Beveiligingsonderzoeker Troy Hunt, tevens oprichter van datalekzoekmachine Have I Been Pwned, heeft uitgehaald naar media vanwege berichtgeving over een gelekte dataset met '16 miljard wachtwoorden'. De dataset bestaat uit voornamelijk oude gegevens afkomstig van eerdere datalekken. Slechts een klein deel was echt nieuw materiaal, zo stel Hunt op basis van een analyse.

E-mailadressen die in de dataset voorkwamen zijn inmiddels toegevoegd aan Have I Been Pwned. Via de zoekmachine kunnen mensen kijken of hun e-mailadres in een bekend datalek voorkomt. De wachtwoorden zijn aan Pwned Passwords toegevoegd, een verzameling van wachtwoorden en wachtwoordhashes die in datalekken voorkomen. Beheerders kunnen bijvoorbeeld via de wachtwoordhashes kijken of die overeenkomen met de wachtwoordhashes in hun omgeving.

Afgelopen juni kwamen websites, kranten en andere media met berichtgeving over 'het grootste datalek' ooit, waarbij 16 miljard wachtwoorden zouden zijn gelekt. De inloggegevens waren verzameld door infostealer-malware. Dergelijke malware is speciaal ontwikkeld om allerlei wachtwoorden, cookies en andere inloggegeven van besmette systemen te stelen. Gestolen inloggegevens worden in "stealer logs" verzameld en op internet aangeboden.

Hunt analyseerde de gelekte dataset, die in totaal 109 miljoen unieke e-mailadressen en 231 miljoen unieke wachtwoorden bleek te bevatten. Van de e-mailadressen en wachtwoorden was 96 procent al via eerdere datalekken en gevonden stealer logs bij Have I Been Pwned bekend. De 4,4 miljoen e-mailadressen die nieuw waren zijn aan de datalekzoekmachine toegevoegd.

Volgens Hunt gaat het om een aanzienlijke hoeveelheid nieuwe e-mailadressen, maar geen aantal dat de headlines rechtvaardigt zoals in de media verschenen. De onderzoeker stelt dat de media bewust voor provocerende headlines koos en het narratief manipuleerde om aandacht te trekken. Hunt hoopt naar eigen zeggen dat zijn analyse de gemoederen bedaart en wat gezond verstand in de discussie terugbrengt. "We moeten datalekken zoals deze serieus nemen, maar het verdiende zeker niet de aandacht die het kreeg."