Thought Leadership
Ein im Telegram-Kanal von S-Root aufgetauchter Datensatz verknüpft Telefonnummern mit Instagram-Konten. Experten vermuten dahinter ältere Passwortlisten.
Im Internet ist ein durchsuchbarer Datensatz aufgetaucht, der Telefonnummern von Instagram-Nutzern mit den dazugehörigen Profilen verknüpft. Ein Akteur namens S-Root bietet diese Daten über einen Telegram-Kanal zum Verkauf an. Diese Veröffentlichung fällt zeitlich mit der Bestätigung von Meta zusammen, dass rund 20.000 Instagram-Konten über eine Schwachstelle im KI-gestützten Kontowiederherstellungstool High Touch Support kompromittiert wurden. Sicherheitsanalysten von Cybernews betonen jedoch, dass der aktuell zum Verkauf stehende Datensatz nicht zwingend auf einen neuen, erfolgreichen Einbruch in die Datenbanken von Meta hinweist.
Wiederverwendung alter Anmeldedaten als Passwortliste
Die IT-Forensiker gehen davon aus, dass es sich bei dem Datensatz um eine neu verpackte Kombination älterer Datenlecks handelt, eine sogenannte Combolist. Solche Listen bestehen meist aus unverschlüsselten Textdateien mit Kombinationen aus Benutzernamen oder E-Mail-Adressen und Passwörtern. Diese stammen häufig aus Schadsoftware-Protokollen, die Passwörter direkt aus Webbrowsern abgreifen. Die Forscher von Cybernews äußerten sich zu der Struktur des Fundes: „Das sieht eher wie eine Combolist aus, die auf Instagram abzielt. Im Wesentlichen wurden alte geleakte Daten angepasst, um Instagram-Profile zu identifizieren oder per Brute-Force anzugreifen.“
Gefahren von Credential-Stuffing und Phishing-Angriffen
Kriminelle nutzen solche Listen für automatisierte Angriffe auf Benutzerkonten (Credential-Stuffing). Spezialisierte Programme wie OpenBullet, Sentry MBA oder Snipr testen dabei tausende Kombinationen pro Minute an den Login-Schnittstellen. Selbst bei einer geringen Erfolgsquote von einem Prozent lassen sich so bei großen Listen tausende Konten übernehmen. Die verifizierten Kontodaten werden anschließend auf Marktplätzen im Darknet für Beträge ab zwei US-Dollar weiterverkauft.
Die Verknüpfung von Telefonnummern mit konkreten Profilen erhöht zudem das Risiko für gezielte Phishing-Kampagnen. Angreifer können dadurch personalisierte Nachrichten verfassen, um gezielt Prominente oder Personen des öffentlichen Lebens zu attackieren, oder historische Passwortmuster abgleichen, um Konten ohne aktivierte Mehrfaktor-Authentifizierung zu übernehmen.
(red)
