Tag Archives: Hotmail

Svenska e-postadresser läckta från populär porrsida

Alltid Nyheter, Sveriges Radios nyhetskanal på nätet, hörde av sig till mig igår och undrade om jag kunde svara på lite frågor angående en tråd på Flashback. I tråden berättade en tipsare något väldigt intressant: På en chattserver som under porrsajten YouPorn fanns e-postadresser och lösenord för samtliga registrerade användare sedan 2007 helt okrypterade och öppet tillgänligt utan annat skydd än att de låg i en olänkad mapp.

Om man tittar på tillgängliga data så verkar det som om slarviga programmerare av misstag (eller?) lämnade kvar debugloggning på en öppen URL redan i november 2007. Där har alla registreringar lagrats sedan dess.

Loggarna hittades antagligen av ren tur igår av någon som letade på sidor efter just olänkade mappar på jakt efter pornografi eller just användbart material som det som nu har läckt ut. Det är ett inte helt ovanligt tillvägagångssätt och ofta är det ganska enkelt att gissa sig till namnet på olänkade mappar.

Servern togs snabbt ned av administratörerna, men skadan verkar redan vara skedd – uppgifterna finns redan ute. Det rör sig om uppåt 1,4 miljoner adresser från hela världen och de lösenord de angivit för att logga in på sidan.

Omkring 1400 adresser hade ändelsen .se och får väl anses vara bevisat svenska, men eftersom de allra flesta idag använder adresser från Hotmail och Gmail så är det verkliga antalet berörda svenskar sannolikt mycket högre.

Så vad kan man göra med en läckt e-postadress? Det första och minsta problemet är att det är ganska känsligt med porrsidor, de flesta vill nog hålla sina besök hemliga. Det finns av den anledningen en utpressningsrisk, men den är extremt liten.

Det riktigt stora problemet med det här är att adresserna har läckt ut tillsammans med lösenord. Det är nämligen förvånansvärt många människor som rutinmässigt använder samma lösenord till mängder av olika tjänster. I värsta fall kan alltså den som lägger rabarber på informationen komma åt dessa personers e-post eller Facebook, i annat fall andra tjänster.

Just detta har även hänt här. Hackare har redan börjat gå igenom listorna, och hittat Facebook-konton och e-post de kan komma in på, och har börjat publicera intima bilder som hittats i olika personers e-post.

Som jag skrivit många gånger förr är det oftast e-postkontot som är det viktigaste målet. Kommer man åt ditt e-postkonto är det lätt att komma åt annan information om dig. Den kan till exempel användas för phishing och att stjäla pengar, men man kan också enkelt begära nya lösenord till mängder av andra sidor och registrera nya. Är kaparen skicklig så märker du troligtvis inte heller av att kontot är hackat förrän andra konstiga saker börjar hända.

För ett företag är läckor som denna nästan värre än att få sin sajt hackad, vilket hände porrsajten Brazzers tidigare i år. Troligen sker läckor som denna oftare än vi tror, helt vanliga företag utan porrkopplingar utan att det skrivs värst mycket om det, just för att pornografi är ett känsligt ämne.

Användaruppgifter till tusentals webbmailkonton på vift

I veckan har mängder av medier världen över tagit upp nyheten om att användaruppgifter till tusentals Hotmailkonton lagts ut på nätet – adresser som kommits över genom organiserat nätfiske. Enligt en artikel i Computer Sweden i tisdags ansåg branschorganisationen Anti-Phishing Working Group, APWG, att det inte var helt osannolikt att så många som mellan 10 och 20 miljoner av Hotmails 400 miljoner användare kan vara drabbade, ett nätt antal.

Det var innan det kom fram att det inte bara var Hotmailanvändare som var drabbade: kunder hos Yahoo, Google och flera andra operatörer hade också förmåtts att lämna ut sina uppgifter.

Attacker som den här visar med all önskvärd tydlighet hur viktigt det är att veta vad man klickar på ute på nätet. Ingen säkerhetsmjukvara i världen kan skydda en användare som själv lämnar ut känsliga uppgifter till brottslingar. Steg ett må vara ett antivirusprogram, men steg två bör vara utbildning.

Jag säger som jag brukar – byt lösenord regelbundet, använd aldrig någonsin samma lösenord till flera olika tjänster – och tänk efter innan du klickar.

Du kan lyssna på vår podcast om lösenordssäkerhet här.