En Crunchbase-brudd-oppføring i Have I Been Pwned har plassert 559 908 e-postadresser i en søkbar offentlig database. Ifølge TechNadus rapportering ble adressene lagt til varslingstjenesten 14. oktober 2026, og adressene tilhører i stor grad leads og forretningskontakter. Oppføringen følger et «betal eller lek»-utpressingsforsøk fra ShinyHunters-gruppen i januar 2026.
Hvis du noen gang har registrert deg på Crunchbase, blitt lagt inn i salgspipelinen deres, eller utvekslet e-poster med noen som jobber der, er det verdt en rask sjekk.
Hva ble lekket, og hvordan ShinyHunters kom hit
Crunchbase er et privat selskap kjent for sin database med forretnings- og oppstartsinformasjon. Ifølge rapporten tilhører de 559 908 e-postadressene som nå er i Have I Been Pwned (HIBP), i stor grad leads og forretningskontakter, ikke vanlige forbrukerkontoer. HIBP lister også opp flere datatyper i sin oppføring for hendelsen. Utdraget vi gjennomgikk, spesifiserer ikke hvert felt, så HIBP-oppføringen selv er det beste stedet for å se nøyaktig hva som ble eksponert.
Tidslinjen er viktig. I januar 2026 rettet ShinyHunters seg mot Crunchbase med det rapporten kaller et «betal eller lek»-utpressingsforsøk. Gruppen sa at dataene den angivelig skaffet seg, utgjorde mer enn 2 millioner poster. Oppføringen i oktober tyder på at tvisten endte med at dataene sirkulerte, selv om utdraget av rapporten ikke beskriver hvordan eller hvor de ble publisert.
Merk gapet mellom tallene. De 559 908 adressene i HIBP er ikke det samme som gruppens påstand om over 2 millioner poster. Poster og unike e-postadresser er forskjellige ting, og HIBPs telling gjenspeiler det som ble lastet inn i databasen deres. Utpressingsgrupper kommer ofte med store påstander, så tallene bør behandles som separate inntil mer informasjon kommer frem.
Dette er et kjent mønster. Vår dekning av hvordan Gentlemen-ransomwaregruppen listet opp krav mot MoneyGram, Deloitte og KFC viser hvordan løsepengefrister og offentlige påstander brukes som pressmiddel, og hvorfor fravær eller tilstedeværelse av dataprøver er viktig når man vurderer om en påstand er ekte.
Hvordan sjekke om e-posten din er i Have I Been Pwned
Sjekken tar mindre enn ett minutt:
- Gå til nettstedet Have I Been Pwned og skriv inn e-postadressen din i søkefeltet.
- Gå gjennom listen over brudd som vises. Hvis Crunchbase er blant dem, var adressen din i de lekkede dataene.
- Åpne Crunchbase-oppføringen for å se hvilke datatyper som ble eksponert sammen med adressen din.
- Gjenta søket for hver adresse du bruker, spesielt jobbadresser og eldre adresser fra tidligere jobber.
En detalj mange overser: fordi denne lekkasjen i stor grad består av forretningskontakter, er jobb-e-posten din mer sannsynlig å dukke opp enn en personlig. Sjekk begge. Du kan også bruke HIBPs varslingsfunksjon, slik at du blir varslet hvis adressen din dukker opp i fremtidige brudd.
Et rent resultat er ikke en garanti for sikkerhet. HIBP dekker bare brudd som er lastet inn i tjenesten, så det er et nyttig signal, ikke en fullstendig revisjon av eksponeringen din.
Hvorfor eksponerte forretningskontakter står overfor målrettet phishing
En lekket liste over forretningskontakter er verdifull for angripere av en spesifikk grunn: den forteller dem hvem som jobber hvor, og hvem som kan være et salgslead, en kjøper eller en beslutningstaker. Denne konteksten gjør svindel mer overbevisende enn generisk spam.
Forvent meldinger som refererer til rollen din, bransjen din eller et plausibelt leverandørforhold. En e-post som ser ut til å komme fra en dataleverandør, en potensiell kunde eller en finanskontakt, er mer sannsynlig å bli åpnet når avsenderen ser ut til å kjenne virksomheten din. E-poster som oppfordrer deg til å «bekrefte kontoen din», åpne en faktura eller flytte en samtale til en annen kanal, fortjener ekstra mistanke.
Den andre risikoen er credential stuffing. Hvis noen av de eksponerte dataene inkluderer passord, eller hvis du gjenbrukte et Crunchbase-passord andre steder, kan angripere prøve den samme kombinasjonen av e-post og passord på tvers av andre tjenester. Gjenbrukte passord gjør ett enkelt brudd til mange.
Utpressingsgjenger er også knyttet til et bredere kriminelt økosystem. Nylig politiaktivitet, som beslagleggelsen av hackingplattformer og overføringen av en ransomware-mistenkt til Tyskland, viser at presset mot denne verdenen øker, men lekkede data har en tendens til å fortsette å sirkulere lenge etter at den opprinnelige gruppen er slått ut.
Hva dette betyr for deg
Hvis adressen din er i Crunchbase-dataene, er e-posten din alene ikke en katastrofe. Den praktiske risikoen er at du blir et enklere mål for overbevisende, personlige meldinger. Hvis du leder et team, gjelder det samme for kolleger hvis adresser dukker opp i lekkasjen, siden angripere kan utgi seg for å være deg for å nå dem.
Tiltak du bør ta hvis e-posten din ble eksponert
- Bytt Crunchbase-passord hvis du har en konto, og bytt det overalt hvor du har gjenbrukt det.
- Bruk en passordbehandler for å lage et unikt passord for hver tjeneste, slik at ett brudd ikke kan låse opp et annet.
- Slå på flerfaktorautentisering, helst med en autentiseringsapp eller en maskinvarenøkkel i stedet for SMS.
- Bekreft uventede forespørsler gjennom en annen kanal. Hvis en e-post ber om betaling, påloggingsinformasjon eller sensitive filer, bekreft via et telefonnummer eller en kanal du allerede stoler på, ikke en som er oppgitt i meldingen.
- Varsle IT- eller sikkerhetsteamet ditt hvis en jobbadresse er berørt, slik at de kan være på vakt for impersoneringsforsøk.
- Vær forsiktig med lenker og vedlegg i meldinger som refererer til jobben eller selskapet ditt, selv om avsenderen ser kjent ut.
Konklusjonen
Crunchbase-brudd-oppføringen i Have I Been Pwned er en påminnelse om at et utpressingsforsøk kan ende i en offentlig lekkasje måneder senere. Søk opp både personlige og jobbrelaterte e-postadresser i Have I Been Pwned i dag, og gå deretter gjennom beskyttelsestiltakene ovenfor. For mer kontekst om hvordan presskampanjer som denne utspiller seg, les vår dekning av Gentlemen-ransomware-påstandene som er lenket tidligere i denne artikkelen.
FAQ: Q1: Hva er Crunchbase-bruddet, og hvor mange e-poster ble berørt? A1: Crunchbase-bruddet la til 559 908 e-postadresser i Have I Been Pwned. Adressene tilhører i stor grad leads og forretningskontakter, og ble lagt til varslingstjenesten 14. oktober 2026. Q2: Hvem sto bak Crunchbase-bruddet? A2: Oppføringen følger et «betal eller lek»-utpressingsforsøk fra ShinyHunters-gruppen i januar 2026. Gruppen hevdet at dataene den angivelig skaffet seg, utgjorde mer enn 2 millioner poster. Q3: Hvorfor viser HIBP 559 908 adresser når ShinyHunters hevdet over 2 millioner poster? A3: Poster og unike e-postadresser er forskjellige ting, og HIBPs telling gjenspeiler det som ble lastet inn i databasen deres. Utpressingsgrupper kommer ofte med store påstander, så tallene bør behandles som separate. Q4: Hvordan sjekker jeg om e-posten min ble berørt av Crunchbase-bruddet? A4: Gå til nettstedet Have I Been Pwned, skriv inn e-postadressen din i søkefeltet og gå gjennom listen over brudd. Hvis Crunchbase vises, var adressen din i de lekkede dataene, og du kan åpne oppføringen for å se hvilke datatyper som ble eksponert. Q5: Er jobb-e-posten min mer sannsynlig å bli berørt enn den personlige e-posten min? A5: Ja, fordi denne lekkasjen i stor grad består av forretningskontakter, er jobb-e-posten din mer sannsynlig å dukke opp enn en personlig. Det er verdt å sjekke begge. ---END---
 viser hvordan et enkelt inntrengningsforsøk hos en administrator kan nå langt flere mennesker enn organisasjonene som opprinnelig samlet inn informasjonen. Lesere kan også se hvordan en [DentaQuest-varslingsinnsats nådde 15 millioner pasienter](/en/dentaquest-breach-notices-reach-15-million-patients) i varslene som fulgte.
## Dine rettigheter til datalagring under PIPEDA
Canadas føderale personvernlov for privat sektor, Personal Information Protection and Electronic Documents Act (PIPEDA), er rammeverket mange canadiere vender seg til når de vil vite hva en organisasjon har registrert om dem. CBC-artikkelens sammendrag sier ikke hvilke lover som gjelder for Crime Stoppers-saken, så denne delen er generell veiledning snarere enn en juridisk vurdering av denne hendelsen.
Generelt er PIPEDA bygget rundt prinsipper som å begrense innsamling, begrense lagring og beskytte personopplysninger. Enkeltpersoner kan vanligvis spørre en organisasjon om hvilke personopplysninger den har om dem, og kan ta opp bekymringer med organisasjonens personvernansvarlige. Hvis svaret er utilfredsstillende, kan en klage sendes til Office of the Privacy Commissioner of Canada.
Spørsmålet om lagring er sentralt her. CBCs funn om at tiår med sensitive opptegnelser ble feilaktig oppbevart, er nettopp den typen problem lagringsbegrensninger er ment å håndtere: data som ikke lenger tjener et formål, er en risiko som venter på et inntrengningsforsøk.
## Hvordan begrense det du deler med tredjepartstjenester
Du kan ikke revidere en leverandørs database, men du kan kontrollere hva som havner i den. Disse vanene reduserer eksponeringen din:
- **Del bare det som er nødvendig.** Hvis du sender inn et tips, hold deg til fakta om hendelsen. Utelat ditt eget navn, arbeidssted, forhold til personene som er involvert, eller detaljer bare du ville vite.
- **Unngå identifiserende sidedetaljer.** Skrivestil, tidspunkt og detaljer om hvordan du fikk vite noe, kan peke tilbake til deg selv uten et navn.
- **Bruk en enhet og et nettverk du er komfortabel med.** En VPN kan skjule IP-adressen din for et nettsted, men gjør ingenting med det du skriver inn i et skjema, så det er ikke en erstatning for nøye ordvalg.
- **Spør hvem som driver tjenesten.** Mange offentlige programmer er avhengige av eksterne plattformer. Deres personvernerklæring bør si hvem som behandler opplysningene dine og hvor lenge.
- **Anta at lagrede data kan lekke.** Behandle ethvert skjema du fyller ut som noe som en dag kan bli offentlig.
## Hva dette betyr for deg
Hvis du noen gang har sendt inn et tips til et Crime Stoppers-program, er CBCs funn en grunn til å gjennomgå hva du inkluderte, ikke en grunn til panikk. Hvorvidt et bestemt tips kan spores til en person, avhenger av innholdet, og etterforskningen pågår fortsatt. Hvis du er bekymret, bør du vurdere å kontakte det aktuelle programmet eller Office of the Privacy Commissioner of Canada for å spørre hvilke opplysninger som oppbevares og hvordan de beskyttes.
Mer generelt viser denne saken at anonymitet er en egenskap ved hele systemet, ikke bare innsendingsskjemaet. Store datainnbrudd kan ofte spores tilbake til en leverandør, som sett i hendelser som [ShinyHunters' påstand om FBI-tilknyttede data](/en/shinyhunters-claims-fbi-hack-denies-financial-motive), der flere selskaper ble navngitt i forbindelse med det påståtte tyveriet.
## Viktige punkter
- CBC rapporterer at mer enn 1,5 millioner canadiske Crime Stoppers-tips er lekket, og Kingston Police sier at en hacker tok 100 000 dokumenter i en hendelse i 2025.
- CBCs analyse tyder på at tipsernes identiteter ikke var beskyttet, at personopplysninger ikke var redigert bort, og at tiår med opptegnelser ble oppbevart.
- Anonymiteten ved Crime Stoppers-datainnbruddet avhenger av hvordan leverandører lagrer og renser data, ikke bare av hva et skjema lover.
- Spør enhver organisasjon du har med å gjøre hvilke personopplysninger den oppbevarer, hvem som behandler dem, og hvor lenge. Du kan ha rettigheter til denne informasjonen under PIPEDA.
- Fortsett å lese vår dekning av datainnbrudd som involverer tredjepartsadministratorer, inkludert DentaQuest-varslingssaken lenket ovenfor, for å se hvordan disse sviktene gjentar seg.](/api/img?p=articles%2F8251%2Fimage-0.jpg&w=640)