LinkedIn: geen misbruik gestolen wachtwoorden
LinkedIn heeft nog geen meldingen ontvangen dat de 6,5 miljoen gestolen wachtwoorden ook zijn gebruikt om ongeautoriseerd toegang tot accounts te krijgen. Dat laat de sociale netwerksite op het eigen blog weten. Aanvallers publiceerden woensdag een bestand met de wachtwoord-hashes van 6,5 miljoen gebruikers.
Een deel van de gecodeerde wachtwoorden waren door de aanvallers ontsleuteld. De bij deze wachtwoorden horende accounts werden door LinkedIn afgesloten. Vervolgens kregen gebruikers via e-mail te horen dat ze een nieuw wachtwoorden moesten aanmaken. Als aanvullende maatregel zijn nu ook de wachtwoorden van andere leden uitgeschakeld waarvan de netwerksite vermoedt dat ze mogelijk getroffen zijn. Tevens zou de FBI de zaak in onderzoek hebben.
Back-up
Waar de gegevens vandaan komen is nog altijd onbekend, maar beveiligingsonderzoeker Joseph Bonneau vermoedt dat het om een oude back-up gaat. Daarnaast zijn de wachtwoorden van waarschijnlijk veel meer gebruikers gelekt dan de 6,5 miljoen die de media melden. Aan de hand van een data-lek bij RockYou, waarbij de gegevens van 32 miljoen gebruikers op straat kwamen te liggen, bleek dat 14 miljoen gebruikers een uniek wachtwoord gebruikten.
In een willekeurige selectie van 12,5 miljoen RockYou-wachtwoorden, werden 5,8 miljoen unieke wachtwoorden aangetroffen. Bonneau denkt dat het aantal getroffen gebruikers dan ook eerder rond de 12,5 miljoen ligt. In de huidige situatie, zonder bijbehorende e-mailadressen, heeft het lek minimale gevolgen voor LinkedIn-gebruikers, concludeert de onderzoeker.
Impact
"De situatie zou veel erger kunnen worden. De aanvaller heeft mogelijk de gehele database in handen en heeft alleen een gedeelte per ongeluk gelekt of probeert een koper te vinden", gaat Bonneau verder. Hij vindt alle media-aandacht buiten proportie. "LinkedIn moet worden bekritiseerd als hun wachtwoord-database is gestolen, maar de nieuwsdekking heeft tot nu toe alleen voor voorbarige paniek onder LinkedIn-gebruikers gezorgd."
Beste LinkedIn, hoe hebben die 160 miljoen klanten van jullie dan kunnen controleren dat er geen misbruik is gemaakt en dat kunnen verifieren? Hoe kunnen jullie bij LinkedIn het verifieren? Hebben die klanten inzicht in wanneer er vanaf waar is gebruik gemaakt van hun account? Of beschouwen ze het bij LinkedIn alleen als misbruik wanneer een klant ziet dat er met diensten of teksten is gerommeld en een klant kan bewijzen dat het niet een of andere slordigheid was waardoor iemand zonder kennis van die hashes binnen kwam? Want dat is waarschijnlijk wel iets wat al jaren dagelijks voorkomt met 160 miljoen gebruikers en een niet al te florisant beveiligingsbeleid.
Overigens "Our efforts to protect LinkedIn members impacted by this incident are ongoing "... Wie zijn er volgens jullie bij LinkedIn eigenlijk impacted door dit incident? Is het werkelijk verstandig om er voor het gemak maar vanuit te gaan dat alleen accounts waarvan jullie bij LinedIn op het internet de hashes hebben gevonden daartoe horen en de overige 154 miljoen gebruikers maar zogenaamd niet van toepassing zijn?! Een beslissing die ze al hebben genomen toen ze nog niet wisten hoe de hashes op het Internet zijn gekomen, ergo nog niet weten hoe diep een indringer in hun systemen zit....
Ik vind dat LinkedIn hier blunder op blunder laat zien met betrekking tot veiligheid. Er word heel veel moeite gedaan om erg weinig te vertellen en heel veel moeite gedaan om alles aan te grijpen om maar zogenaamd goed nieuws te brengen. Geen mens die er naar kraait, want men snapt er toch niets van.
Waarom maakt niemand van de gevestigde media duidelijk dat er kennelijk flinke haken en ogen aan zitten als je je persoonsgegevens bij een commerciele partij legt en die partij ook nog eens in het buitenland staat?!
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.