News Aus Hackerforum: Have I Been Pwned erfasst Millionen neuer Zugangsdaten

[Atnam]

Also zumindest mein Passwort würde ich da nicht eingeben.

Muss man sich wirklich keine Gedanken machen.
Der Herr der hinter der Website steht ist ziemlich gut auf seinem Gebiet und hat auch das entsprechende Standing in der Branche.

https://en.wikipedia.org/wiki/Troy_Hunt

 

[AlphaKaninchen]

Muss man sich wirklich keine Gedanken machen.
Der Herr der hinter der Website steht ist ziemlich gut auf seinem Gebiet und hat auch das entsprechende Standing in der Branche.

Das mag alles sein trotzdem würde ich ein Passwort nach dem eingeben ändern, und dann kann ich es auch gleich ändern.

 

[Atnam]

Und warum? Die Website speichert nichts was über die Suche gesucht wird.

 

[Tintenpatrone]

Hauptmailadresse Naz.Api und 2012 Dropbox. Ein anderweitig nicht genutztes Konto ebenfalls.
Familienadresse ist safe.
Passwörter safe + 2FA. Sieht gut aus.
Danke für die News.

Und nennt mich Oldschool, aber meine Passwörter habe ich als Hardcopy auf einem Zettel + im Kopf.

 

[Boimler]

Und nennt mich Oldschool, aber meine Passwörter habe ich als Hardcopy auf einem Zettel + im Kopf.

Das ist die einzige Schwachstelle digitaler Attacken, die ich auch ausnutze. Alles auf nem Zettel an einem Ort, den niemand sucht. Und die Passwörter der Backup-Mails kann ich auswendig.

 

[AlphaKaninchen]

Und warum? Die Website speichert nichts was über die Suche gesucht wird.

Soweit ich es sehen* kann wird das Passwort as is an den Server gesendet, was dieser damit macht kann ich nicht nachprüfen. Vom aufwand alle meine KeePass Einträge durchzugehen mal ganz abgesehen.

*Der pwned Button ist Type="submit" für ein Form das nur aus dem Passworteingabefeld besteht. Ein JavaScript das daran etwas ändert habe ich auf die schnelle nicht gefunden.

 

[Atnam]

Soweit ich es sehen* kann wird das Passwort as is an den Server gesendet, was dieser damit macht kann ich nicht nachprüfen. Vom aufwand alle meine KeePass Einträge durchzugehen mal ganz abgesehen.

Ja doch könntest du, es wird in der FAQ erklärt was mit der Anfrage gemacht wird.
Aber egal du kannst es natürlich auch einfach so machen wie magst.
Ich wollte nur darauf das die Website nicht heimlich einfach Daten abgreift.

 

[satis]

 

[Morku]

Schade, nichts dazugekommen 😂

 

[Giggity]

Kann man herausfinden welches PW abgegriffen wurde?

Also für E-Mail x@y.de PW xyz.

 

[AlphaKaninchen]

@Giggity Nein die werden laut FAQ Separat gespeichert, bei mir wird auch nicht angezeigt wo die E-Mail kompromittiert wurde.

Ergänzung (20. Januar 2024)

Ja doch könntest du, es wird in der FAQ erklärt was mit der Anfrage gemacht wird.

Im FAQ steht das die Passwörter als SHA-1 gespeichert werden, hatte daher eigentlich erwartet das bei eingegeben Passwörten diese auch als SHA-1 übermittelt werden. (Das ist ja das was man zum Vergleich braucht) So das der Server nie den Klartext sieht.

 

[Vexz]

Gegen das mit den E-Mail-Adressen kann man nichts tun. Den Schaden bei Passwörtern kann man aber sehr gut durch Passwortmanager einschränken, um mit jedem Konto ein individuelles Passwort zu haben.

 

[machiavelli1986]

Eine E-Mailadresse die ich seit ca. 20 Jahren habe (hotmail) taucht unter diversen Leaks auf. Erfolgreiche Attacken gab es noch nie, ich nutze auch nur generierte 20-40 Zeichen lange Passwörter und nie bei zwei Diensten dasselbe. Jedoch ist im Microsoft Aktivitätenlog echt heftig was dort abgeht. Über die Adresse gibt es pro Tag dutzende Anmeldeversuche von überall auf der Welt. Das reicht von Deutschland über Russland bis irgendwo hin nach Südostasien und Südamerika. Hatte die Adresse auch für alle meine Game Stores im Einsatz. Mittlerweile habe ich die alle umgestellt, da ich dort ja effektiv Güter von Wert habe. Das Übel waren Facebook und Co. Das sie in den MS Account dieser Mailadresse reinkommen ist aber unwahrscheinlich, da ich mittlerweile das passwortlose Anmeldeverfahren via Authenticator und Passkey nutze. Nur frage ich mich trotzdem, wieso ich dann im Aktivitätenlog sehe, dass nicht erfolgreiche Loginversuch mittels Passwort stattfinden. Ich nehme mal an, dass für diese Zwecke (Anmeldeversuche) von den Hackern irgendwelche automatisierte Verfahren genutzt werden und natürlich nicht effektiv auf der Loginseite von Microsoft der Loginversuch stattfindet.

 

[DaysShadow]

durch Passwortmanager einschränken

Der sollte sich im besten Fall nur im Kopf befinden.

Wie hier beschrieben https://xkcd.com/936/ lassen sich nicht zu erratende Passwörter relativ leicht erzeugen und merken. Nutze diese Art mittlerweile seit einigen Jahren.

 

[BorstiNumberOne]

Bei mir ist meine Haupt EMail Adresse einmal dabei und zwei meiner Eltern (alle verifications.io) aber ich habe überall da, wo es wichtig ist, ein 13- oder 16-stelliges Passwort (Alphanumerisch, Sonderzeichen, Groß-/Kleinschreibung) in Verwendung, sowie die 2FA angeschaltet. Bisher bekam ich mal hier und da Rücksetzversuche in Facebook per Mail, welche aber alle an der 2FA gescheitert sind und nun auch seit Monaten aufgehört haben.

Edit: Das muss bei uns das Thema gewesen sein:
https://www.t-online.de/digital/akt...io-800-millionen-mail-adressen-betroffen.html
Wenn ich mich recht erinnere, dann hatte ich damals, auch nach der anderen riesigen Datenpanne in 2014, auch nochmal alle wichtigen Passwörter abgeändert und wo es wichtig war, zusätzlich die 2FA aktiviert.

Edit2:
Wobei hier steht, dass in der fragwürdigen, gefundenen MongoDB wohl keine Passwörter oder Kreditkarteninformationen gestanden haben.
https://www.netzwelt.de/betrugswarn...-millionen-mail-adressen-veroeffentlicht.html

 

[FrAGgi]

Was macht Ihr nur ???

Nichts. Denn man hat schlicht keinen Einfluss darauf. Du kannst dich nicht davor schützen, dass deine Daten bei einem Anbieter abhanden kommen.
Wie man der Datenbank entnehmen kann, sind dort zum Teil ja auch große und vermeintlich seriöse Unternehmen vertreten und nicht nur irgendwelche kleinen dubiosen Seiten.

Der einzige Schutz vor der Veröffentlichung seiner Daten: sich nirgendwo registrieren.
Ist aber in der Regel auch keine Lösung.

Viel spannender ist es dann eher, was man dafür tut um das Konto vor Zugriffen zu schützen, selbst wenn E-Mail-Adresse und Passwort im Internet auftauchen. Stichwort: 2FA.

 

[FCK_PTN]

Jedoch ist im Microsoft Aktivitätenlog echt heftig was dort abgeht. Über die Adresse gibt es pro Tag dutzende Anmeldeversuche von überall auf der Welt.

Das habe ich auch bei einer Hotmail-Adresse, die allerdings in keinem Leak bekannt ist. Die meisten Zugriffsversuche finden laut MS in China statt, ganz selten finden sich auch andere Länder in der Liste.

Ich nehme mal an, dass für diese Zwecke (Anmeldeversuche) von den Hackern irgendwelche automatisierte Verfahren genutzt werden

Das vermute ich ebenso, dass irgendwelche bereits bekannten Passwörter automagisch durchprobiert werden.
Ich fühle mich aber soweit Safe und ignoriere solche Meldungen einfach.

 

[Vexz]

Der sollte sich im besten Fall nur im Kopf befinden.

Ja, aber kein Mensch ohne fotografisches Gedächtnis kann sich über 300 verschiedene Passwörter merken, die jeweils mindestens 20 Zeichen lang und nur ein Wirrwarr aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen sind. Deshalb Passwortmanager.

 

[Boimler]

Kann man eigentlich irgendwie überprüfen, ob und wie viele Loginversuche bei gestohlenen Daten unternommen werden/wurden? Also gibt es dazu Logs?

 

[Kartoffel!]

2 von 3 Email Adressen sind bei mir betroffen. Erstmal Passwörter wechseln. 😅

Also wenn du ein starkes und langes Passwort hast mit Groß- und Kleinschreibung + Zahlen + Zeichen werden diese Passwörter zu deinen Lebzeiten eher nie geknackt.

Das bessere und somit richtigere vorgehen wäre, wenn man jetzt dann solche Angst davor hat gehackt zu werden, die E-Mailadressen zu änderm.

Bei mir sind 2 von meinen 2 E-Mailaccounts bekannt seit 2018/19 (danke Nexus) und ich wurde noch nicht einmal gehackt bei diesen obwohl Passwort noch nie geändert, da ich ein starkes Passwort habe + 2FA überall wo es geht.