Lek in Pwnedlist maakte 886 miljoen accountgegevens toegankelijk
Pwnedlist is een database waarin inloggegevens die op internet uitlekken worden verzameld. Gebruikers kunnen hierdoor eenvoudig controleren of hun accounts zijn gekraakt door cybercriminelen. De database blijkt echter een ernstig beveiligingslek te hebben bevat. Aanvallers konden de database misbruiken om geautomatiseerd waarschuwingen te ontvangen zodra nieuwe inloggegevens zijn uitgelekt die zij kunnen misbruiken.
Dit meldt beveiligingsonderzoeker Brians Krebs in een blogpost. Krebs zegt een tip ontvangen te hebben van Bob Hodges, een lezer van zijn blog en security onderzoeker uit het Amerikaanse Boston. Hodges wilde een alerts instellen voor een aantal .edu en .com domeinnamen die hij beheerd, zodat hij automatisch wordt gewaarschuwd indien inloggegevens met betrekking tot deze domeinen uitlekken.
Vertificatieproces functioneert niet
Dit bleek niet mogelijk te zijn. Tijdens zijn zoektocht naar een workaround stuitte Hodges echter op iets vreemds. Het verificatieproces van Pwnedlist bleek in zijn geheel niet te functioneren, wat misbruik van de database relatief eenvoudig maakt. De website bleek in de praktijk niet te controleren of e-mailadressen en domeinnamen die een gebruiker wil monitoren ook daadwerkelijk onder zijn beheer staan.
Krebs heeft de proef op de som genomen en wist in korte tijd alert meldingen in te stellen voor het domein Apple.com. Dit had wat voeten in aarde, aangezien zijn account al lange tijd gedeactiveerd bleek te zijn. Na activatie van zijn account ontving Krebs echter binnen 12 uur een rapport met ruim 100.000 inloggegevens voor accounts die eindigen op ‘apple.com’. Deze data is opgeslagen in platte tekst en beschikbaar als spreadsheet. De beveiligingsonderzoeker wijst erop dat de impact van dit lek enorm kan zijn. Zo zouden cybercriminelen de database kunnen uitbuiten door een rapport op te vragen met alle 886 miljoen accountgegevens die Pwnedlist inmiddels heeft verzameld.
Definitief offline
Het lek is door Krebs gemeld aan InfoArmor, het bedrijf Pwnedlist. Het bedrijf heeft de website direct offline gehaald in een reactie op de melding van Krebs. Inmiddels is de site weer beschikbaar. In een nieuwe verklaring op de site meldt InfoArmor dat Pwnedlist vanaf 16 mei 2016 definitief offline wordt gehaald. Commerciële klanten worden doorverwezen naar de website van InfoArmor.
Meer over
Lees ook
Nieuwe marktplaats voor gestolen vertrouwelijke data op komst
Een groep cryptografen en ontwikkelaars werken aan een marktplaats voor het uitlekken van vertrouwelijke data. Wie in het bezit is van vertrouwelijke (gestolen) informatie van bijvoorbeeld een bedrijf of een overheid kan deze op de website te koop aanbieden aan de hoogste bieder. Zodra de veiling is afgerond wordt de data naar de koper toegezonden1
Gegevens van duizenden Nederlanders en tienduizenden Belgen op straat
De hackersgroep Rex Mundi laat opnieuw van zich horen. De groep heeft de persoonlijke gegevens van duizenden klanten van verschillende bedrijven online gepubliceerd. Het gaat om klanten van voornamelijk Belgische bedrijven, maar ook klanten van het Nederlandse uitzendbureau Accord zijn getroffen. Security.nl meldt op basis van een analyse van de u1
Sony dreigt met rechtszaak als Twitter accounts rond Sony-hack niet verwijderd
Sony dreigt Twitter aan te klagen als het social media-bedrijven niet alle accounts verwijderd die verband hebben met de hack van de filmstudio Sony Pictures Entertainment. Sony stelt ‘geen andere keuze te hebben’ dan Twitter aan te klagen als het website niet aan de oproep gehoor geeft. The Verge en Motherboard hebben een brief in handen die door1