En comboliste opkaldt efter Proton dukker op på Telegram

En fil, der cirkulerer på Telegram under navnet "protonmail.de - 17.570 emails", har vakt opmærksomhed hos forskere, der overvåger undergrundens datamarkeder. Ifølge analytikere hos HEROIC dukkede combolisten op den 10. juni og indeholder 17.570 stjålne loginoplysninger knyttet til domænet protonmail.de. Combolister som denne er samlede lister over brugernavne og adgangskoder, ofte hentet fra ældre brud, malwareinfektioner eller credential-stuffing-forsøg og derefter pakket om til videresalg eller gratis distribution på dark web-fora og beskedplatforme.

Det er værd at dvæle ved selve domænet. Protons flagskibs-mailtjeneste opererer primært under protonmail.com og proton.me, ikke protonmail.de. Denne skelnen er vigtig, fordi den former, hvor alvorligt brugerne bør tolke lækket. En comboliste, der bærer et domænenavn, betyder ikke automatisk, at domænets servere blev kompromitteret. I mange tilfælde sammensættes disse filer af legitimationsoplysninger, der er høstet andetsteds, og derefter mærker angriberne dem efter den tjeneste, som login'et angiveligt låser op. Uanset om protonmail.de-legitimationsoplysningerne stammer fra et direkte kompromittering, en phishing-kampagne eller genbrugte data fra stealer-malwarelogs, er den praktiske risiko for de berørte brugere den samme: eksponerede adgangskoder, der kan testes mod andre konti.

Hvorfor combolister er farligere end de lyder

En liste med 17.570 legitimationsoplysninger kan virke lille sammenlignet med brud, der skaber overskrifter med millioner af poster. Men combolister er særligt farlige på grund af den måde, de bliver brugt på. Angribere føder rutinemæssigt disse filer ind i automatiserede credential-stuffing-værktøjer, der afprøver hver kombination af brugernavn og adgangskode på tværs af snesevis af andre websites og tjenester. Hvis nogen genbrugte deres protonmail.de-adgangskode på et netbank-site, en shopping-konto eller et arbejdslogin, kan den ene lækkede legitimationsoplysning åbne flere døre på én gang.

Det er også grunden til, at værktøjer til overvågning af brud betyder noget. Tjenester som HEROICs gratis brud-scanner tjekker e-mailadresser mod en database, der beskrives som indeholdende mere end 400 milliarder brudte og lækkede poster, der spænder over combolister, stealer-logs og andre undergrundsdatakilder. At køre din e-mail gennem en scanner som denne er en hurtig måde at finde ud af, om dine legitimationsoplysninger optræder i et kendt læk, herunder læk knyttet til mindre eller mindre kendte domæner, der aldrig når de almindelige nyheder.

Gentænkning af e-mailsikkerhed efter et læk som dette

For alle, der bruger en e-mailadresse, der er dukket op i dette eller et lignende læk, bør reaktionen være ligetil: skift adgangskode med det samme, og skift den alle andre steder, den blev genbrugt. Genbrug af adgangskoder er stadig en af de mest almindelige årsager til, at en enkelt lækket legitimationsoplysning udvikler sig til et bredere kompromittering. Hvis du stoler på hukommelsen eller en huskeklap i stedet for en adgangskodehåndtering, kan værktøjer som Proton Pass generere og gemme unikke legitimationsoplysninger til hver konto og fjerne fristelsen til at genbruge en adgangskode på tværs af tjenester.

Denne hændelse er også et godt tidspunkt at evaluere, hvilken e-mailudbyder du betror din indbakke. Privatlivsfokuserede tjenester adskiller sig gennem krypteringsstandarder, dataopbevaringspolitikker og hvor hurtigt de offentliggør hændelser for brugerne. Udbytere som Tuta, Mailfence og StartMail tager hver især lidt forskellige tilgange til ende-til-ende-kryptering og kontosikkerhed, og at sammenligne dem kan hjælpe dig med at beslutte, om din nuværende udbyder stadig opfylder dine behov.

Hvad dette betyder for dig

Hvis du nogensinde har brugt en e-mailadresse på domænet protonmail.de, eller hvis du blot ønsker ro i sindet, er det klogeste første skridt at tjekke, om din adresse optræder i dette læk eller noget andet. Brud-scannere, der trækker på store databaser med combolister og stealer-logs, kan afsløre eksponeringer, du ellers aldrig ville høre om, da ikke alle læk får mediedækning. Ud over at tjekke er dette også en nyttig anledning til at revidere din generelle adgangskodehygiejne. Aktivér tofaktorautentifikation alle steder, hvor det tilbydes, undgå at genbruge adgangskoder på tværs af konti, og behandl enhver e-mail, der er knyttet til finansielle logins eller arbejdslogins, som et højt prioriteret mål for stærkere beskyttelse.

Handlingsrettede konklusioner

  • Kør din e-mailadresse gennem en velrenommeret brud-scanner for at tjekke for eksponering knyttet til protonmail.de-lækket eller andre combolister.
  • Hvis dine legitimationsoplysninger optræder nogen steder, skal du skifte den pågældende adgangskode med det samme og opdatere den på enhver anden konto, hvor den blev genbrugt.
  • Tag en adgangskodehåndtering i brug for at generere unikke, komplekse adgangskoder til hver tjeneste, du bruger.
  • Slå tofaktorautentifikation til for e-mail og enhver konto, der indeholder følsomme personlige eller finansielle data.
  • Gennemgå med jævne mellemrum, hvilken krypteret e-mailudbyder du stoler på, da sikkerhedsfunktioner og håndtering af hændelser varierer meget mellem tjenester.

Datalæk, der involverer combolister, forsvinder næppe foreløbigt, men at holde sig informeret og handle hurtigt, når dine oplysninger dukker op i ét, er stadig det mest pålidelige forsvar, der er tilgængeligt for almindelige brugere.