Datalekzoekmachine Have I Been Pwned heeft een dataset ontvangen met 167 miljoen unieke wachtwoorden die afkomstig zijn van computers besmet met infostealer-malware. Dit soort malware is ontwikkeld om inloggegevens van geïnfecteerde pc's te stelen om daarna naar de aanvaller terug te sturen. Aanvallers beschikken vaak over logbestanden met grote hoeveelheden gecompromitteerde accounts.

De dataset die Have I Been Pwned (HIBP) ontving bestaat uit honderden tekstbestanden die bij elkaar meer dan honderd gigabyte groot zijn. Het gaat om 167 miljoen unieke wachtwoorden en 71 miljoen e-mailadressen van gecompromitteerde accounts. HIBP-oprichter Troy Hunt heeft een screenshot gedeeld van een logbestand waarop te zien is hoe de infostealer-malware allerlei inloggegevens heeft gestolen van een gebruiker die onder andere bij Amazon en Facebook inlogde.

Eigenaren van de 71 miljoen e-mailaccounts kunnen nu via Have I Been Pwned zoeken welke accounts, die aan hun e-mailadres gekoppeld zijn, door infostealer-malware zijn gecompromitteerd. Via HIBP kunnen mensen kijken of hun e-mailadres in een bekend datalek voorkomt. Van de 71 miljoen e-mailaccounts was 72 procent al via een ander datalek bij de zoekmachine bekend.

Naast de mogelijkheid om e-mailadressen in bekende datalekken te zoeken biedt HIBP ook een dienst genaamd 'Pwned Passwords'. Dit is een verzameling van wachtwoorden en wachtwoordhashes die in datalekken voorkomen. Deze dataset is zowel te downloaden als online te doorzoeken en laat onder andere zien hoe vaak een wachtwoord in datalekken voorkomt. Daarnaast kunnen beheerders via de wachtwoordhashes kijken of die overeenkomen met de wachtwoordhashes in hun omgeving.

Van de 167 miljoen unieke wachtwoorden bleken er al 61 miljoen in de Pwned Passwords-lijst voor te komen. De overige 106 miljoen zijn nu aan de lijst toegevoegd. Naast gestolen inloggegevens geven de logbestanden ook een blik in iemands privéleven. Zo staan er tal van pornosites, politieke websites, religieuze websites en gezondheidsgerelateerde sites in de logbestanden. Dat maakt het volgens Hunt een gevoelig datalek en zijn door infostealer-malware gecompromitteerde accounts daarom niet door iedereen te doorzoeken, maar alleen door de eigenaar van het betreffende e-mailaccount, die eerst moet bevestigen de eigenaar van het account te zijn.