Ritter ConsultingSuchen
Werkzeuge
Neue Einträge
Neue Kommentare
Kategorien
Archive
01.09.2008 Michael Ritter
1,4 Millionen E-Mail-Adressen im Internet zum Download [ Update ]
This is not a place to obtain email addresses.
This is a blog on security issures, written by someone who is fighting people like you.
I will not answer emails asking me for addresses or links. Any comments to this effect will be deleted.
Very sincerely yours
Michael Ritter
Die Technik ist sehr einfach. Man nehme ein oder zwei Maildomänen, die wahrscheinlich vorkommen (wie z.B. gmx.de, yahoo.com) und eine Einschränkung auf ein geeignetes Dateiformat (z.B. CSV, XLS), z.B.:
Wer sich für Adressdatenbanken interessiert, der kann andere Suchkriterien verwenden:
Bei dieser Vorgehensweise handelt es sich natürlich nicht um eine ethisch fragwürdige Anleitung zum Hacken. Es ist lediglich normale Computerbedienung unter minimal erweiterter Gehirnnutzung. Leider fördert aber bereits diese Form der Recherche erstaunliche Ergebnisse zu Tage.
Ich habe in der Folge bewußt auf Verlinkung verzichtet. Wer die Ergebnisse nachvollziehen will, der sollte keine allzu großen Schwierigkeiten haben, die entsprechenden Dateien mit Google aufzuspüren.
And the winner is...
Einige Minuten Recherche förderten bereits eine Goldgrube zu Tage: die Webseite SuppressStorage.com bietet ein ganzes Fundbüro für Listen mit Mailadressen.Eine der hier bereitgestellten Dateien enthält 1.458.372 Mailadressen. Die Ironie dabei: viele der bereitgestellten Adressdateien scheinen dem Dateinamen nach aus OptOut-Listen zu stammen.
Meine erste Kurzrecherche brachte noch keine konkreten Ergebnisse über diese Webseite und ihre genaue Funktion. Die Betreiber legen anscheinend sehr viel Wert auf Anonymität, während Ihr Datenvorrat eher das Gegenteil repräsentiert. Registriert ist die Domäne durch Privace Protection Service Inc. (Bellevue, USA).
Das Bereitstellen großer Mengen an Mailadressen in Verbindung mit einem Kampagnennamen legt den Verdacht nahe, dass es sich hier ume eine Art Auftragsannahme für einen Spambot handelt. Das ist momentan aber noch reine Spekulation. Vielleicht weiß ja einer meiner Leser etwas mehr über diese Seite.
Weitere "Anbieter"
Hier eine kleine Auswahl weiterer "Anbieter". Die Zahlen an Mailadressen sind weniger spektakulär, dafür sind aber viele dieser Dateien mit Postanschriften und manche sogar mit Geburtsdaten und weiteren Informationen angereichert.
|
|
Die Spitze des Eisberges
Ich habe hier nur eine kleine Auswahl an Treffern aufgelistet. Außerdem lassen sich mit etwas verfeinerter Suchmethodik sicherlich noch zahlreiche weitere Datenquellen aufspüren.Es scheint leider immer noch zu viele Administratoren zu geben, die der Meinung sind, Daten im Internet seien sicher, solange niemand den Deeplink kennt. Diese Illusion wird oftmals direkt von Google wiederlegt. Suchmaschinen finden immer wieder auch solche Daten im Internet, die nicht von außen verlinkt sind. Ich konnte das vergangene Woche selbst anhand einer Entwurfsseiten unserer neuen Firmenhomepage nachvollziehen, die aus irgendwelchen Gründen vorab in Google auftauchte.
Wer sich als Administrator nicht so ganz sicher ist, was alles auf seinem Webserver liegt, sollte dringend nachforschen. Eine klare Verzeichnisstruktur mit entsprechend gesetzten Zugriffsrechten hilft dabei ungemein. Und sensible Daten "mal schnell" auf den Webserver zu legen sollten sich die Betroffenen tunlichst abgewöhnen.
[ Update vom 11.09.2008 ]
Die SupporssStorage-Webseite ist weiterhin fleißig aktiv. Der neustes Download enthält eine Datei mit 2,1 Mio. E-Mailadressen.
| Kommentare |
Es ist ja heftig !
Übrigens Ihren Tipp ( und den Link ) hierher habe ich von der aktuellen " PC-WELT " 11-08
Kann man sich die auch Downloaden irgendwo als Datei...
Wenn man sie doch eh so finden kann ?
:-)
Danke !
Liebe Grüße @all
@merciful: Danke für den Hinweis, ich schau dann gleich mal beim Kiosk vorbei.
In Sachen Link: die Adresse des Haupttreffers steht in Halbzoll-Lettern auf dem Schirm... ;) Die anderen habe ich bewußt nicht verlinkt, damit die "verlorenen" Dateien nicht noch mehr (Google-)Polularität gewinnen. Ich möchte hier auf ein Problem hinweisen, es aber möglichst nicht noch verschlimmern. Seit Veröffentlichung dieses Beitrags ist meine Seite ohnehin in bestimmten Kreisen ungeahnt beliebt geworden (siehe einige Kommentare - ist halt schwierig, wenn man kein Deutsch kann).
Viele Grüße
Michael
Interessant, deine "Forschungs"-Ergebnisse! Die Frage eines Laien oder Naiven dazu: Und nun, was kann ich (ausser Spammail versenden) mit den vielen Adressen anfangen? Den Tip zu deiner Seite habe ich übrigens, wie @all, auch aus der PC-Welt 11/08.
Mr Who
@Mr. Who: Die E-Mailadressen lassen sich in der Tat für Spam, aber auch für beliebige Angriffe per E-Mail verwenden (Viren, Phishing, Spionage, etc.). Weitaus kritischer sind aber einige der anderen Dateien, da hier z.T. Postadressen Telefon-/Handynummern und Geburtsdaten enthalten sind. Diese Daten sind in der Hand von Betrügern bares Geld wert.
Das beginnt beim SMS-Betrug und geht bis hin zu ausgewachsenem Warenbetrug oder Phishing. Leider gibt es nämlich immer noch viele Firmen, die noch nichts von Kundenkennwörtern gehört haben und sich bei der Auftragsabwicklung auf solche Daten als "Authentifizierung" verlassen (darunter auch mindestens eine große Kreditkartenfirma).
Dahinter steckt für mich aber noch eine andere Problematik: Informationelle Selbstbestimmung. Wem ich meine Mailadresse oder meine Handynummer gebe, das entscheide ich doch am besten selbst. Selbst der BGH sieht dies so. Firmen, die solche in gutem Glauben gemachten Angaben achtlos ins Internet stellen, handeln schlicht rechtswidrig.
Danke für deine Überlegungen! Das mit der informationellen Selbstbestimmung sehe ich genau so - nicht nur als Sozialarbeiter... Um mich selbst zu schützen, verwende ich übrigens überall dort, wo zu einer (fraglichen) Überprüfung meiner Identität nach einer e-mail-Adressen gefragt wird, eine "Wegwerf"-Adresse von z.B. www.spamgourmet.com/ Eine solche kann dann von mir aus in noch so vielen Verzeichnissen auftauchen - sie führt ja nur ins Cyber-Nirwana ;-)
