Et lille læk med et velkendt navn

En kombiliste med betegnelsen "Microsoft 42" dukkede for nylig op online og indeholdt 140 eksponerede loginoplysninger, ifølge HEROIC's dark web-lækagescanner. Virksomheden, der vedligeholder en database med mere end 400 milliarder lækkede optegnelser, markerede filen som led i sin løbende overvågning af kombilister, der cirkulerer i undergrundsfora og markedspladser.

Sammenlignet med brud, der afslører millioner af konti, kan 140 optegnelser lyde ubetydelige. Men størrelsen af en kombiliste har ikke meget at gøre med den fare, den udgør for de personer, hvis legitimationsoplysninger den indeholder. Det afgørende er, om disse e-mail- og adgangskodepar stadig virker, og hvor mange andre konti, der deler den samme genbrugte adgangskode.

Hvad en kombiliste faktisk er (og hvorfor navnet betyder noget)

En kombiliste er en ren tekstfil, der parrer e-mailadresser eller brugernavne med adgangskoder, som typisk er høstet fra tidligere brud, phishing-kampagner eller malware-infektioner snarere end fra et enkelt nyt hack. Betegnelsen "Microsoft 42" betyder ikke nødvendigvis, at Microsoft selv er blevet kompromitteret. Kombilister får ofte navn efter et brand, en tjeneste eller et tema for at hjælpe købere og kriminelle fora med at organisere stjålne data, selv når legitimationsoplysningerne er hentet fra urelaterede kilder og blot ompakket.

Den navngivningskonvention kan være vildledende for almindelige iagttagere, men det gør ikke de underliggende data mindre anvendelige. Angribere indlæser kombilister i automatiserede værktøjer og kører dem mod bankwebsteder, e-mailudbydere, streamingtjenester og virksomhedslogins i en teknik kendt som credential stuffing. Hvis blot en håndfuld af de 140 optegnelser i dette læk bruger adgangskoder, der stadig er aktive andre steder, er disse konti i fare, uanset om Microsofts egne systemer nogensinde har været berørt.

Dette mønster med genbrug af legitimationsoplysninger er en del af et meget større økosystem. Større, overskriftskabende hændelser som ShinyHunters' vishing-angreb, der ramte Charter og afslørede omkring 40 millioner optegnelser, forsyner den samme undergrundsforsyningskæde, som små kombilister som denne trækker på. Stjålne legitimationsoplysninger forbliver sjældent begrænset til ét læk; de bliver bundtet, videresolgt og kombineret til nye lister i årevis efter det oprindelige tyveri.

Hvorfor Microsoft-brandede trusler bliver ved med at dukke op

Microsofts økosystem, der spænder over Outlook, Microsoft 365, Azure og Windows, er et konstant mål alene på grund af sin størrelse. Angribere ved, at en fungerende Microsoft-legitimationsoplysning ofte giver adgang til e-mail, cloud-lager og forretningsapplikationer på én gang, hvilket gør det til et højværdimål for både individuelle svindlere og organiserede trusselsaktører.

Det er også grunden til, at Microsoft-temaangreb har en tendens til at eskalere ud over simple adgangskodelæk. Separat rapportering har detaljeret, hvordan trusselsaktøren sporet som Storm-2949 udnyttede Microsoft 365's adgangskodenulstillingsprocesser til at dræne cloud-data, hvilket viser, hvordan en enkelt genbrugt eller lækket adgangskode kan blive indgangsporten til en meget mere skadelig indtrængen. Legitimationslækager og konto-overtagelseskampagner har en tendens til at forstærke hinanden: lækkede adgangskoder muliggør nulstillinger og kontoadgang, og vellykkede indtrængninger genererer nye stjålne data, der i sidste ende ender i den næste kombiliste.

Det er også værd at huske, at stjålne legitimationsoplysninger i stigende grad føder afpresningsoperationer. Forskning dækket andetsteds har bemærket, at en ny ransomware-gruppe dannes næsten ugentligt, og mange af disse grupper er afhængige af købte eller lækkede legitimationsoplysninger for at få indledende adgang, inden de implementerer ransomware. En kombiliste med 140 optegnelser kan se ubetydelig ud isoleret set, men den er en del af det råmateriale, der holder denne bredere kriminelle økonomi i gang.

Hvad dette betyder for dig

Hvis du bruger en Microsoft-konto eller en hvilken som helst konto, hvor du har genbrugt en adgangskode, er den praktiske risiko ikke det specifikke kombilistenavn. Det er, om din nuværende adgangskode optræder nogen steder i et lækket datasæt. Værktøjer som HEROIC's gratis lækagescanner findes netop af denne grund: de lader dig søge på tværs af milliarder af eksponerede optegnelser for at se, om din e-mailadresse eller adgangskode er dukket op i et læk, uden at du selv behøver at opspore hver enkelt hændelse.

Den sikreste antagelse er, at enhver adgangskode, du har brugt mere end én gang, især på et ældre eller mindre sikkert websted, allerede er blevet kompromitteret et eller andet sted. Kombilister som denne er blot det seneste bevis på, at genbrugte legitimationsoplysninger forbliver en af de nemmeste måder for angribere at få adgang på.

Praktiske skridt at tage nu

  • Kør din e-mailadresse gennem et velrenommeret lækagekontrolværktøj for at se, om den optræder i kendte læk eller kombilister.
  • Skift enhver adgangskode, der er blevet genbrugt på tværs af flere websteder, med prioritet på e-mail-, bank- og cloud-konti.
  • Aktivér multifaktor-godkendelse, hvor det er tilgængeligt, især på Microsoft-, Google- og finansielle konti.
  • Brug en adgangskodeadministrator til at generere unikke, komplekse adgangskoder, så en enkelt lækket legitimationsoplysning ikke kan låse flere konti op.
  • Overvåg dine konti regelmæssigt i stedet for at antage, at en engangskontrol er nok, da nye kombilister dukker op jævnligt.

Små læk som Microsoft 42-kombilisten kommer sjældent på de store overskrifter, men de er en nyttig påmindelse om, at god legitimationshygiejne er lige så vigtig efter et læk kommer i nyhederne, som når intet tilsyneladende sker.