Lek in Pwnedlist maakte 886 miljoen accountgegevens toegankelijk
Pwnedlist is een database waarin inloggegevens die op internet uitlekken worden verzameld. Gebruikers kunnen hierdoor eenvoudig controleren of hun accounts zijn gekraakt door cybercriminelen. De database blijkt echter een ernstig beveiligingslek te hebben bevat. Aanvallers konden de database misbruiken om geautomatiseerd waarschuwingen te ontvangen zodra nieuwe inloggegevens zijn uitgelekt die zij kunnen misbruiken.
Dit meldt beveiligingsonderzoeker Brians Krebs in een blogpost. Krebs zegt een tip ontvangen te hebben van Bob Hodges, een lezer van zijn blog en security onderzoeker uit het Amerikaanse Boston. Hodges wilde een alerts instellen voor een aantal .edu en .com domeinnamen die hij beheerd, zodat hij automatisch wordt gewaarschuwd indien inloggegevens met betrekking tot deze domeinen uitlekken.
Vertificatieproces functioneert niet
Dit bleek niet mogelijk te zijn. Tijdens zijn zoektocht naar een workaround stuitte Hodges echter op iets vreemds. Het verificatieproces van Pwnedlist bleek in zijn geheel niet te functioneren, wat misbruik van de database relatief eenvoudig maakt. De website bleek in de praktijk niet te controleren of e-mailadressen en domeinnamen die een gebruiker wil monitoren ook daadwerkelijk onder zijn beheer staan.
Krebs heeft de proef op de som genomen en wist in korte tijd alert meldingen in te stellen voor het domein Apple.com. Dit had wat voeten in aarde, aangezien zijn account al lange tijd gedeactiveerd bleek te zijn. Na activatie van zijn account ontving Krebs echter binnen 12 uur een rapport met ruim 100.000 inloggegevens voor accounts die eindigen op ‘apple.com’. Deze data is opgeslagen in platte tekst en beschikbaar als spreadsheet. De beveiligingsonderzoeker wijst erop dat de impact van dit lek enorm kan zijn. Zo zouden cybercriminelen de database kunnen uitbuiten door een rapport op te vragen met alle 886 miljoen accountgegevens die Pwnedlist inmiddels heeft verzameld.
Definitief offline
Het lek is door Krebs gemeld aan InfoArmor, het bedrijf Pwnedlist. Het bedrijf heeft de website direct offline gehaald in een reactie op de melding van Krebs. Inmiddels is de site weer beschikbaar. In een nieuwe verklaring op de site meldt InfoArmor dat Pwnedlist vanaf 16 mei 2016 definitief offline wordt gehaald. Commerciële klanten worden doorverwezen naar de website van InfoArmor.
Meer over
Lees ook
De impact van COVD-19 op datalekken
Cybercriminelen hebben in de verwarring die is ontstaan door de COVID-19-pandemie elke kans op financieel gewin aangegrepen. Uit een drie maanden durend onderzoek van Verizon blijkt dat beproefde methoden om gegevens te bemachtigen succesvoller waren dan voorheen. Zo w1
Inloggegevens van 150 miljoen MyFitnessPal gebruikers gestolen
Gegevens van 150 miljoen gebruikers van MyFitnessPal, een website en app gericht op fitness en voeding, zijn buitgemaakt bij een cyberinbraak. Onder andere gebruikersnamen, e-mailadressen en gehashte wachtwoorden zijn uitgelekt. Dit maakt Under Armour, het bedrijf achter MyFitnessPal, bekend. Het datalek is op 25 maart ontdekt en vond eind februa1
Gegevens van 174.000 Nederlandse buitgemaakt bij datadiefstal Uber
Naar schatting zijn 174.000 passagiers en chauffeurs van Uber getroffen door het datalek in oktober 2016. Eerder werd al bekend dat bij het lek gegevens van 57 miljoen Uber accounts wereldwijd zijn buitgemaakt. Het lek vond in oktober 2016 plaats, maar werd pas in november 2017 door het bedrijf naar buiten gebracht. Europese privacyautoriteiten z1