Milyonlarca şifre içeren devasa veri dökümü güvenlik uyarısını tetikliyor. Have I Been Pwned hizmetinin operatörü Troy Hunt, tanınmış bir teknoloji şirketinin kendisiyle bir milyar kimlik bilgisi koleksiyonu olan Naz.API hakkında iletişime geçtiğini yazıyor. Hunt: “Önceki veri ihlallerinden elde edilen oturum açma adları ve parolalardan oluşan benzer listelerin aksine, bu veri kümesi daha önce hiç sızdırılmamış 25 milyon parola içeriyor” diyor.
Naz.API veri ihlali boyutu tahmin edilenden fazla
Hunt, Naz.API’nin toplam 104 GB boyutunda 319 dosya ve 70.840.771 benzersiz e-posta adresi içerdiğini buldu. Bu durum 427.308 bireysel HIBP abonesini etkiledi ve adreslerin %65,03’ü hâlihazırda HIBP’de bulunuyor. Önceki sızıntılarda e-posta adreslerinin üçte birinin hiç görülmemesi önemli. Veritabanının yer aldığı forum gönderisinde posterde, veritabanının hırsız günlüklerinden veri çıkarılarak oluşturulduğu belirtildi. Bu tür kötü amaçlı yazılım, virüslü makinelerden parolalar, kredi kartı bilgileri, kripto cüzdanlar ve daha fazlası gibi verileri çalmaya çalışıyor.
Hunt, çalınan verilerin bir kısmını gösteren veri kümesinin ekran görüntüsünü yayınladı. Parolalar karma olmaktan ziyade düz metin olarak görünüyor. Çoğu inanılmaz derecede basit, yaygın olarak kullanılan dizeler içeriyor. Daha önce pek çok kez gördüğümüz ve sıklıkla uyardığımız gibi, birden fazla hizmette aynı şifre/e-posta adresi kombinasyonunu kullanan çok sayıda insan var.
Hunt, kimlik bilgilerinin doğru olduğunu veya bir zamanlar doğru olduğunu doğrulamak için listedeki bazı kişilerle temasa geçti. Ayrıca bir dizi e-postanın, aralarında Facebook, Roblox, Coinbase, Yammer ve Yahoo’nun da bulunduğu belirtilen web siteleriyle ilişkili olduğunu doğruladı. Verilerin tümü hırsızlığa yönelik kötü amaçlı yazılımlardan gelmiyor. Büyük bir yüzdesi, önceki ihlallerden elde edilen verileri toplayan kimlik bilgisi doldurmanın sonucu. Hunt’ın kendi şifrelerinden biri verilerde göründü, ancak 2011 öncesinden bu yana bu şifreyi kullanmadı.
Verilerinizin Naz.API veri kümesinde veya daha önceki herhangi bir ihlalde görünüp görünmediğini kontrol etmek için Have I Been Pwned sayfasını ziyaret edebilirsiniz.