Dataset met 3,2 miljard wachtwoorden staat gratis doorzoekbaar online

De COMB-dataset met 3,2 miljard combinaties van e-mailadres en wachtwoord is gratis en volledig doorzoekbaar op een publieke zoekmachine, ontdekte vakblad Computable, met daarin ruim 7.000 zakelijke Shell-adressen.

Nieuw is niet de data, nieuw is de drempel. De verzameling staat open en bloot online, doorzoekbaar op naam, mailadres of wachtwoord, met een api die honderd verzoeken per minuut toestaat. Wie het domein van jouw organisatie intikt, krijgt een lijst medewerkers met hun wachtwoord erbij, en kan dat over een heel personeelsbestand automatiseren. Een aanval die eerder dark-webkennis en geduld vroeg, kost nu een middag scripten.

Dat doet op twee plekken pijn. Het wachtwoord dat iemand in 2016 bij LinkedIn of Netflix gebruikte, is bij verrassend veel mensen ook het wachtwoord van de webshop-backend, het boekhoudpakket of het CRM. En een phishingmail wordt ineens geloofwaardig als de afzender een echt wachtwoord van de ontvanger citeert.

Wat er precies in COMB zit

Op 2 februari 2021 uploadde een gebruiker met de naam Singularity0x01 een bestand van 19 gigabyte op het hackersforum RaidForums, getiteld Compilation of Many Breaches. Het ging niet om nieuwe inbraken: 3,27 miljard unieke e-mail-wachtwoordcombinaties in leesbare tekst, samengeraapt en opgeschoond uit oudere lekken bij onder meer LinkedIn, Netflix en Exploit.in, destijds te koop voor ongeveer twee dollar.

RaidForums zelf bestaat niet meer. Het Amerikaanse ministerie van Justitie maakte op 12 april 2022 bekend dat de domeinen van het forum in beslag waren genomen en dat de 21-jarige Portugese beheerder Diogo Santos Coelho op 31 januari in het Verenigd Koninkrijk was aangehouden. Leden hadden er honderden gestolen databases verhandeld met meer dan tien miljard unieke records. De kopieën van COMB waren toen al naar torrents en het dark web verhuisd.

De Nederlandse namen in het bestand

Shell telt wereldwijd 96.000 medewerkers, van wie er ruim 7.000 met hun zakelijke adres in de dataset staan. Computable trof ook medewerkers aan van de kerncentrale in Borssele, van Luchtverkeersleiding Nederland, Tennet, de Gasunie, ASML, de Rotterdamse haven, Euronext, grote banken en drinkwaterbedrijven, allemaal partijen uit de groep van ongeveer 500 organisaties die de overheid als vitaal heeft aangewezen. Bij Buitenlandse Zaken gaat het om 254 mailadressen, bij Defensie om 236, bij Financiën om 23 ambtenaren met wachtwoord. Drie ministers uit het kabinet Jetten en burgemeester Femke Halsema van Amsterdam komen er met privéadressen in voor.

De on-record reacties draaien allemaal om beleid. Meerdere ministeries laten weten dat hun ict-afdeling actief controleert 'of zakelijke e-mailadressen van het ministerie voorkomen in bekende openbaar geworden datasets', en bij een treffer de medewerker adviseert het wachtwoord te wijzigen en tweefactorauthenticatie aan te zetten. Defensie erkent dat een gelekt werkadres in het uiterste geval een route vormt 'om via phishing het defensienetwerk te infiltreren'. EPZ, de exploitant van Borssele, zegt dat aanmelden bij diensten als Netflix en LinkedIn met een EPZ-adres tegen het eigen veiligheidsbeleid ingaat: 'Het gebruik van een zakelijk e-mailadres voor privé doeleinden is niet in overeenstemming met dit beleid.' Een actueel risico ziet het bedrijf niet, omdat medewerkers verplicht frequent hun wachtwoord veranderen.

Wat vaststaat, en wat op één bron rust

Het historische deel is onafhankelijk na te lopen: het bestaan van COMB in 2021, de samenstelling uit oudere lekken en de inbeslagname van RaidForums staan in Amerikaanse justitiestukken en in de vakpers van destijds. Dat de data nu op een gratis publieke zoekmachine staan, mét wachtwoorden en een api, en welke Nederlandse organisaties erin voorkomen, rust volledig op het eigen onderzoek van Computable. Het blad noemt naam en locatie van die zoekmachine om veiligheidsredenen niet, en de beheerder ervan reageerde niet op vragen. Buitenstaanders kunnen die specifieke vondst dus niet zelf verifiëren.

Wat een organisatie hiermee kan

Drie controles zijn vandaag te doen, zonder budget en zonder leverancier.

• Kijk welke adressen van je eigen domein in lekken voorkomen. Have I Been Pwned heeft daarvoor een domeinzoekfunctie, die alle getroffen adressen op een domein toont nadat is geverifieerd dat de zoeker daadwerkelijk toegang heeft tot dat domein. Voor grotere domeinen is een abonnement nodig.
• Zoek naar hergebruik, niet naar het lek. Een oud wachtwoord is pas gevaarlijk als het ergens nog werkt. Loop de accounts na die de meeste schade kunnen aanrichten: identiteitsbeheer, boekhouding, webshop, betaalomgeving. De rest van die inventarisatie begint bij een wachtwoordmanager en phishing-bestendige MFA.
• Trek de grens rond het zakelijke adres. Bij Shell, Defensie en EPZ ontstond het probleem doordat medewerkers hun werkadres gebruikten voor privédiensten. Dat is geen technische fout maar een afspraak die niemand handhaaft, en die afspraak kost niets om vast te leggen.

Rotatie en MFA lossen daarbij niet alles op. De aanval liep allang om MFA heen, naar je ingelogde sessie, en een gelekt wachtwoord is vaak niet meer dan de opstap naar een overtuigende phishingpoging.

Vandaag is ook de dag waarop Microsoft passkeys de standaard inlogmethode maakt in Entra ID, en daar zit meteen de valkuil: een passkey met een sms-terugval ernaast is precies zo sterk als die sms. Een dataset uit 2021 die in 2026 nog altijd bruikbaar is, laat zien hoe lang een wachtwoord meegaat als gedeeld geheim. Het rotatiebeleid waar de ministeries en EPZ naar verwijzen dekt de helft die je zelf beheert. De andere helft staat op diensten van derden, buiten je zicht, en die blijft doorzoekbaar.