Immer wieder entwischen größere und kleinere Datenbanken mit schlecht oder gar nicht verschlüsselten Login-Informationen ins Netz. Weil es schwer ist, bei den Leaks mitzuhalten, sammelt "Have I Been Pwned" die Daten und ermöglicht Nutzern, über die Eingabe ihrer E-Mail-Adresse herauszufinden, ob Sie selbst betroffen sind und welche Plattform kompromittiert wurde.

Dementsprechend verzeichnet das Portal nicht gerade wenige Zugriffe und gehört laut dem Analysedienst Alexa.com zu den Top-20.000-Seiten weltweit (Stand: 13. März). Auch ähnliche Plattformen, etwa "Gotcha", verzeichnen regen Zulauf. Diese Popularität machen sich nun Cyberkriminelle zunutze.

Passwort im Klartext

Wie The Next Web berichtet, haben Unbekannte eine Kopie ins Netz gestellt, die ebenfalls eine solche Abfrage anbietet. Allerdings mit einem Unterschied: Wird die eigene E-Mail-Adresse in der Datenbank gefunden, werden die ihr zugeordneten Passwörter sofort im Klartext angezeigt.

Wer nicht möchte, dass andere Nutzer auf diesem Wege an eigene Logindaten kommen, muss den Machern der Seite eine Zahlung im Gegenwert von zehn Dollar in Form einer Kryptowährung leisten. Akzeptiert werden Bitcoin, Bitcoin Cash, Ethereum und Litecoin. Nach Übermittlung eines Zahlungsbelegs, so verspricht man, wird das Passwort versteckt.

Laut eigenen Angaben verfügt der "Have I been Pwned"-Klon über eine Datenbank mit 1,4 Milliarden Logins. Diese Zahl lässt sich nicht verifizieren, The Next Web bestätigt allerdings, dass das Erpresser-Portal tatsächlich über Informationen aus vergangenen Leaks verfügt.

Datenquelle unklar

Die angezeigten Kennwörter waren aber im Falle des Autos bereits einige Jahre alt. Sie könnten aus einem öffentlichen Torrent stammen. Für Nutzer sei es jedenfalls wohl schneller und sicherer, bei betroffenen Accounts das Passwort zu ändern, als eine Überweisung zu tätigen und auf die Entfernung aus der Datenbank zu hoffen.

Derzeit scheint die Abfrage auf der Seite allerdings nicht zu funktionieren. Dafür läuft auf der Seite nun ein Kryptominer, der den Prozessor der Besucher anzapft, um nach einer Kryptowährung zu "schürfen". (red, 13.04.2018)