2025-ben a kiberbiztonsági közösség egy példátlan méretű incidenssel szembesült: több mint 16 milliárd felhasználónév és jelszó került nyilvánosságra, ezzel ez vált az internet történetének legnagyobb hitelesítő adat szivárgásává. Az érintett platformok között olyan technológiai óriások találhatók, mint a Google, Apple, Facebook, Instagram, Telegram, GitHub, valamint különböző állami szolgáltatások is. A helyzet súlyosságát nemcsak a mennyiség, hanem az adatok frissessége, strukturáltsága és kiberbűnözésre való felhasználhatósága is fokozza.
A szivárgás mértéke és jellege
A vizsgálatok szerint az adatok 30 különböző adatbázisból származnak, amelyek egyenként több tízmilliótól akár 3,5 milliárd rekordot is tartalmaznak. Az összesített mennyiség eléri a 16 milliárd kompromittált bejelentkezési adatot. A CyberNews kutatása szerint ez nem egyszerű “újrafelhasznált” adatbázis, hanem többnyire friss, strukturált adathalmaz, amelyet valószínűleg infostealer malware típusú rosszindulatú programok gyűjtöttek össze. Ezek a programok kifejezetten érzékeny információk – például jelszavak, cookie-k, hitelesítési tokenek – begyűjtésére specializálódtak.
A kiszivárgott adatbázisok közül néhány rövid ideig nyilvánosan elérhető volt nem védett Elasticsearch vagy tárhelyszolgáltatásokon keresztül, mielőtt azokat lezárták volna. Az információk többsége URL-alapú struktúrában szerepelt, amit jelszavak és felhasználói adatok követtek – ez a tipikus formátum az infostealer-ek által kinyert adatoknál.
Kockázatok és következmények
A kiszivárgott adatok minden nagyobb online szolgáltatásra kiterjednek, ami azt jelenti, hogy a kiberbűnözők soha nem látott mértékben férhetnek hozzá:
- Személyes és vállalati fiókokhoz
- Banki információkhoz
- Közösségi média profilokhoz
- Vállalati levelezésekhez (BEC támadások)
A támadók ezzel az adattömeggel identitás lopást célzott adathalászatot, zsarolóvírusos támadásokat és brute force támadásokat is indíthatnak. Még akkor is, ha az adatoknak mindössze egy százaléka aktív, ez több tízmillió potenciálisan veszélyeztetett fiókot jelenthet.Különösen aggasztó a szivárgásban található hitelesítési tokenek és munkamenet cookie-k jelenléte, amelyekkel a támadók az MFA (többfaktoros hitelesítés) megkerülésével, jelszó nélkül is hozzáférhetnek aktív fiókokhoz.
Valóban 320 millió gép fertőződött meg?
Egyes állítások szerint a szivárgás 320 millió fertőzött eszközről származik, azonban ez a számítás vitatott. Alon Gal, a Hudson Rock technológiai igazgatója szerint egy fertőzött eszköz átlagosan 50 hitelesítő adatot tartalmaz, ami alapján ez a becslés születhetett. Ugyanakkor a valóságban a szivárgásban szereplő adatok régi adatszivárgásokból, infostealerek által korábban begyűjtött információkból, illetve akár mesterségesen generált adatokból is származhatnak – hasonlóan az ALIEN TXTBASE néven ismert gyűjteményhez.
Mit jelent ez a vállalatoknak?
Ez az adatáramlás alapjaiban változtatja meg a kiberveszélyeztetettségi térképet. A korábban elszigetelt incidensek most összevont, ipari szintű fegyverré válnak. A vállalatok, amelyek nem alkalmaznak legalább alapvető védelmi intézkedéseket, könnyű célpontokká válnak.
A legnagyobb fenyegetések:
- Credential stuffing (automatizált jelszópróbálgatás)
- Business Email Compromise (BEC)
- Adathalász kampányok
- Zsarolóvírusos támadások
- Identitáslopás
Mit tehetnek a szervezetek?
- Védjék az eszközeiket
- Telepítsenek EDR eszközöket (pl. Microsoft Defender, CrowdStrike)
- Frissítsék rendszeresen az operációs rendszereket, alkalmazásokat, firmware-eket
- Tiltsák le a szükségtelen Office makrókat
- Használjanak alkalmazásfehérlistázást
- Erősítsék a hozzáféréseket
- Kötelező MFA minden kritikus fiókhoz (admin, VPN, felhő)
- Használjanak erős, egyedi jelszavakat jelszókezelővel
- Figyeljék a fiókok aktivitását SIEM eszközökkel (pl. Splunk, Azure Sentinel)
- Figyeljék a hálózatot
- Használjanak tűzfalat, DLP-t (pl. Symantec), IDS/IPS megoldásokat
- A DNS szűrés és hálózati szegmentálás segít a terjedés megakadályozásában
- Készüljenek fel a reagálásra
- Legyen NIST-kompatibilis incidenskezelési tervük
- Gyakorolják rendszeresen a válsághelyzeti protokollokat
- Ha történik incidens, izolálják az érintett eszközt, futtassanak memóriavizsgálatot (pl. Volatility), és állítsák vissza a rendszert tiszta mentésből
Mit tehetnek a felhasználók?
Minden felhasználónak azonnali lépéseket kell tennie, különösen azoknak, akik gyakran használják az érintett szolgáltatásokat:
- Azonnal változtassák meg jelszavaikat, kezdve a legfontosabb fiókokkal (e-mail, bank, közösségi média)
- Használjanak erős és egyedi jelszavakat minden fiókhoz
- Kapcsolják be a többlépcsős azonosítást (MFA)
- Használjanak jelszókezelő szoftvert
- Vizsgálják át eszközeiket infostealer fertőzés jelei után kutatva
A 16 milliárd hitelesítő adat kiszivárgása figyelmeztetés mindannyiunk számára. A kiberbűnözők soha nem látott mértékben férnek hozzá az online identitásunkhoz, és a jelenlegi eszköztárukkal gyorsabban és hatékonyabban tudnak támadni, mint valaha. A személyes és vállalati védelem immár nem választás kérdése – elkerülhetetlen szükségszerűség.