117 miljoen gehackte LinkedIn-emails en wachtwoorden staan nu online

Een hacker probeert de gebruikersinformatie, waaronder emails en wachtwoorden, van 117 miljoen LinkedIn-gebruikers te verkopen.

De hacker, die onder de naam "Peace" gaat, vertelde Motherboard dat de data gestolen werd tijdens de grote LinkedIn-hack van 2012. Toentertijd werden er zo'n 6.5 miljoen versleutelde wachtwoorden online gepost. LinkedIn heeft nooit duidelijk gemaakt hoeveel gebruikers betrokken waren bij de hack.

Het blijkt erger te zijn dan iedereen dacht.

Peace verkoopt de data op de darkwebmarktplaats The Real Deal voor 5 bitcoin (rond de €1.952). De betaalde zoekmachine voor gehackte data LeakedSource claimt dat ze de data hebben. Zowel Peace als een van de mensen achter Leaked Source zeggen dat er zo'n 167 miljoen accounts in de gehackte database zitten. Rond de 117 miljoen daarvan bevatten zowel email als versleutelde wachtwoorden.

"Dit komt nu pas naar boven. Mensen namen het niet heel serieus toen het nog niet zo verspreid werd," vertelt een van de mensen achter LeakedSource me. "Voor zover ik weet werd de database bewaard door een kleine groep Russische hackers."

LeakedSource verschafte Motherboard een monster van bijna een miljoen gebruikers, waarin emailadressen, gehashde wachtwoorden en de corresponderende gehackte wachtwoorden. De wachtwoorden waren oorspronkelijk versleuteld met het SHA1-algoritme, zonder "salt," wat een serie van willekeurige getallen is dat aan het einde van de hash wordt toegevoegd om kraken te bemoeilijken.

LeakedSource vertelde ook aan Motherboard via een online chat dat ze tot dusver "90% van alle wachtwoorden in 72 uur hebben gekraakt."

Troy Hunt, een beveiligingsonderzoeker die Have I Been Pwned runt, zocht contact met een aantal slachtoffers van het lek. Twee van hen bevestigden aan Hunt dat ze inderdaad LinkedIn-gebruikers zijn en dat het wachtwoord wat hij met ze deelde, hun wachtwoord was ten tijde van de hack. Motherboard bevestigde dit ook met een derde slachtoffer.

Een van de slachtoffers vertelde Motherboard dat het wachtwoord in het monster hun huidige wachtwoord was, hoewel hij deze meteen veranderd had toen Hunt contact zocht.

"Je wachtwoord zo openbaar hebben, voelt alsof iemand zich in je privé-omgeving kan binnenlaten wanneer ze daar zin in hebben, zonder dat je het weet," vertelt het slachtoffer in een email.

LinkedIn woordvoerder Hani Durzy vertelde Motherboard dat het beveiligingsteam van het bedrijf het incident onderzoekt, maar tot nog toe niet kan zeggen of de data legitiem is. Durzy gaf echter wel toe dat de 6.5 miljoen gebruikershashes die in 2012 gepost werden niet per se alle wachtwoorden waren die toen gestolen waren.

"We weten niet hoeveel er toen buitgemaakt is," vertelt Durzy.

De lessen die getrokken kunnen worden zijn dezelfde als vier jaar geleden: sla je wachtwoorden niet onveilig op. En voor LinkedIn-gebruikers komt het neer op je wachtwoord veranderen, vooral als je deze ook bij andere diensten gebruikt (en hou daar sowieso mee op, wachtwoorden moet je nooit hergebruiken).

"De grote mate waarin wachtwoorden hergebruikt worden, betekent dat ze voor een groot deel ook andere accounts zullen ontsleutelen," vertelt Hunt me.

Een andere les is dat zelfs oude gehackte data soms waardevol kan zijn, aangezien sommige van deze wachtwoorden nog altijd geldig zijn.