Hack Allekabels.nl - Miljoenen gegevens en wachtwoorden op straat!

[Black Tiger]

De privégegevens en wachtwoorden van miljoenen Nederlanders liggen op straat na een hack bij de populaire webshop Allekabels. Volgens experts is dit het grootste datalek met wachtwoorden in Nederland ooit. De gestolen gegevens worden misbruikt door criminelen.
Dat blijkt uit onderzoek van RTL Nieuws, dat de gestolen data heeft ingezien en geverifieerd. De gestolen database van Allekabels, met daarin de privégegevens van zo'n 3,6 miljoen mensen, is eind januari op een hackersforum te koop aangeboden voor een bedrag vanaf 15.000 euro.
De advertentie is maanden geleden al verwijderd, wat erop duidt dat de gegevens toen zijn verkocht. Inmiddels worden ze verhandeld onder cybercriminelen, en worden de gegevens actief misbruikt om mensen phishingberichten te sturen, op te lichten of te hacken.

Miljoenen wachtwoorden​

Het gaat in totaal om zo'n 2,6 miljoen unieke e-mailadressen die zijn gekoppeld aan namen, woonadressen, telefoonnummers, geboortedata en versleutelde wachtwoorden. Die wachtwoorden moeten eerst nog worden gekraakt, wat gebruikelijk is na een datalek. Bij Allekabels is dat een fluitje van een cent: een groot deel van de wachtwoorden is zeer zwak versleuteld en volgens experts binnen seconden te kraken.
De andere miljoen gegevens zijn persoonsgegevens van mensen die via een webshop als Bol.com en Amazon bij Allekabels hebben besteld. Van hen zijn geen e-mailadressen of wachtwoorden gelekt.

@bron: rtlnieuws

 

[MAS3]

De allekabels server is nu plat.
Eerder vandaag (gisteravond) ben ik er even gaan kijken, en was er een mededeling van ze te zien hierover.
Volgens de site betreft het een hack van augustus 2020, en zijn de passwords niet buit gemaakt want versleuteld op een ander systeem.
Ik heb me daar onlangs (vorige week of 2 weken geleden) geregistreerd omdat ik er een paar keer binnen enkele weken wat heb besteld, dus zou ik er niet door geraakt moeten zijn.
Maar ik heb natuurlijk geen idee of men daar de waarheid spreekt.

Dit soort gein is 1 van de redenen dat ik per site een apart e-mail adres aanmaak dankzij mn eigen mailservertje en eigen domeinen.
Ik kan in ieder geval het betreffende mailadres verwijderen en voor een volgende keer daar een ander adres verzinnen.
Creditcard en leeftijd gegevens zijn daar nooit achtergelaten; zouden ze daarom gevraagd hebben, was de deal nooit doorgegaan want waarom zou dat voor een paar stekkertjes en zo nodig zijn.

 

[aart44]

Net een mail gehad van allekabels dat mijn wachtwoordt niet gelekt is maar dat ik de komende tijd extra op moet letten op spam en pishing mail.
Die mail zullen ze naar alle klanten gestuurd hebben.

 

[Black Tiger]

Eerder vandaag (gisteravond) ben ik er even gaan kijken, en was er een mededeling van ze te zien hierover.

Waar stond die dan? Want ik ben gisteren ook gaan kijken, even zien of ik daar een account had, maar op de hoofdpagina stond er toen (nog) niets over.
Dat was even na de tijd dat ik dit bericht plaatste dus rond 22.00 uur, toen ging ook de site opeens plat overigens.
Of ze de waarheid spreken twijfel ik trouwens ook over, want normaliter zitten email adressen en wachtwoorden in dezelfde database. Je kunt wel het geheel op een andere server opslaan, maar het moet dacht ik toch wel customized zijn als ze alleen wachtwoorden op een ander systeem zouden staan. Kan me vergissen natuurlijk. al dat echt zo is dan is dat netjes.
Versleuteld lijkt me logisch, want tegenwoordig worden die vrijwel overal versleuteld opgeslagen. Ligt er natuurlijk wel aan welke versleuteling gebruikt wordt hoe lang het duurt dat hackers er doorheen zijn of dat ze er doorheen kunnen komen.
Wat jij doet is inderdaad het voordeel van een eigen mailservertje met eigen domein.

Ze zijn trouwens weer terug online maar ik zie ook nu geen melding op de hoofdpagina.

Ja Aart, als ze het mail adres hebben kan er wat spam en phishing komen inderdaad. Tot nu toe mag ik het afkloppen. Bij de mail adressen die gestolen zijn van mij en bekend zijn bij "Am I Powned" valt het qua spam en zo nog reuze mee.

 

[Black Tiger]

Stukje over de hack gevonden, dat staat in een FAQ sectie. Lijkt me ook logisch en meer voor de hand liggend gezien het al dik 1,5 jaar geleden is.
Dat laat je dan niet op je hoofdpagina staan.

Het is wel apart dat van diverse hacks van zelfs tot enkele jaren geleden (Facebook) er nu opeens zoveel data wordt verkocht. Je zou dat eerder verwachten.

 

[MAS3]

Eh, het is een half jaar geleden.

Dit is de tekst die je te zien krijgt als je inlogt, en dan op een grijze balk klikt die bovenaan verschijnt:

Allekabels is op 23 augustus 2020 geattendeerd op een tekortkoming in de beveiliging en heeft daar meteen melding van gemaakt bij de Autoriteit Persoonsgegevens. Daarnaast heeft het bedrijf alle noodzakelijke maatregelen genomen en de technologische beveiliging maximaal opgeschroefd.

Uit de mediaberichten van 15 april 2021 bleek dat de gevolgen van de tekortkoming in de beveiliging veel omvangrijker waren dan Allekabels vermoedde op grond van het sinds 23 augustus 2020 gedane interne onderzoek. De media melden dat gegevens van de klanten van Allekabels zijn gelekt en dat wachtwoorden van klanten gekraakt zouden kunnen worden. Uit intern onderzoek van Allekabels is vastgesteld dat het de wachtwoorden van klanten betreft die sinds september 2018 hun wachtwoord niet meer hebben aangepast.

Om de belangen van de klanten maximaal te beschermen, heeft Allekabels op 15 april 2021 onder andere besloten om onmiddellijk de wachtwoorden van alle klanten te wissen en te vernietigen die sinds september 2018 hun wachtwoord niet meer hebben aangepast. Alle klanten zijn van de genomen maatregelen op de hoogte gesteld.

Allekabels betreurt deze gang van zaken zeer en verontschuldigt zich bij haar klanten. Het bedrijf is bijzonder geschrokken van dit datalek en heeft een crisisteam geformeerd van experts die een uitvoerige analyse maken van de oorzaken en daadwerkelijke omvang. Allekabels heeft eerst alle noodzakelijke maatregelen getroffen en zal nog aanvullende maatregelen voorbereiden om de schade te beperken en te herstellen. Het bedrijf stelt alles in het werk om de belangen van haar klanten optimaal te beschermen en het vertrouwen van haar klanten terug te winnen.

Ik meen dat deze tekst niet 100% dezelfde is die ik gisteren zag.
Op mn werk is een mail hierover binnengekomen.

Ik zie nu ook dat het bovenaan in de oranje balk een link naar deze mededeling staat.

 

[Black Tiger]

Eh, het is een half jaar geleden.

Pfff ja klopt, ik heb echt een memory leak, 2020 was afgelopen jaar... Lol. ik had de FB hack van 2019 in het hoofd.

Geen wonder dat ik die tekst niet te zien kreeg, ben nooit ingelogd daar. Ik ging er van uit dat ie gewoon te zien was.
In elk geval wel verstandig om gewoon alle klanten nieuwe wachtwoorden te laten maken.

 

[edbe]

heb gisteren zo een mailtje gekregen, moest een nieuwe wachtwoord aanmaken...wel raar dat het Augustus vorig jaar is gehackt en nu pas vrijgegeven....

 

[Black Tiger]

Ik heb wel een vraag over de uitspraak van Allekabels.

Om de belangen van de klanten maximaal te beschermen, heeft Allekabels op 15 april 2021 onder andere besloten om onmiddellijk de wachtwoorden van alle klanten te wissen en te vernietigen die sinds september 2018 hun wachtwoord niet meer hebben aangepast. Alle klanten zijn van de genomen maatregelen op de hoogte gesteld.

1.) Hoezo sinds september 2018 niet gewisseld als de hack op 23 augustus 2020 heeft plaatsgevonden? Want dan zou je toch denken dat alle wachtwoorden van voor 23 augustus 2020 zijn meegenomen, toch?
2.) Waarom niet gewoon helemaal veilig gespeeld en alle wachtwoorden van alle klanten resetten?

 

[MAS3]

Uit het mailtje dat ze mij later nog gestuurd hebben:

Uit intern onderzoek van Allekabels is komen
vast te staan dat het om een minderheid van de klanten gaat. Alleen de
wachtwoorden van klanten die zich voor 1 september 2018 geregistreerd
hebben, kunnen worden gekraakt.

Ik dacht ook ergens gelezen te hebben dat ze na die tijd over gegaan zijn naar een andere, sterkere encryptie.
Ik kan natuurlijk niet verklaren hoe ze dat dan door elkaar kunnen gebruiken, ik zou zelf waarschijnlijk ervoor gekozen hebben die oudere klanten te vragen of te verplichten een nieuw password te maken, zodat de veiligheid gewaarborgd kon blijven.

 

[Black Tiger]

Dank je wel, dat maakt de zaak wel duidelijker in elk geval.
Een andere sterkere encryptie wil niet zeggen dat wachtwoorden niet gestolen zijn, alleen dat het veel moeilijker is (of in deze tijd misschien nog niet mogelijk) om die ook te kraken.
Misschien ligt dat aan de webshop software dat het door elkaar is komen te staan in de database. Onze eerste software, vBulletin had in het begin ook plaintext wachtwoorden en de wat nieuwere versie had encrypted wachtwoorden. Echter toen werd voor iedereen het wachtwoord geconverteerd naar de nieuwe encryptie. Misschien was het niet mogelijk hier de oude encryptie naar de nieuwe te converteren.

Het maakt wel duidelijk waarom deze keuze gemaakt is. Echter aangezien gecodeerde wachtwoorden ook gestolen wachtwoorden zijn en misschien toch later gedecodeerd kunnen worden, was het toch handiger geweest om gewoon alle wachtwoorden te resetten.

 

[MAS3]

Ik ben het er wel mee eens dat je de kwetsbaarheid niet moet onderschatten en daarom dus bij een dergelijk voorval alles dient te resetten en de getroffen partijen (== klanten) op de hoogte moet stellen.
Het is dan toch al een hoofdpijndossier.