24 miljard inloggegevens gelekt: het infostealerlek ontleed
Op 12 juni 2026 ontdekte het onderzoeksteam van Cybernews een openbaar toegankelijk Elasticsearch-cluster met meer dan 24 miljard records aan inloggegevens, goed voor 8,3 terabyte aan data: een van de grootste vrij toegankelijke verzamelingen gestolen inloggegevens die ooit zijn aangetroffen. De database had geen wachtwoord, geen authenticatie en geen netwerkbeperkingen: iedereen die het adres online vond, kon de volledige inhoud lezen. Op 15 juni ging de database offline, maar de inloggegevens waren toen al gekopieerd en circuleren nog altijd actief onder criminelen.
Wat dit lek onderscheidt van eerdere "megadatalekken" is niet alleen de omvang, maar ook de samenstelling. Het overgrote deel van de 24 miljard records bestaat uit infostealerlogs: vers buitgemaakte inloggegevens, gekoppeld aan de exacte inlog-URL's waartoe ze toegang geven. De database is samengesteld uit ten minste 36 afzonderlijke bronnen en staat voor de industriële consolidatie van de handel in gestolen inloggegevens tot één doorzoekbare index, die geautomatiseerde accountovername op wereldwijde schaal mogelijk maakt.
Wat er is gebeurd
De gelekte data was een zorgvuldig samengestelde verzameling, geen afzonderlijk datalek. Cybernews herleidde de 24 miljard records tot 36 verschillende bronnen. Het grootste deel, ongeveer 22,6 miljard records, kwam uit ongelabelde "collecties": opnieuw verpakte compilaties waarvan de oorspronkelijke datalekken moeilijk te achterhalen zijn. Meer dan 1,7 miljard records waren afkomstig uit meer dan 30 Telegramkanalen gericht op cybercriminaliteit, de meeste Engelstalig en enkele Russischtalig, waar dagelijks gestolen inloggegevens worden verhandeld. Ongeveer 146 miljoen records kwamen uit bekende "combolists", compilaties van eerdere datalekken, en zo'n 150 miljoen waren rechtstreeks geëxporteerd van actieve, gecompromitteerde doelservers.
Cruciaal is dat de beheerder de dataset nog actief bijwerkte toen die werd ontdekt. Onderzoekers stelden vast dat het cluster een nieuwsartikel over cybersecurity van februari 2026 bevatte, een aanwijzing dat de samensteller het dreigingslandschap actief volgde en de verzameling tot het moment van ontdekking bleef aanvullen met vers gestolen data. Dit was geen statisch archief, maar een levend, onderhouden pakhuis vol inloggegevens.
Welke gegevens zijn gelekt
Omdat de meeste records infostealerlogs zijn, gaat het lek veel verder dan een combinatie van gebruikersnaam en wachtwoord. Malware van dit type verzamelt alles wat een browser en besturingssysteem prijsgeven. De dataset en de logs waaruit die is opgebouwd, bevatten doorgaans:
Inloggegevens in platte tekst, gekoppeld aan hun doel-URL's
E-mailadressen, gebruikersnamen en wachtwoorden in onbewerkte, onversleutelde vorm, steeds gekoppeld aan de precieze website of dienst waartoe ze toegang geven. Aanvallers hoeven niet te raden waar een wachtwoord werkt; de data vertelt hun precies welke deur elke sleutel opent.
Sessiecookies en authenticatietokens
Infostealers onderscheppen actieve sessiecookies en tokens, ook die waarmee multifactorauthenticatie kan worden omzeild door een al geauthenticeerde sessie te hergebruiken. Zo kan een aanvaller het inlogscherm en de tweede factor volledig overslaan.
Autofillgegevens en apparaatvingerafdrukken
Opgeslagen formuliergegevens, autofillgegevens uit de browser en apparaatvingerafdrukken waarmee aanvallers zich kunnen voordoen als het apparaat van een slachtoffer en zo langs fraudedetectie en systemen voor het signaleren van afwijkende inlogpogingen glippen.
Toegang tot bedrijfsomgevingen en infrastructuur
Tussen de consumentenaccounts zitten ook inloggegevens voor zakelijke e-mail, cloudconsoles, VPN-portalen en SaaS-platforms, buitgemaakt op geïnfecteerde computers van medewerkers en externe krachten. Dit zijn precies de sleutels waarvoor ransomwarebendes en initial access brokers betalen.
Wat deze verzameling tot een actief operationeel risico maakt en niet tot achtergrondruis, is de aanwezigheid van exports van actieve servers en verse infostealeroutput, in plaats van jaren oude data uit eerdere datalekken.
Hoe zulke aanvallen verlopen
Het proces begint met een infectie. Een gebruiker downloadt een gekraakte applicatie, een valse software-update, cheatsoftware voor een game of een kwaadaardige browserextensie, of wordt via een "ClickFix"-prompt verleid om een script in de terminal te plakken. Infostealer-malware zoals Lumma Stealer, RedLine of Raccoon zuigt vervolgens ongemerkt opgeslagen wachtwoorden, cookies en autofillgegevens uit elke browser op de computer en stuurt alles door naar een command-and-controlserver.
Daarna komen de logs in de criminele toeleveringsketen terecht. Ze worden verkocht en verhandeld via Telegramkanalen en marktplaatsen op het darkweb, gebundeld in "collecties" en uiteindelijk samengevoegd in doorzoekbare databases zoals de database die Cybernews ontdekte. Omdat bij elke set inloggegevens de doel-URL staat, kan een aanvaller geautomatiseerde credential-stuffingcampagnes tegen duizenden diensten tegelijk uitvoeren, met voorrang voor waardevolle doelwitten: zakelijke e-mail, beheerpanelen van clouddiensten, internetbankieren en VPN-gateways.
De laatste fase is accountovername. Wanneer slachtoffers wachtwoorden hebben hergebruikt of geen phishingbestendige authenticatie gebruiken, kan één gestolen login uitmonden in een volledig gecompromitteerd account en, bij zakelijke inloggegevens, in een inbraak op het netwerk. De route van infostealer naar bedrijfsnetwerk is in 2026 de belangrijkste vector voor initiële toegang geworden: een goedkope infectie met consumentenmalware op één laptop wordt geregeld weken later het startpunt van een ransomware-incident met een zescijferig prijskaartje.
Waarom dit bestuurders aangaat
Dit lek is geen datalek bij één specifieke organisatie, en juist dat maakt het gevaarlijk. Een bedrijf kan een feilloze perimeterbeveiliging hebben en toch inloggegevens van medewerkers, externe krachten of klanten in deze database hebben staan, buitgemaakt op een privéapparaat dat het niet beheert. De traditionele grens tussen "onze systemen" en "het internet" houdt het infostealerrisico niet tegen.
De schaal maakt een einde aan elke illusie dat u te onopvallend bent om doelwit te worden. Met 24 miljard records die zijn geïndexeerd en gekoppeld aan hun bestemming, is een aanzienlijk deel van alle wachtwoorden die actief in gebruik zijn nu in handen van aanvallers, klaar om geautomatiseerd te worden getest. Elk account dat alleen met een wachtwoord is beveiligd, hoe sterk ook, moet als gelekt worden beschouwd. Wettelijke verplichtingen op grond van de AVG, PCI DSS en sectorspecifieke kaders gelden zodra gestolen inloggegevens leiden tot onbevoegde toegang tot persoons- of betaalgegevens, en "de inloggegevens kwamen van de thuiscomputer van een medewerker" is geen verweer dat toezichthouders accepteren.
Voor beveiligingsverantwoordelijken is de operationele vraag niet langer of er inloggegevens zijn gelekt, maar of de organisatie het gebruik ervan kan detecteren en overleven. Dat betekent valideren dat MFA overal wordt afgedwongen waar het ertoe doet, dat de detectie van credential stuffing en afwijkende inlogpogingen daadwerkelijk alarm slaat, en dat één gecompromitteerd wachtwoord niet kan uitgroeien tot een compromittering van het hele domein.
Wat u nu moet doen
Stap voor kritieke accounts over op phishingbestendige authenticatie
Zet passkeys en FIDO2-beveiligingssleutels in voor e-mail, cloudconsoles, VPN's en beheerdersaccounts. Anders dan wachtwoorden en eenmalige codes zijn deze inloggegevens cryptografisch gebonden aan de legitieme website en kunnen ze niet worden gephisht, hergebruikt of door infostealers worden buitgemaakt. Het is het enige authenticatiemodel waar deze schaduweconomie niet tegenop kan.
Dwing MFA overal af en maak een einde aan hergebruik van wachtwoorden
Vereis multifactorauthenticatie op elk account, met voorrang voor accounts die een wachtwoord delen met een andere dienst. Verplicht het gebruik van een wachtwoordmanager, zodat elke login een uniek, lang en willekeurig wachtwoord heeft, en reset elk wachtwoord waarvan bekend is of vermoed wordt dat het op meerdere systemen wordt hergebruikt.
Ga actief op zoek naar infostealerinfecties op endpoints
Omdat de oorzaak bij malware op apparaten ligt, zet u endpoint detection and response in en monitort u die om infostealeractiviteit te herkennen. Beperk daarnaast de installatie van ongeautoriseerde software, browserextensies en gekraakte applicaties. Beschouw elk apparaat dat met zakelijke inloggegevens in aanraking is geweest en tekenen van infectie vertoont als gecompromitteerd, totdat het tegendeel is bewezen.
Monitor doorlopend op gelekte inloggegevens
Neem een abonnement op diensten die inloggegevens en het darkweb monitoren, zodat gelekte zakelijke logins worden gesignaleerd zodra ze opduiken, en niet maanden later. Vroege detectie van gestolen inloggegevens is vaak de enige kans om de aanvalsketen te doorbreken voordat die productiesystemen bereikt.
Toets uw verdediging aan echte aanvalspaden
Schakel een team voor penetratietesten in om credential-stuffing- en accountovernameaanvallen te simuleren en te bevestigen dat MFA, sessiebeheer en detectiemaatregelen onder druk standhouden. Combineer dat met een security code review van de logica voor authenticatie en sessiebeheer om de lacunes te dichten (gebrekkige sessie-invalidatie, ontbrekende tokenbinding, geen rate limiting) waardoor één gestolen set inloggegevens tot een volledige compromittering leidt.
Prangende vragen
Stond mijn wachtwoord in dit lek?
Het is niet mogelijk de database rechtstreeks in te zien, maar gezien de omvang en het feit dat de meeste records recente infostealerlogs zijn, moet u ervan uitgaan dat elk wachtwoord dat u hebt hergebruikt of op een geïnfecteerd apparaat hebt ingevoerd, is gelekt. Controleer uw e-mailadressen bij betrouwbare meldingsdiensten voor datalekken en zie een treffer als aanleiding om die inloggegevens overal te wijzigen waar ze zijn gebruikt.
Beschermt multifactorauthenticatie mij?
MFA verkleint drastisch het risico dat een gestolen wachtwoord op zichzelf tot accountovername leidt, en blijft onmisbaar. Infostealerlogs bevatten echter vaak sessiecookies waarmee MFA kan worden omzeild door een al geauthenticeerde sessie te hergebruiken. Phishingbestendige methoden (passkeys en FIDO2-sleutels) dichten dat gat; eenmalige codes via sms of een app doen dat niet volledig.
Wij zijn een bedrijf, geen particulier. Wat betekent dit voor ons?
Zakelijke inloggegevens zitten verspreid door deze logs, buitgemaakt op apparaten van medewerkers en externe krachten waar uw beveiligingsmaatregelen mogelijk nooit bij komen. Eén geïnfecteerde privélaptop met een opgeslagen wachtwoord voor de VPN of single sign-on kan een aanvaller de sleutels van uw omgeving in handen geven. Ga ervan uit dat een deel van de zakelijke inloggegevens is gelekt en ontwerp maatregelen die ook onder die aanname overeind blijven.
De database is nu offline. Is het risico voorbij?
Nee. De blootgestelde instantie is op 15 juni 2026 offline gehaald, maar de inloggegevens zijn gekopieerd en circuleren nog altijd actief via Telegramkanalen en marktplaatsen. Het offline halen van één server maakt de wachtwoorden zelf niet ongeldig; dat lukt alleen door inloggegevens te wijzigen en phishingbestendige authenticatie in te voeren.
Belangrijkste inzichten
Het lek van 24 miljard records is minder een op zichzelf staand incident dan een momentopname van een volwassen criminele economie. Infostealer-malware verzamelt inloggegevens op industriële schaal, de logs worden samengevoegd en gekoppeld aan hun doelwitten, en het resultaat is een doorzoekbare index die accountovername verandert in een geautomatiseerde operatie met één druk op de knop. De omvang, vergelijkbaar met de "Mother of All Breaches" uit 2024 maar gedomineerd door verse, recent gestolen data, betekent dat beveiliging met alleen wachtwoorden niet langer volstaat voor alles wat ertoe doet.
De verdediging is helder, ook al zal de volledige inhoud van het lek dat nooit worden. Ga uit van blootstelling, zet waardevolle accounts over op passkeys en phishingbestendige MFA, maak een einde aan hergebruik van wachtwoorden, zoek naar infostealerinfecties op de endpoints die deze databases voeden en stel met tests, niet met aannames, vast dat gestolen inloggegevens niet tot een datalek kunnen leiden. In een tijd waarin een aanzienlijk deel van alle wachtwoorden al in handen van aanvallers is, komt weerbaarheid voort uit architectuur, niet uit de hoop dat uw inloggegevens geheim zijn gebleven.