combolista

Combolista (combolist) to plik tekstowy z parami danych logowania, zwykle w postaci adresu e-mail i hasła ^[2]. Group-IB opisuje ją jako plik z danymi uwierzytelniającymi w formacie e-mail i hasło, z którego usunięto zbędne informacje ^[3]. Według Kapitana Hacka combolisty to ogromne bazy loginów i haseł pochodzących z wcześniejszych wycieków, phishingu i złośliwego oprogramowania typu infostealer ^[1]. Służą przede wszystkim do automatycznego sprawdzania, czy te same hasła otwierają konta w innych serwisach.

Jak powstaje i jak działa

Combolista jest produktem pośrednim. Surowe dane pochodzą z różnych źródeł: wycieków baz danych, kampanii phishing i logów z komputerów zainfekowanych przez infostealer ^[1]. Group-IB dodaje do tej listy dane generowane automatycznie ^[3]. Sprzedawcy łączą te zbiory, usuwają duplikaty i zbędne pola, a potem publikują wynik jako nowy plik. Według Kapitana Hacka dane są wielokrotnie przepakowywane, aktualizowane i łączone z nowymi bazami ^[1].

Drogę od wycieku do próby logowania pokazuje schemat poniżej.

RYS. 1Od wycieku do próby logowania

Na końcu łańcucha stoi credential stuffing. MITRE ATT&CK opisuje tę technikę jako użycie danych logowania z wycieków niezwiązanych kont, by dostać się do kont docelowych dzięki powtarzaniu się tych danych ^[5]. Atak działa, bo ludzie używają jednego hasła w wielu miejscach. Kapitan Hack opisuje automatyczne testowanie milionów kombinacji loginów i haseł w popularnych usługach ^[1].

Rodzaje zbiorów

Nazwa „combolista” bywa używana szeroko. Group-IB rozróżnia kilka pokrewnych rodzajów plików ^[3].

Plik ULP jest groźniejszy dla właściciela strony, bo wskazuje konkretny adres logowania. Log infostealera zawiera też ciasteczka, więc może posłużyć do przejęcia sesji bez znajomości hasła.

Group-IB podaje, że combolisty i pliki ULP są reklamowane i rozprowadzane na forach w dark webie oraz w serwisie Telegram ^[3]. Zaznacza też, że większość krążących danych jest stara: dane skradzione lata temu wracają w nowych plikach pod nowymi nazwami, więc świeża data publikacji nie mówi, kiedy doszło do kradzieży ^[3].

W WordPressie

Formularz wp-login.php przyjmuje login albo adres e-mail i hasło. Jeśli administrator używa tego samego hasła co w serwisie, z którego wyciekły dane, combolista daje atakującemu gotową parę do sprawdzenia. Z punktu widzenia strony wygląda to jak atak siłowy (brute-force), ale prób jest mniej, a skuteczność większa, bo każda para była kiedyś prawdziwa.

Dokumentacja WordPressa definiuje atak siłowy jako wielokrotne próbowanie par nazwy użytkownika i hasła, aż któraś zadziała ^[7]. Zalecenia z tej samej strony ograniczają także skutki combolist ^[7]:

• nie używać nazwy użytkownika admin i usunąć albo zdegradować stare konta ^[7];
• stosować unikalne, długie hasła albo frazy i menedżer haseł ^[7];
• ograniczać liczbę prób logowania na serwerze, w CDN albo wtyczką bezpieczeństwa ^[7], czyli stosować limit prób logowania;
• włączyć uwierzytelnianie dwuskładnikowe dla administratorów i innych uprzywilejowanych kont ^[7];
• wyłączyć xmlrpc.php, jeśli nie jest potrzebny, bo XML-RPC jest częstym celem prób logowania, zwłaszcza metoda system.multicall ^[7].

Zagrożenia i skutki

Skuteczne logowanie z combolisty kończy się przejęciem konta. Na stronie WordPress konto administratora pozwala zainstalować wtyczkę, zmienić treść albo dodać nowego użytkownika. Wyciek z jednego serwisu staje się w ten sposób wejściem do zupełnie innego systemu.

Analiza CyberDefence24 z 23 czerwca 2025 roku objęła pięć plików tekstowych z 1 088 663 liniami par e-mail i hasło ^[2]. Autor znalazł w nich 460 130 unikalnych haseł ^[2]. Dominowały hasła ośmioznakowe, a wśród nich imiona, nazwiska, daty urodzenia i proste ciągi cyfr ^[2]. Takie hasła są też łatwym celem dla łamania haseł.

Jak się bronić

Najskuteczniejsza obrona odcina wartość samego hasła. MITRE zaleca uwierzytelnianie wieloskładnikowe (multi-factor authentication), także na usługach dostępnych z internetu, oraz tworzenie polityk haseł według wytycznych NIST ^[5]. Wytyczne NIST SP 800-63B wymagają, by weryfikator porównywał nowe hasło z listą haseł popularnych, przewidywalnych albo skompromitowanych, na przykład pochodzących z wcześniejszych wycieków ^[6]. Jeśli hasło jest na takiej liście, system ma zażądać innego i wyjaśnić powód ^[6].

Kapitan Hack wymienia trzy podstawowe działania: MFA, unikanie powtarzania haseł i monitorowanie anomalii w logowaniu ^[1]. Właściciel strony może dodatkowo sprawdzać, czy adresy jego domeny pojawiają się w nowych zbiorach; zob. monitoring dark webu. Pomaga też stosowanie zasad opisanych w haśle bezpieczne hasła.

Historia i przykłady

Jednym z najgłośniejszych zbiorów był Collection #1, opisany przez Troya Hunta 16 stycznia 2019 roku ^[4]. Zbiór liczył 2 692 818 238 wierszy, w tym 772 904 991 unikalnych adresów e-mail i 21 222 975 unikalnych haseł ^[4]. Według Hunta dane leżały w serwisie MEGA i były udostępniane na popularnym forum hakerskim, w ponad 12 000 plików o łącznym rozmiarze ponad 87 GB ^[4]. Sam zbiór był opisany przez udostępniających jako kolekcja ponad 2000 odszyfrowanych baz i list „combo” ^[4].