En comboliste oppkalt etter Proton dukker opp på Telegram

En fil som sirkulerer på Telegram under navnet «protonmail.de - 17.570 e-poster» har vakt oppmerksomhet hos forskere som overvåker underjordiske datamarkeder. Ifølge analytikere hos HEROIC dukket combolisten opp 10. juni og inneholder 17 570 stjålne påloggingsdetaljer knyttet til domenet protonmail.de. Combolister som denne er samlinger av brukernavn og passord, ofte satt sammen fra eldre datainnbrudd, skadevareinfeksjoner eller forsøk på såkalt credential stuffing, og deretter ompakket for videresalg eller gratis distribusjon på mørkenettforumer og meldingsplattformer.

Det er verdt å stoppe opp ved selve domenet. Protons flaggskip-e-posttjeneste opererer hovedsakelig under protonmail.com og proton.me, ikke protonmail.de. Denne forskjellen er viktig fordi den påvirker hvor alvorlig brukerne bør tolke lekkasjen. En comboliste som bærer et domenenavn betyr ikke automatisk at serverne til domenet ble kompromittert. I mange tilfeller er disse filene satt sammen av påloggingsdetaljer som er høstet fra andre steder, og deretter merket av angriperne etter tjenesten som innloggingen angivelig låser opp. Uansett om påloggingsdetaljene for protonmail.de kom fra et direkte innbrudd, en phishing-kampanje eller gjenbrukte data fra stjeler-malware-logger, er den praktiske risikoen for berørte brukere den samme: eksponerte passord som kan testes mot andre kontoer.

Hvorfor combolister er farligere enn de høres ut som

En liste med 17 570 påloggingsdetaljer kan virke liten sammenlignet med datainnbrudd som skaper overskrifter med millioner av poster. Men combolister er spesielt farlige på grunn av måten de brukes på. Angripere mater rutinemessig disse filene inn i automatiserte credential-stuffing-verktøy som prøver hver kombinasjon av brukernavn og passord på dusinvis av andre nettsteder og tjenester. Hvis noen gjenbrukte passordet sitt fra protonmail.de på en banknettside, en handlekonto eller en jobbinnlogging, kan den ene lekkede påloggingsdetaljen åpne flere dører samtidig.

Det er også derfor verktøy for overvåking av datainnbrudd er viktige. Tjenester som HEROICs gratis skanner for datainnbrudd sjekker e-postadresser mot en database som sies å inneholde mer enn 400 milliarder kompromitterte og lekkede poster, inkludert combolister, stjeler-logger og andre underjordiske datakilder. Å kjøre e-posten din gjennom en slik skanner er en rask måte å finne ut om påloggingsdetaljene dine dukker opp i en kjent lekkasje, inkludert de som er knyttet til mindre eller mindre kjente domener som aldri blir vanlige nyheter.

Revurdering av e-postsikkerhet etter en slik lekkasje

For alle som bruker en e-postadresse som dukket opp i denne eller en lignende lekkasje, bør reaksjonen være enkel: bytt passord umiddelbart, og bytt det overalt ellers der det ble gjenbrukt. Gjenbruk av passord er fortsatt en av de vanligste grunnene til at en enkelt lekket påloggingsdetalj fører til et større kompromiss. Hvis du stoler på hukommelsen eller en gul lapp i stedet for en passordbehandler, kan verktøy som Proton Pass generere og lagre unike påloggingsdetaljer for hver konto, og fjerne fristelsen til å gjenbruke et passord på tvers av tjenester.

Denne hendelsen er også en god anledning til å vurdere hvilken e-postleverandør du stoler på med innboksen din. Personvernfokuserte tjenester skiller seg fra hverandre gjennom krypteringsstandarder, retningslinjer for datalagring og hvor raskt de varsler brukerne om hendelser. Leverandører som Tuta, Mailfence og StartMail har hver sin litt ulike tilnærming til ende-til-ende-kryptering og kontosikkerhet, og å sammenligne dem kan hjelpe deg med å avgjøre om din nåværende leverandør fortsatt oppfyller behovene dine.

Hva dette betyr for deg

Hvis du noen gang har brukt en e-postadresse på protonmail.de-domenet, eller hvis du bare ønsker trygghet, er det smarteste første steget å sjekke om adressen din dukker opp i denne lekkasjen eller noen annen. Skannere for datainnbrudd som trekker på store databaser med combolister og stjeler-logger kan avdekke eksponeringer du ellers aldri ville hørt om, siden ikke alle lekkasjer får mediedekning. Utover å sjekke, er dette også en nyttig anledning til å gjennomgå din bredere passordhygiene. Aktiver tofaktorautentisering overalt der det tilbys, unngå gjenbruk av passord på tvers av kontoer, og behandle enhver e-post som er knyttet til finans- eller jobbinnlogginger som et høyt prioritert mål for sterkere beskyttelse.

Praktiske råd

  • Kjør e-postadressen din gjennom en anerkjent skanner for datainnbrudd for å sjekke om den er eksponert i forbindelse med protonmail.de-lekkasjen eller andre combolister.
  • Hvis påloggingsdetaljene dine dukker opp noe sted, bytt passordet umiddelbart og oppdater det på alle andre kontoer der det ble gjenbrukt.
  • Ta i bruk en passordbehandler for å generere unike, komplekse passord for hver tjeneste du bruker.
  • Slå på tofaktorautentisering for e-post og alle kontoer som inneholder sensitive personlige eller økonomiske data.
  • Gjennomgå jevnlig hvilken kryptert e-postleverandør du stoler på, ettersom sikkerhetsfunksjoner og hendelseshåndtering varierer mye mellom tjenester.

Datainnbrudd som involverer combolister vil neppe forsvinne med det første, men å holde seg informert og handle raskt når informasjonen din dukker opp i en lekkasje, er fortsatt det mest pålitelige forsvaret som er tilgjengelig for vanlige brukere.