Více než 183 milionů hesel bylo odcizeno při rozsáhlém úniku dat, který zasáhl mimo jiné i uživatele Gmailu, ale také další mailové aplikace, jako je Outlook nebo Yahoo. Incident, jehož rozsah odhalil australský expert na kyberbezpečnost Troy Hunt, zahrnuje přibližně 3,5 terabajtu dat. Podle Hunta jde o „rozsáhlý soubor prolomených dat“, který odpovídá zhruba 875 celovečerním filmům v HD kvalitě.

Podle zveřejněných informací obsahuje uniklá databáze 183 milionů unikátních e-mailových adres, k nimž jsou přiřazeny webové stránky, na nichž byly použity, a příslušná hesla. Data pocházejí z mnoha zdrojů a postihla všechny hlavní poskytovatele e-mailových služeb, tedy nejen Gmail, ale také Outlook, Yahoo a další. „Jsou odtud, odkud si dokážete představit, ale Gmail bývá mezi nimi vždy silně zastoupen,“ uvedl Hunt pro britský deník Daily Mail.

Podle experta nejde o jediný únik dat, ale o sbírku takzvaných „stealer logs“ – datových souborů, které vznikají a jsou shromažďovány škodlivým softwarem. Tyto záznamy zachycují přihlašovací údaje, které uživatelé zadávají na webových stránkách, a umožňují tak zločincům opakovaně šířit odcizené informace různými kanály. „Stealer logs jsou spíše jako tryska, která neustále chrlí osobní údaje všude kolem,“ napsal Hunt na svém blogu.

Incident se podle dostupných údajů odehrál v dubnu, ale zveřejněn byl až nyní prostřednictvím webu Have I Been Pwned (HIBP), který Hunt provozuje. Uživatelé si na něm mohou ověřit, zda jejich e-mailová adresa byla součástí úniku – stačí ji zadat do vyhledávacího pole a kliknout na tlačítko „Check“. Stránka následně zobrazí přehled všech známých úniků dat, které se k dané adrese vážou.

Pokud se e-mail objeví v aktuálním seznamu, odborníci doporučují okamžitě změnit heslo a zapnout dvoufaktorové ověření (2FA), které při přihlášení zasílá ověřovací kód na telefon. Hunt varoval, že kompromitována nemusela být jen hesla k e-mailovým účtům, ale i hesla používaná na dalších webech, jako je Amazon, eBay nebo Netflix. Doporučil proto měnit hesla i na těchto platformách, zejména pokud uživatelé používají stejné přihlašovací údaje na více místech.

Odborník na kybernetickou bezpečnost Graham Cluley v rozhovoru pro Daily Mail zdůraznil, že lidé by nikdy neměli používat stejné heslo pro více účtů. „Nebudete si je pamatovat všechny, proto používejte správce hesel, který to udělá za vás,“ uvedl. Dodal, že vícefaktorové ověřování by mělo být samozřejmostí, pokud je k dispozici, protože výrazně zvyšuje úroveň ochrany.

Podle Cluleyho nejde o útok na jednu konkrétní společnost, ale o masové krádeže hesel prostřednictvím škodlivého softwaru, které mohou postihnout miliony lidí, aniž by si uvědomili, že jejich počítače byly napadeny. „S 183 miliony odhalených e-mailových adres je pravděpodobné, že se do toho incidentu zapletlo mnoho lidí, aniž by o tom věděli,“ řekl.

Uniklý soubor dat objevil student Benjamin Brundage z americké kyberbezpečnostní platformy Synthient, která se zaměřuje na detekci a blokování škodlivých aktérů. Brundage data předal Huntovu webu HIBP. Uživatelům doporučil, aby se nespoléhali pouze na sílu svých hesel, i když by měla být prvním obranným štítem. Silné heslo by podle něj mělo mít alespoň 16 znaků a obsahovat kombinaci velkých i malých písmen, čísel a symbolů.

Společnost Google v reakci na zjištění uvedla, že nejde o nový útok zaměřený přímo na Gmail, ale o známou aktivitu takzvaného infostealer malwaru, který cílí na různé typy internetových účtů. „Chráníme uživatele několika úrovněmi obrany, včetně resetování hesel, pokud zjistíme krádež přihlašovacích údajů,“ uvedl mluvčí Googlu. Firma zároveň doporučila zapnout dvoustupňové ověření a přejít na přihlašování pomocí tzv. passkeys, které mají být jednodušší a bezpečnější alternativou k tradičním heslům.