Egy Crunchbase adatszivárgás Have I Been Pwned bejegyzése 559 908 e-mail-címet tett egy kereshető nyilvános adatbázisba. A TechNadu beszámolója szerint az adatokat 2026. október 14-én adták hozzá az adatszivárgási értesítő szolgáltatáshoz, és a címek nagy része potenciális ügyfelekhez és üzleti kapcsolattartókhoz tartozik. A bejegyzés egy 2026 januári, a ShinyHunters csoport által végrehajtott „fizess vagy kiszivárogtatunk" zsarolási kísérletet követ.

Ha valaha regisztráltál a Crunchbase-re, bekerültél az értékesítési folyamatába, vagy e-mailt váltottál valakivel, aki ott dolgozik, érdemes egy gyors ellenőrzést végezni.

Mi szivárgott ki, és hogyan jutott el idáig a ShinyHunters

A Crunchbase egy magántulajdonban lévő vállalat, amely üzleti és startup-információk adatbázisáról ismert. A jelentés szerint az 559 908 e-mail-cím, amely most a Have I Been Pwned (HIBP) oldalán szerepel, nagyrészt potenciális ügyfelekhez és üzleti kapcsolattartókhoz tartozik, nem hétköznapi fogyasztói fiókokhoz. A HIBP további adattípusokat is felsorol az incidenshez kapcsolódó bejegyzésében. Az általunk áttekintett részlet nem sorolja fel az összes mezőt, ezért a HIBP bejegyzése a legjobb hely annak megtekintéséhez, hogy pontosan mi került nyilvánosságra.

Az idővonal számít. 2026 januárjában a ShinyHunters a Crunchbase-t vette célba egy olyan zsarolási kísérlettel, amelyet a jelentés „fizess vagy kiszivárogtatunk" akciónak nevez. A csoport azt állította, hogy az általa állítólag megszerzett adatok több mint 2 millió rekordot tettek ki. Az októberi bejegyzés arra utal, hogy a vita az adatok forgalomba kerülésével zárult, bár a jelentés részlete nem fejti ki, hogyan vagy hol történt a közzététel.

Figyeljük meg a számok közötti eltérést. Az 559 908 cím a HIBP-n nem ugyanaz, mint a csoport több mint 2 millió rekordra vonatkozó állítása. A rekordok és az egyedi e-mail-címek különböző dolgok, és a HIBP száma azt tükrözi, ami az adatbázisába bekerült. A zsaroló csoportok gyakran tesznek nagy állításokat, ezért a számokat külön kell kezelni, amíg több részlet nem derül ki.

Ez egy ismerős minta. A Gentlemen zsarolóvírus-csoport MoneyGram, Deloitte és KFC állításainak listázásáról szóló tudósításunk megmutatja, hogyan használják a váltságdíj-határidőket és a nyilvános állításokat nyomásgyakorlásra, és hogy miért számít az adatminták hiánya vagy jelenléte annak megítélésekor, hogy egy állítás valós-e.

Hogyan ellenőrizheted, hogy az e-mail-címed szerepel-e a Have I Been Pwned oldalán

Az ellenőrzés kevesebb mint egy percet vesz igénybe:

  1. Menj a Have I Been Pwned weboldalára, és írd be az e-mail-címedet a keresőmezőbe.
  2. Nézd át a megjelenő adatszivárgások listáját. Ha a Crunchbase is köztük van, a címed szerepelt a kiszivárgott adatokban.
  3. Nyisd meg a Crunchbase bejegyzést, hogy lásd, milyen adattípusok kerültek nyilvánosságra a címeddel együtt.
  4. Ismételd meg a keresést minden általad használt címre, különösen a munkahelyi címekre és a korábbi munkahelyekről származó régebbiekre.

Egy részlet, amelyet sokan figyelmen kívül hagynak: mivel ez a szivárgás nagyrészt üzleti kapcsolattartókból áll, a munkahelyi e-mail-címed nagyobb valószínűséggel jelenik meg, mint egy személyes. Ellenőrizd mindkettőt. Használhatod a HIBP értesítési funkcióját is, hogy értesítést kapj, ha a címed a jövőbeni adatszivárgásokban felbukkan.

A tiszta eredmény nem garancia a biztonságra. A HIBP csak azokat az adatszivárgásokat fedi le, amelyeket betöltöttek az adatbázisába, így hasznos jelzés, de nem teljes körű auditja a kitettségednek.

Miért néznek személyre szabott adathalász támadások elé a nyilvánosságra került üzleti kapcsolattartók

Egy kiszivárgott üzleti kapcsolattartói lista azért értékes a támadók számára, mert megmondja nekik, ki hol dolgozik, és ki lehet potenciális ügyfél, vevő vagy döntéshozó. Ez a kontextus meggyőzőbbé teszi a csalásokat, mint az általános spam.

Számíts olyan üzenetekre, amelyek a beosztásodra, az iparágadra vagy egy hihető szállítói kapcsolatra hivatkoznak. Egy olyan e-mailt, amely látszólag egy adatszolgáltatótól, egy potenciális ügyféltől vagy egy pénzügyi kapcsolattartótól érkezik, nagyobb valószínűséggel nyitnak meg, ha a feladó úgy tűnik, ismeri a vállalkozásodat. Az olyan e-mailek, amelyek arra sürgetnek, hogy „igazold a fiókodat", nyiss meg egy számlát, vagy helyezd át a beszélgetést egy másik csatornára, különös gyanakvást érdemelnek.

A második kockázat a hitelesítő adatok újrafelhasználása (credential stuffing). Ha a nyilvánosságra került adatok bármelyike tartalmaz jelszavakat, vagy ha a Crunchbase jelszavadat máshol is újrahasználtad, a támadók ugyanazt az e-mail- és jelszókombinációt próbálhatják ki más szolgáltatásokon. Az újrahasznált jelszavak egyetlen adatszivárgást sokká alakítanak.

A zsarolóbandák egy szélesebb bűnözői ökoszisztémához is kapcsolódnak. A közelmúltbeli bűnüldözési tevékenység, például a hackelőplatformok lefoglalása és egy zsarolóvírus-gyanúsított Németországba szállítása, azt mutatja, hogy a nyomás erre a világra növekszik, de a kiszivárgott adatok hajlamosak tovább keringeni, jóval azután is, hogy az eredeti csoportot felszámolták.

Mit jelent ez számodra

Ha a címed szerepel a Crunchbase adataiban, az e-mail-címed önmagában nem katasztrófa. A gyakorlati kockázat az, hogy könnyebb célponttá válsz meggyőző, személyre szabott üzenetek számára. Ha csapatot vezetsz, ugyanez vonatkozik azokra a kollégákra is, akiknek a címei megjelennek a szivárgásban, mivel a támadók megszemélyesíthetnek téged, hogy elérjék őket.

Teendők, ha az e-mail-címed nyilvánosságra került

  • Változtasd meg a Crunchbase jelszavadat, ha van fiókod, és változtasd meg mindenhol, ahol újrahasználtad.
  • Használj jelszókezelőt, hogy minden szolgáltatáshoz egyedi jelszót hozz létre, így egy adatszivárgás nem nyithatja ki a többit.
  • Kapcsold be a többtényezős hitelesítést, lehetőleg hitelesítő alkalmazással vagy hardverkulccsal, ne SMS-sel.
  • Váratlan kéréseket a megszokott csatornától eltérően ellenőrizz. Ha egy e-mail fizetést, hitelesítő adatokat vagy érzékeny fájlokat kér, erősítsd meg egy olyan telefonszámon vagy csatornán keresztül, amelyben már megbízol, nem pedig az üzenetben megadott úton.
  • Értesítsd az IT- vagy biztonsági csapatodat, ha egy munkahelyi cím érintett, hogy figyelhessék a megszemélyesítési kísérleteket.
  • Légy óvatos a linkekkel és mellékletekkel az olyan üzenetekben, amelyek a munkádra vagy a vállalatodra hivatkoznak, még akkor is, ha a feladó ismerősnek tűnik.

A lényeg

A Crunchbase adatszivárgás Have I Been Pwned bejegyzése emlékeztető arra, hogy egy zsarolási kísérlet hónapokkal később nyilvános szivárgással végződhet. Keresd meg személyes és munkahelyi e-mail-címeidet a Have I Been Pwned oldalán még ma, majd dolgozd végig a fenti védelmi lépéseket. Ha több kontextust szeretnél arról, hogyan bontakoznak ki az ilyen nyomásgyakorló kampányok, olvasd el a cikkben korábban hivatkozott Gentlemen zsarolóvírus-állításokról szóló tudósításunkat.