Baza podataka koja je sadržavala nevjerojatnih 149 milijuna korisničkih imena i lozinki uklonjena je nakon što je istraživač prijavio njezinu izloženost hosting provideru. Među kompromitiranim podacima nalazilo se čak 48 milijuna prijava za Gmail, 17 milijuna za Facebook te 420.000 za popularnu kriptovalutnu platformu Binance.

Uz lažni poziv

Lažno se predstavljali kao bankari i 84-godišnjakinji ukrali svu ušteđevinu

Dugogodišnji sigurnosni analitičar koji je otkrio bazu, Jeremiah Fowler, nije mogao pronaći nikakve naznake o tome tko je vlasnik ili tko njome upravlja, pa je umjesto toga odlučio obavijestiti hosting tvrtku. Ona je naposljetku i uklonila spornu bazu podataka jer je kršila uvjete pružanja usluge.

Fowler je, osim prijava za e-poštu i društvene mreže brojnih platformi, primijetio i vjerodajnice za vladine sustave iz više zemalja, kao i prijave za internetsko bankarstvo, podatke o kreditnim karticama te pristup popularnim streaming platformama. Sumnja da je baza podataka sastavljena pomoću takozvanog “infostealing” zlonamjernog softvera koji zarazi uređaje, a zatim koristi tehnike poput “keylogginga” za bilježenje informacija koje žrtve upisuju na web stranice.

Tijekom otprilike mjesec dana, koliko je Fowler pokušavao stupiti u kontakt s hosting tvrtkom, baza podataka je, prema njegovim riječima, neprestano rasla, prikupljajući dodatne prijave za čitav niz usluga. Istraživač nije imenovao pružatelja usluge jer je riječ o globalnoj tvrtki koja sklapa ugovore s neovisnim regionalnim podružnicama kako bi proširila svoj doseg. Konkretna baza podataka bila je smještena kod jedne od tih podružnica u Kanadi.

Prema Fowlerovim riječima, ovakva zbirka podataka predstavlja “listu želja iz snova za kriminalce” zbog goleme raznolikosti vjerodajnica koje sadrži.

“Infostealer bi imao najviše smisla. Baza podataka bila je u formatu stvorenom za indeksiranje velikih zapisa, kao da je onaj tko ju je postavio očekivao prikupljanje ogromne količine podataka”, izjavio je za Wired. Dodao je kako je pronašao i na tone prijava za vladine sustave iz mnogo različitih zemalja.

Što se sve nalazilo u bazi?

Osim spomenutih 48 milijuna vjerodajnica za Gmail, u bazi se nalazilo i oko četiri milijuna za Yahoo račune, 1,5 milijuna za Microsoft Outlook, 900.000 za Appleov iCloud te 1,4 milijuna za akademske i institucionalne “.edu” račune. Među ostalima, pronađeno je i otprilike 780.000 prijava za TikTok, 100.000 za OnlyFans i 3,4 milijuna za Netflix. Zabrinjavajuće je što su svi ti podaci bili javno dostupni i pretraživi korištenjem običnog internetskog preglednika.

Fowler je također primijetio kako se činilo da sustav automatski klasificira svaki zapis jedinstvenim identifikatorom koji se nije ponavljao, što je olakšavalo pretraživanje. “Činilo se da sustav automatski organizira podatke kako su pristizali radi lakšeg pretraživanja”, rekao je.

Stalno obrazovanje i razvoj vještina

MBA obrazovanje na ZŠEM-u: Investicija koja mijenja karijeru i život

Poslodavac prijetelj obitelji

Cilj projekta je nagraditi poslodavce koji razumiju važnost ravnoteže između poslovnog i obiteljskog života

Iako naglašava da nije utvrdio tko je bio vlasnik podataka niti za što su se koristili, takva struktura imala bi smisla ako su se podaci prodavali kibernetičkim kriminalcima koji su plaćali za određene podskupove informacija, ovisno o vrsti prijevare koju su planirali.

Na internetu postoji naizgled beskonačan protok pogrešno osiguranih i javno dostupnih baza podataka koje izlažu osjetljive informacije bilo kome. No, kako posrednici podataka i kibernetički kriminalci gomilaju sve veće zbirke, ulozi potencijalnih proboja samo rastu.

“Infostealeri” su dodatno pogoršali problem jer napadačima omogućuju jednostavno i pouzdano automatiziranje prikupljanja vjerodajnica za prijavu i drugih osjetljivih podataka. Allan Liska, analitičar prijetnji u sigurnosnoj tvrtki Recorded Future, ističe kako ovi alati stvaraju vrlo nizak prag za ulazak novih kriminalaca u posao.

“Iznajmljivanje jedne popularne infrastrukture koju smo vidjeli košta između 200 i 300 američkih dolara mjesečno, pa bi za manje od rate za automobil kriminalci mogli potencijalno dobiti pristup stotinama tisuća novih korisničkih imena i lozinki mjesečno”, objašnjava Liska.