De Chinese fabrikant van educatief speelgoed VTech, waar onlangs de gegevens van 4,8 miljoen volwassenen en ruim 200.000 kinderen werden gestolen, had klantgegevens niet goed beveiligd, zo stelt de Australische beveiligingsexpert Troy Hunt die de buitgemaakte klantdata analyseerde.

Onlangs wist een aanvaller toegang tot de klantendatabase te krijgen en benaderde Vice Magazine. De journalist van het magazine nam vervolgens contact op met Hunt om de gegevens te verifiëren. Hunt kreeg verschillende bestanden toegestuurd, waarvan de grootste 1,7GB was. In dit bestand, genaamd parent.csv, vond hij de gegevens van 4,8 miljoen mensen. Het ging om e-mailadressen, namen, IP-adres, adresgegevens en versleutelde wachtwoorden. Het wachtwoord bleek met het MD5-algoritme te zijn gehasht. Hierdoor is het niet direct leesbaar, maar MD5 wordt al geruime tijd als onveilig beschouwd, omdat het eenvoudig is te 'kraken'. Hierdoor kan een aanvaller alsnog het wachtwoord achterhalen.

VTech had geen aanvullende maatregelen genomen om de wachtwoorden te beschermen, zoals het gebruik van 'salts' en 'stretching'. Het is echter niet het enige beveiligingsprobleem, stelt Hunt. Zo maakt de website geen gebruik van SSL, waardoor alle communicatie, inclusief wachtwoorden, onversleuteld plaatsvindt. Ook is er geen cryptografische bescherming van gevoelige gegevens, merkt de expert op. Ook blijkt de website een SQL-statement terug te geven bij het inloggen. De aanvaller liet weten dat hij via SQL-injection was binnengekomen, een probleem dat al sinds 1998 bekend is maar door sommige bedrijven nog altijd wordt genegeerd. Als laatste hekelt Hunt het uitgebreid gebruik van Flash op de website van VTech.

De expert beheert tevens de website Have I Been Pwned, waar internetgebruikers kunnen controleren of ze in de databases van gehackte websites voorkomen. De gegevens van de 4,8 miljoen volwassenen uit de database van VTech zijn hier nu aan toegevoegd. Dat geldt niet voor de gegevens van 227.000 kinderen die ook in de gestolen gegevens voorkwamen. Die heeft Hunt niet toegevoegd. VTech heeft inmiddels de inbraak bevestigd, maar laat niet weten hoe de aanvaller wist binnen te komen.