Het Amerikaanse beveiligingsbedrijf Hold Security dat vorige week de diefstal van 1,2 miljard wachtwoorden bekendmaakte hekelt de negatieve publiciteit die het de afgelopen dagen ontving. Het bedrijf liet via de NY Times weten dat het een bende cybercriminelen op het spoor was gekomen.

De bende had op meer dan 400.000 sites ingebroken en daarbij allerlei databases met gebruikersgegevens via SQL Injection buitgemaakt. In totaal zou het om 1,2 miljard unieke inloggegevens gaan. Verdere details werden door Hold Security niet gegeven. Daarnaast verwees het bedrijf naar een eigen website waar consumenten wachtwoordgegevens moesten invullen als ze wilden weten of ze getroffen waren. Websites die wilden weten of ze gehackt waren moesten een abonnement nemen dat 120 dollar per jaar kost.

De werkwijze kwam Hold Security op veel kritiek te staan. Sinds de openbaarmaking vorige week werd de pers vermeden, hoewel het beveiligingsbedrijf tegenover The Register liet weten dat van de 1,2 miljard gestolen inloggegevens er 2,28 miljoen Australische e-mailadressen gebruikten. Daarnaast zouden 5929 Australische websites zijn gehackt. Verder werden er wederom geen details vrijgegeven.

In Forbes geeft Alex Holden, oprichter van Hold Security, voor het eerst een reactie. Daarin vertelt hij dat alle negatieve publiciteit ook invloed heeft op de partijen die het bedrijf financieel ondersteunen. "We doen het helemaal niet voor de publiciteit om ervan te profiteren, we proberen niet onze diensten op te dringen. Sterker nog, we proberen niet failliet te gaan." Holden erkent dat de communicatie rond de ontdekking beter had gekund.

De beveiliger merkt op dat hij de gestolen wachtwoorden op een "dark web hacker exchange" ontdekte dat door zijn team werd gemonitord. Hij wilde met de openbaarmaking twee zaken aantonen, namelijk de slechte beveiliging van websites en dat wachtwoorden niet meer voldoende zouden zijn.

Tegenover Forbes vertelt Holden dat niet alle wachtwoorden bij aanvallen op websites zijn buitgemaakt, maar dat veel er mogelijk zijn gekocht. Wat de verdeling is kan Holden echter niet zeggen. Daarnaast heeft hij er opzettelijk voor gekozen de getroffen bedrijven en websites niet in te lichten, aangezien dit een zeer langdurig en kostbaar proces zou worden.