meer spam dan voorheen krijgen. Bovendien weet die hacker dan ook dat dat account hoogstwaarschijnlijk nog actief is. Easy shortlisting... Kan die die informatie lekker doorverkopen.
Misschien is het een vorm van paranoia, maar ik ben liever safe dan sorry.

op elke site dus een ander passwoord en email alias gebruiken dus

[quote="xayana”]
Ik vind het altijd grappig dat mensen daar zomaar hun emailadres invullen en dan verwonderd zijn dat ze plots weer iets meer spam dan voorheen krijgen. Bovendien weet die hacker dan ook dat dat account hoogstwaarschijnlijk nog actief is. Easy shortlisting... Kan die die informatie lekker doorverkopen.
[/quote]

Beetje overdreven want iemand anders kan even goed jouw e-mail adres ingeven. En sowieso is zijn bestand van e-mail + pwds een paar grootte ordes meer waard dan enkel mail adressen.

Mijn gmail-adres zat er in en het wachtwoord was juist. Toch wat het ooit was, lang geleden.

lacer schreef:Eerder een storm in een glas water of toch iets om serieus te nemen ?

Allebei, langs de ene kant niets nieuws, maar misschien wel een goede herinnering om wachtwoorden niet te hergebruiken.

cloink schreef:Goh, is dit niet gewoon een mindere versie van https://haveibeenpwned.com/ ?

Inderdaad, gewoon een verzameling van lekken over de jaren heen, gemaakt door een Reddit-gebruiker een paar maanden geleden, met als nadeel dat je niet meer weet van welke site een gelekt wachtwoord komt, wat wel kan op haveibeenpwned. Die laatste site heeft trouwens VEEL meer lekken in zijn database, en is ook een stuk ethischer door niet (de eerste letters van) je paswoord te gaan tonen. En je kan je ook nog eens inschrijven om een melding te krijgen bij nieuwe lekken.

Tomby schreef:Vraag me ook af hoe hij aan die files geraakt is, want ik zou denken dat daar underground wel veel geld voor gevraagd wordt.

Helemaal niet, gewoon openbaar te vinden als torrent. Dus misschien nog een reden te meer om stil te staan bij je wachtwoordkeuze. Of nog beter, gebruik een password manager.

ITnetadmin schreef:Kan je die list ook downloaden?

Ja, er is ergens een torrent van, dikke 40GB iirc.