Politiediensten hebben zo'n 44 miljoen gestolen wachtwoorden met datalekzoekmachine Have I Been Pwned (HIBP) gedeeld, alsmede 15,3 miljoen e-mailadressen van wie de inloggegevens waren. Dat laat HIBP-oprichter Troy Hunt weten. Politiediensten verkregen de gestolen data tijdens "Operation Endgame", waarbij wereldwijd driehonderd servers gebruikt door malware offline werden gehaald.

De betreffende servers werden gebruikt door de malware-exemplaren Bumblebee, Lactrodectus, Qakbot, DanaBot, Trickbot en Warmcookie. Deze "initial access malware" kan allerlei data van besmette systemen stelen en aanvullende malware installeren. Tijdens het onderzoeken van deze servers vonden opsporingsdiensten 43,8 miljoen gecompromitteerde wachtwoorden die van 15,3 miljoen e-mailadressen waren. Slachtoffers gebruiken hun e-mailadres voor meerdere accounts, wat verklaart waarom er meer wachtwoorden dan e-mailadressen zijn.

Via Have I Been Pwned kunnen gebruikers kijken of hun e-mailadres in een bekend datalek voorkomt. Naast de mogelijkheid om e-mailadressen in bekende datalekken te zoeken biedt HIBP ook een dienst genaamd 'Pwned Passwords'. Dit is een verzameling van wachtwoorden en wachtwoordhashes die in datalekken voorkomen. Deze dataset is zowel te downloaden als online te doorzoeken en laat onder andere zien hoe vaak een wachtwoord in datalekken voorkomt. Daarnaast kunnen beheerders via de wachtwoordhashes kijken of die overeenkomen met de wachtwoordhashes in hun omgeving.

De ongeveer 44 miljoen wachtwoorden zijn aan de Pwned Passwords toegevoegd, de 15,3 miljoen e-mailadressen aan de datalekzoekmachine. Van de e-mailadressen was 83 procent al via een ander datalek bij de zoekmachine bekend. In het verleden hebben politiediensten vaker e-mailadressen en wachtwoorden die bij operaties werden aangetroffen met HIBP gedeeld.