Gmail Passwort gehackt

[Gladiator6]

Hallo

Habe heute folgende Meldung von Gmail erhalten:

Ihr Passwort ist bei einer Datenpanne (nicht bei Google) in die Hände Unbefugter gelangt​

Offensichtlich scheint mein Passwort ausserhalb von google irgend wo aufgetaucht zu sein? Ich habe das Passwort nun gewechselt, mich würde aber interessieren wie der google Dienst funktioniert? Woher hat google die Informationen? Werden die Hash Codes von geleakten Passwörtern mit denen aller google Accounts verglichen um dann die User zu warnen?

 

[JimPanse1984]

Und die Meldung war auch wirklich direkt von Google? Vielleicht war ja genau diese email eine pishing email - Ich hoffe du hast zumindest das Passwort über eine manuell in den Browser eingegeben URL geändert und nicht auf den Link in der email geklickt ... Man weiß ja nie ...

 

[mannefix]

Vielleicht von der Polizei. Oder von dem Betreiber, wo die Daten gestohlen wurden. Oder es ist Fake.
Schau mal Last Pass an, ist gut.

 

[Gladiator6]

Nein, steht auch in meinem Gmail Konto unter Notifications:

Etwas unsicher war ich beim Fenster zum wechseln des Passwortes, welches aufgepoppt ist, als ich Microsoft Outlook geöffnet habe.

 

[WhyNotZoidberg?]

hab das letztens direkt als einblendung in chrome bekommen, waren nur unwichtige accounts aus irgendwelchen schon ewig nicht verwendeten foren dabei.

Vielleicht war ja genau diese email eine pishing email - Ich hoffe du hast zumindest das Passwort über eine manuell in den Browser eingegeben URL geändert und nicht auf den Link in der email geklickt

war bei mir keine mail, wie gesagt einblendung in chrome. wenn man draufklick sieht man die betroffenen accounts (sind halt die, wo man username/pw in chrome gespeichert hat). da war kein link á la "klicken sie doch gleich hier..."

 

[Hayda Ministral]

war bei mir keine mail, wie gesagt einblendung in chrome. wenn man draufklick

Die einstmals beliebte Methode 'Einfach auf alles Klicken das nicht bei "drei" auf den Bäumen ist' ist in den letzten Jahren zurecht etwas in Verruf geraten. Ich klicke grundsätzlich nicht auf irgendwas was mir eingeblendet wird. Wer mir etwas mitzuteilen hat schreibt mir eine Email, die hat dann mindestens einen Absender und einen Empfänger sowie einen Header den man sich näher anschauen kann.

 

[Gladiator6]

Ich verwende kein Chrome sondern Firefox. Die Meldung scheint in dem Fall echt zu sein. Interessant wäre für mich jetzt natürlich noch zu wissen, wo das PW aufgetaucht ist. Gibt natürlich unzählige Online Dienste, die in Frage kommen. Ich führe keinen Passwort Manager, bei dem ich nachschauen könnte, wo ich besagtes Passwort überall verwendet hatte...

 

[wickedgonewild]

https://haveibeenpwned.com/ ist zum Prüfen solcher Sachverhalte das Mittel der Wahl und aus meiner Sicht auch absolut vertrauenswürdig.

Who is behind Have I Been Pwned (HIBP)
I'm Troy Hunt, a Microsoft Regional Director and Most Valuable Professional awardee for Developer Security, blogger at troyhunt.com, international speaker on web security and the author of many top-rating security courses for web developers on Pluralsight.

Wie Chrome das technisch abbildet ist hier erläutert https://security.googleblog.com/2020/10/new-password-protections-and-more-in.html (Terminus ist imho breach alerts).

Ich habe diese Meldung auch erhalten, das betraf aber uralt-Accounts aus meinen frühen Tagen im Internet. Wo es ging, habe ich die Passwörter noch geändert.
Außerdem war es wie ne kleine Zeitreise, also gleichzeitig auch ne tolle Gelegenheit nachzulesen, welchen Stuss man früher so verzapft hat . Heute setzte ich nur noch auf 2FA und zufällige generierte Kennwörter.

 

[Punctum Maximum]

Wenn Google jetzt anfängt die Passwörter der Accounts mit der Datenbank von Have I been pwned abzugleichen, dann wäre so eine Meldung möglich. Allerdings frage ich mich da die technische Umsetzung im Gegensatz zum Passwort-Manager aus Chrome sein soll (da macht es Google schon länger), denn eigentlich sollte Google das Passwort nur gehascht und gesalzen vorliegen....

Aber lieber TE, wäre das denn im Rahmen des möglichen? Nutzt du dein Google Passwort auch für andere Dienste? Das sollte man nie machen, ich kann z.B. sofort sagen, dass ich ein Google exklusives Passwort nutze und entsprechend eine ähnliche Meldung nur Fake sein könnte!

 

[t-6]

denn eigentlich sollte Google das Passwort nur gehascht und gesalzen vorliegen....

Google wird hier vermutlich geprüft haben, ob das - im Leak als Klartext vorhandene - Passwort dazu genutzt werden kann um sich in ein Google-Konto einzuloggen. Wenn ja --> Benachrichtigung.
Hoffentlich/höchstwahrscheinlich vollautomatisiert, versteht sich, wobei das Kind eh schon in den Brunnen gefallen ist.

 

[wickedgonewild]

Ist ja nicht so, dass ich das oben verlinkt habe.

To check whether you have any compromised passwords, Chrome sends a copy of your usernames and passwords to Google using a special form of encryption. This lets Google check them against lists of credentials known to be compromised, but Google cannot derive your username or password from this encrypted copy.

 

[SpamBot]

Google prüft sein einiger Zeit alle Passwörter. Ich habe in Chrome die 0815 Passwörter gespeichert. Dort habe ich für Schrottwebseiten Passwörter wie 123456 und hier bekommt man ebenfalls eine Warnung:

Das sind bei mir z.B. russische Streaming Seiten welche es mal vor 10 Jahren gab...

 

[Bonanca]

zufällige generierte Kennwörter.

Ich hoffe du hast auch eine Möglichkeit diese jederzeit abzurufen.

Immer wieder nervig wenn mein Kumpel zu Besuch ist, wir dann iwas machen wollen was einen Login von ihm erfordert und er dann sagt "ne kann ich nicht, habe meinen PW-Manager nicht dabei"...

 

[wickedgonewild]

Ich nutze nur mein Google Konto (bzw. Chrome) als PW Manager mit 2FA (MS Authenticator). Fahre damit bisher sehr gut, hatte nie Probleme. PW's kann ich bei Bedarf auch Chrome auslesen oder über passwords.google.com. Eine Notwendigkeit dafür gibt es aber eher selten.

 

[Punctum Maximum]

Ist ja nicht so, dass ich das oben verlinkt habe.

Ach ok, ich hatte gar nicht auf dem Zettel, dass die Passwörter die in Chrome gespeichert sind auch in der Google Cloud vorliegen. Dann hat Google natürlich auch so Zugriff auf die Klartext-Passwörter und kann das wie vom TE geschildert prüfen.

Ich hoffe du hast auch eine Möglichkeit diese jederzeit abzurufen.

Immer wieder nervig wenn mein Kumpel zu Besuch ist, wir dann iwas machen wollen was einen Login von ihm erfordert und er dann sagt "ne kann ich nicht, habe meinen PW-Manager nicht dabei"...

Deswegen liegt meine Passwort-Datenbank bei Dropbox. Immer dabei

 

[SpamBot]

habe meinen PW-Manager nicht dabei"...

Den hat man doch auf dem Smartphone?

 

[chrigu]

Ups... Passwort Datenbank auf dropbox? Wurden ja noch nie sicherheitslücken in der Cloud gefunden. 😉

 

[WhyNotZoidberg?]

Ich klicke grundsätzlich nicht auf irgendwas was mir eingeblendet wird.

ich auch nicht, habe auch nicht auf die einblendung geklickt. aber sie war da. und wenn ich in meinen google account einlogge, dann kann bekomme ich dort ebenfalls diese meldung und sehe, dass in den gespeicherten passwörten ein paar dabei sind, die "gehackt" wurden.

 

[Punctum Maximum]

Ups... Passwort Datenbank auf dropbox? Wurden ja noch nie sicherheitslücken in der Cloud gefunden. 😉

Natürlich mit Passwort