Lek in Pwnedlist maakte 886 miljoen accountgegevens toegankelijk
Pwnedlist is een database waarin inloggegevens die op internet uitlekken worden verzameld. Gebruikers kunnen hierdoor eenvoudig controleren of hun accounts zijn gekraakt door cybercriminelen. De database blijkt echter een ernstig beveiligingslek te hebben bevat. Aanvallers konden de database misbruiken om geautomatiseerd waarschuwingen te ontvangen zodra nieuwe inloggegevens zijn uitgelekt die zij kunnen misbruiken.
Dit meldt beveiligingsonderzoeker Brians Krebs in een blogpost. Krebs zegt een tip ontvangen te hebben van Bob Hodges, een lezer van zijn blog en security onderzoeker uit het Amerikaanse Boston. Hodges wilde een alerts instellen voor een aantal .edu en .com domeinnamen die hij beheerd, zodat hij automatisch wordt gewaarschuwd indien inloggegevens met betrekking tot deze domeinen uitlekken.
Vertificatieproces functioneert niet
Dit bleek niet mogelijk te zijn. Tijdens zijn zoektocht naar een workaround stuitte Hodges echter op iets vreemds. Het verificatieproces van Pwnedlist bleek in zijn geheel niet te functioneren, wat misbruik van de database relatief eenvoudig maakt. De website bleek in de praktijk niet te controleren of e-mailadressen en domeinnamen die een gebruiker wil monitoren ook daadwerkelijk onder zijn beheer staan.
Krebs heeft de proef op de som genomen en wist in korte tijd alert meldingen in te stellen voor het domein Apple.com. Dit had wat voeten in aarde, aangezien zijn account al lange tijd gedeactiveerd bleek te zijn. Na activatie van zijn account ontving Krebs echter binnen 12 uur een rapport met ruim 100.000 inloggegevens voor accounts die eindigen op ‘apple.com’. Deze data is opgeslagen in platte tekst en beschikbaar als spreadsheet. De beveiligingsonderzoeker wijst erop dat de impact van dit lek enorm kan zijn. Zo zouden cybercriminelen de database kunnen uitbuiten door een rapport op te vragen met alle 886 miljoen accountgegevens die Pwnedlist inmiddels heeft verzameld.
Definitief offline
Het lek is door Krebs gemeld aan InfoArmor, het bedrijf Pwnedlist. Het bedrijf heeft de website direct offline gehaald in een reactie op de melding van Krebs. Inmiddels is de site weer beschikbaar. In een nieuwe verklaring op de site meldt InfoArmor dat Pwnedlist vanaf 16 mei 2016 definitief offline wordt gehaald. Commerciële klanten worden doorverwezen naar de website van InfoArmor.
Meer over
Lees ook
Privégegevens van 20.000 Nederlandse autokopers inzichtelijk door datalek
De privégegevens van 20.000 Nederlandse autokopers zijn via internet toegankelijk geweest. Dit was mogelijk door een fout in de website van kredietverstrekker AutoCash. Dit meldt RTL Nieuws op basis van een tipgever. Deze geeft aan het lek al maanden geleden te hebben aangekaart bij de softwareleverancier, maar dat het lek niet is gedicht. RTL Z1
400.000 klanten van Italiaanse bank getroffen door datalek
De gegevens van 400.000 klanten van de Italiaanse bank UniCredit zijn uitgelekt. Het gaat om twee datalekken die in 2016 en 2017 plaatsvonden. Dit maakt UniCredit bekend in een verklaring op haar website. Het eerste datalek vond plaats in de periode september-oktober 2016, terwijl het tweede datalek in juni-juli 2017 werd gedetecteerd. De bank be1
Gegevens van miljoenen klanten Dow Jones & Co uitgelekt door AWS-configuratiefout
Persoonlijke informatie van miljoenen klanten van Dow Jones & Co, een Amerikaanse uitgeverij- en financiële informatieconcern, zijn uitgelekt. De data stond opgeslagen in een Amazon Web Service S3 bucket, die door een configuratiefout toegankelijk was voor miljoenen AWS-gebruikers. Het datalek is ontdekt door Chris Vickery, een beveiligingson1