Politiaksjon avslørte sjokkerende tall: 25 millioner brukernavn og passord stjålet av skadevare

I den koordinerte aksjonen ble mer enn 25,6 millioner unike brukernavn og passord beslaglagt, stjålet fra over 385 000 infiserte datamaskiner. Europol og politimyndigheter i seks land sto bak innsatsen, som fikk navnet Operation Endgame.

Aksjonen rammet skadevaren StealC og den beslektede tjenesten Amadey. Til sammen tok politiet ned 326 servere og 142 domener, mens krypto for over 41 millioner euro ble frosset.

En abonnementstjeneste for kriminelle

StealC er ikke et vanlig datavirus. Programmet selges som en betalingstjeneste, ofte kalt malware-as-a-service, altså skadevare som en abonnementsløsning. Kriminelle betaler for tilgang, laster ned en ferdig pakke og bruker den til å samle inn passord, informasjonskapsler, e-postdata og krypto-lommebøker fra ofrenes maskiner.

Tjenesten har vært i drift siden januar 2023. Alene i første halvdel av mai 2026 ble StealC og Amadey knyttet til over 140 000 infiserte datamaskiner globalt.

Spredt via TikTok og falske instruksjonsvideoer

Skadevaren fikk fotfeste gjennom en teknikk kjent som ClickFix. Ofrene ble lokket inn på falske instruksjonsvideoer på TikTok, der de fikk beskjed om å lime inn kommandoer på egen PC. Da de gjorde som anvist, installerte de StealC uten å ane det.

Amadey og StealC brukes ofte i par: Amadey åpner døren inn i maskinen, deretter henter StealC ut passord og følsom informasjon. Europol beskriver samspillet som en samlebåndsmodell for datakriminalitet.

Slik sjekker du om epostadressen din er lekket

Passordtyveri av dette omfanget rammer med stor sikkerhet også norske brukere. Tre ting bør du gjøre nå:

1. Sjekk om epostadressen din er lekket. Tjenesten Have I Been Pwned tilbyr gratis oppslag mot databaser med kompromitterte kontoer og har registrert over 17 milliarder eksponerte kontoer på tvers av mer enn tusen kjente datalekkasjer.

2. Bytt passord på viktige kontoer. Start med e-post, nettbank og sosiale medier. Bruk unike passord for hver tjeneste, gjerne generert av en passordhåndterer.

3. Slå på tofaktorautentisering. Selv om passordet ditt havner i feil hender, blokkeres innloggingen uten en ekstra kode fra telefonen.

Aksjonen mot StealC er neppe slutten på passordtyveri på nett. Sikkerhetsforskere hos Microsoft, Proofpoint og IBM X-Force, som alle bidro i operasjonen, venter at nye tjenester overtar rollen etter hvert.