En liten lekkasje med et velkjent navn

En kombioliste merket "Microsoft 42" dukket nylig opp på nettet, med 140 eksponerte påloggingsoppføringer, ifølge HEROICs overvåkningsverktøy for mørkenettet. Selskapet, som vedlikeholder en database med mer enn 400 milliarder lekkerte oppføringer, flagget filen som en del av sin løpende overvåking av kombiolister som sirkulerer i underjordiske forum og markedsplasser.

Sammenlignet med brudd som avslører millioner av kontoer, kan 140 oppføringer høres ubetydelige ut. Men størrelsen på en kombioliste har lite å gjøre med faren den utgjør for personene hvis påloggingsinformasjon den inneholder. Det som betyr noe, er om disse e-post- og passordparene fortsatt fungerer, og hvor mange andre kontoer som deler det samme gjenbrukte passordet.

Hva en kombioliste faktisk er (og hvorfor navnet teller)

En kombioliste er en ren tekstfil som kobler e-postadresser eller brukernavn med passord, vanligvis hentet fra tidligere brudd, phishing-kampanjer eller skadevareinfeksjoner snarere enn fra et enkelt ferskt hack. Betegnelsen "Microsoft 42" betyr ikke nødvendigvis at Microsoft selv ble brutt. Kombiolister blir ofte navngitt etter et merke, en tjeneste eller et tema for å hjelpe kjøpere og kriminelle forum med å organisere stjålne data, selv når påloggingsinformasjonen er hentet fra urelaterte kilder og bare pakket om.

Denne navnkonvensjonen kan være misvisende for tilfeldige observatører, men det gjør ikke de underliggende dataene mindre brukbare. Angripere laster kombiolister inn i automatiserte verktøy og kjører dem mot banksider, e-postleverandører, strømmetjenester og bedriftspålogginger i en teknikk kjent som credential stuffing. Hvis bare en håndfull av de 140 oppføringene i denne lekkasjen bruker passord som fortsatt er aktive andre steder, er disse kontoene i fare uavhengig av om Microsofts egne systemer noen gang ble berørt.

Dette mønsteret av gjenbruk av påloggingsinformasjon er en del av et mye større økosystem. Større, overskriftsskapende hendelser som ShinyHunters vishing-angrep som rammet Charter og avslørte omtrent 40 millioner oppføringer forsyner den samme underjordiske forsyningskjeden som små kombiolister som denne henter fra. Stjålet påloggingsinformasjon forblir sjelden isolert til én lekkasje; de blir pakket sammen, videresolgt og rekombinert til nye lister i årevis etter det opprinnelige tyveriet.

Hvorfor Microsoft-merkede trusler stadig dukker opp igjen

Microsofts økosystem, som spenner over Outlook, Microsoft 365, Azure og Windows, er et konstant mål rett og slett på grunn av omfanget. Angripere vet at en fungerende Microsoft-pålogging ofte låser opp e-post, skylagring og forretningsapplikasjoner samtidig, noe som gjør den til et høyverdimål for både individuelle svindlere og organiserte trusselaktører.

Det er også grunnen til at Microsoft-tema-angrep har en tendens til å eskalere utover enkle passordlekkasjer. Separat rapportering har detaljert hvordan trusselaktøren sporet som Storm-2949 utnyttet Microsoft 365s tilbakestillingsflyt for passord for å tømme skydata, og viste hvordan et enkelt gjenbrukt eller lekket passord kan bli inngangspunktet for en mye mer skadelig inntrengning. Legitimasjonslekkasjer og kampanjer for kontoovertakelse har en tendens til å forsterke hverandre: lekkerte passord muliggjør tilbakestilling og kontotilgang, og vellykkede inntrengninger genererer nye stjålne data som til slutt havner i den neste kombiolisten.

Det er også verdt å huske at stjålet påloggingsinformasjon i økende grad mater utpressingsoperasjoner. Forskning dekket andre steder har bemerket at en ny løsepengevaregruppe dannes omtrent på ukentlig basis, og mange av disse gruppene er avhengige av kjøpt eller lekket påloggingsinformasjon for å få innledende tilgang før de distribuerer løsepengevare. En kombioliste med 140 oppføringer kan se liten ut isolert sett, men den er en del av råmaterialet som holder denne bredere kriminelle økonomien i gang.

Hva dette betyr for deg

Hvis du bruker en Microsoft-konto, eller en konto der du har gjenbrukt et passord, er den praktiske risikoen ikke det spesifikke kombiolistenavnet. Det er om ditt nåværende passord dukker opp noe sted i et lekket datasett. Verktøy som HEROICs gratis bruddskanner finnes nettopp av denne grunn: de lar deg søke på tvers av milliarder av eksponerte oppføringer for å se om e-postadressen eller passordet ditt har dukket opp i en lekkasje, uten at du trenger å spore opp hver enkelt hendelse selv.

Den tryggeste antagelsen er at ethvert passord du har brukt mer enn én gang, spesielt på et eldre eller mindre sikkert nettsted, allerede har blitt kompromittert et sted. Kombiolister som denne er bare det siste beviset på at gjenbrukt påloggingsinformasjon forblir en av de enkleste måtene for angripere å komme seg inn på.

Praktiske grep å ta nå

  • Kjør e-postadressen din gjennom et anerkjent bruddsjekkverktøy for å se om den dukker opp i kjente lekkasjer eller kombiolister.
  • Bytt alle passord som har blitt gjenbrukt på tvers av flere nettsteder, og prioriter e-post, bank og skylagringskontoer.
  • Aktiver flerfaktorautentisering der det er tilgjengelig, spesielt på Microsoft-, Google- og finanskontoer.
  • Bruk en passordbehandler for å generere unike, komplekse passord slik at en enkelt lekket påloggingsinformasjon ikke kan låse opp flere kontoer.
  • Overvåk kontoene dine regelmessig i stedet for å anta at en engangssjekk er nok, siden nye kombiolister dukker opp jevnlig.

Små lekkasjer som Microsoft 42-kombiolisten kommer sjelden i de store overskriftene, men de er en nyttig påminnelse om at legitimasjonshygiene betyr like mye etter at en lekkasje kommer i nyhetene som når ingenting ser ut til å skje i det hele tatt.