XS4ALL laat klanten controleren of e-mailadres gestolen is
Internetprovider XS4ALL biedt klanten zelf de mogelijkheid om te controleren of hun e-mailadres gestolen is bij de grootschalige datadiefstal die begin augustus bekend werd gemaakt en waarbij ook 1,3 miljoen Nederlandse e-mailadressen eindigend op .nl werden gestolen.
Gisteren liet het Nationaal Cyber Security Center (NCSC) van de overheid weten dat het informatie van Hold Security had gekregen, het Amerikaanse beveiligingsbedrijf dat de datadiefstal op het spoor kwam. In totaal bleek dat er 1,3 miljoen inloggegevens voor websites waren gestolen, bestaande uit e-mailadressen en wachtwoorden. Verder meldde het NCSC dat 5600 websites met een .nl-extensie waren gehackt.
Getroffen gebruikers zullen nu door hun provider worden ingelicht als hun e-mailadres in het overzicht van 1,3 miljoen e-mailadressen voorkomt. XS4ALL heeft echter besloten om klanten dit zelf te laten controleren via een speciaal daarvoor ingerichte website. Gebruikers kunnen hier hun XS4ALL-e-mailadres invullen en zullen vervolgens een e-mail ontvangen waarin staat of hun e-mailadres is gestolen of niet.
Als ik de hacker/mede eigenaar ben van een hele bende mailboxen, dan script ik het zo dat de mail waarin staat dat de mailbox gecompromitteerd is automatisch verwijderd wordt.
Op deze wijze gaat een klant echt zitten wachten op een mailtje.
11:05 --> Anoniem no.2 gaat er (denk ik) van uit dat het het wachtwoord bij het e-mailaccount betreft, maar het hoeft niet perse je e-mailadres en wachtwoordcombinatie bij je provider te betreffen. Het kunnen ook wachtwoorden zijn die zijn aangemaakt voor een website waar je wat hebt gekocht of je geregistreerd hebt. Als men daar zo suf is geweest om het echte wachtwoord te gebruiken, dus wat ook voor de e-mail gebruikt wordt bij je provider, dan heb je te maken met het babydump-effect.
Zie ook: https://www.security.nl/posting/35281/Gestolen+KPN-wachtwoorden+afkomstig+uit+webshop
http://ziggo-gebruikers.nl/forum/showpost.php?p=475730&postcount=1
Inderdaad veel netter. Als je als XS4ALL al een lijst met e-mail adressen hebt, dan kun je de betroffen mensen ook rechtstreeks benaderen i.p.v. iedereen op te roepen het adres te controleren.
Een uitzondering is als je de wachtwoorden van je xs4all accounts hebt hergebruikt.
Ik wacht op de mailtjes van de getroffen webwinkels (ik neem aan dat die nog komen).. Als het allemaal geen hoax blijkt te zijn.. Het NCSC heeft met belastinggeld voor deze lijst betaald? Dat zou immers een motief zijn voor zo'n hoax (geld).
"De betreffende mailadressen zijn zeer waarschijnlijk buitgemaakt door onder andere mee te kijken op honderdduizenden willekeurige websites, zoals webshops en social media waar bezoekers inloggegevens hebben ingevoerd"
Alle providers (en andere organisaties) die ik ken, waarschuwen hun gebruikers. XS4ALL lijkt de enige te zijn die dat niet rechstreeks doet, maar mensen vraagt naar hun website te gaan. Dat het mailen betekent dat de helpdesk wat meer telefoontjes krijgt van gebruikers die om verduidelijking vragen, kun je niet vermijden.
Als je actie van de gebruikers zelf verwacht, kun je wachten tot sint juttemis. Ik weet dat ik met een mailing 99% van de gebruikers bereik (1% heeft forwards opstaan naar niet-bestaande adressen). Ik ben benieuwd hoeveel getroffen XS4ALL klanten uiteindelijk de website hebben bezocht. Ik ben ook benieuwd hoeveel mensen, die niet getroffen zijn, die extra moeite hebben moeten doen om tot de conclusie te komen dat hun adres niet bekend is.
Deze werkwijze lijkt wel een beetje op die van Hold Security, de bron van de informatie. Het enige verschil lijkt te zijn dat XS4ALL er geen geld voor vraagt.
Peter
Is er zo weinig "dreiging" dat het "Nationaal Cyber Security Center" (alleen de naam al) ineens van zijn neus moet maken?
Ik kreeg ook zo'n mailtje van m'n provider. "Uw e-mail adres is gestolen" Dat gelooft toch niemand?
Een e-mail adres KAN helemaal niet gestolen worden.
Na een aantal alinea's gelezen te hebben op de site van m'n provider, blijkt dat er "ergens" op een site waar ik m'n e-mailadres gebruikt hebt als inlognaam, een wachtwoordendatabase o.i.d gehackt/gekraakt/gestolen te zijn.
Dat kan letterlijk op 80 sites geweest zijn dus....
A. Wat heeft mijn ISP daar mee te maken?
B. Wat heeft het NCSC daar mee te maken?
C. De enige die het aangaat is de site waar het gebeurd is, DIE moeten hun gebruikers inlichten. (En uitgerekend daar hoor ik dus niks van)
D. Waarom komt dit zo groot in het nieuws?
Mensen die overal hetzelfde wachtwoord EN ALS INLOGNAAM HUN E-MAILADRES gebruiken, hebben grotere problemen, niet alleen op 14 oktober 2014, dat was 15 jaar geleden ook al.
Jaren geleden is de wachtwoordendatabase van onlinewinkel Alternate ook eens gekraakt/gestolen geweest. Keurig een mailtje gekregen met excuses en het advies om eventueel wachtwoord, indien ook gebruikt bij andere diensten, te wijzigen.
Pure paniekzaaierij, dus.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.