Aanvaller metro San Francisco gehackt via geheime vraag
De aanvaller die achter de ransomware-aanval op de metro in San Francisco zit is zelf op eenvoudige wijze gehackt. Een onderzoeker wist toegang tot zijn e-mailaccount te krijgen door het antwoord op de geheime vraag te raden. Zo kon de onderzoeker het wachtwoord van het e-mailaccount wijzigen.
Dit weekend raakten verschillende systemen van de Municipal Transportation Agency (SMTFA) in San Francisco besmet met ransomware, waaronder de kaartjesautomaten. De SMTFA besloot vervolgens om alle reizigers gratis te laten reizen. Op de kaartjesautomaten verscheen een bericht "You Hacked, ALL Data Encrypted", gevolgd door een e-mailadres om de decryptiesleutel te bemachtigen. Hiervoor moest de SMTFA ruim 69.000 euro in bitcoin betalen. Het e-mailadres, dat bij de Russische provider Yandex was geregistreerd, werd door de San Francisco Examiner openbaar gemaakt.
Een onderzoeker wist vervolgens via de geheime vraag toegang tot het account te krijgen. Ook een aan dit e-mailadres gekoppeld back-up-account kon hij hacken, aangezien dit account met dezelfde geheime vraag en antwoord was beveiligd. Uit de inhoud van de inbox blijkt dat de aanvaller eerder een Amerikaans bedrijf succesvol wist af te persen. Dit bedrijf betaalde 63 bitcoins, wat omgerekend ruim 43.000 euro is. Aan de hand van de gebruikte bitcoin-wallets zou blijken dat de aanvaller bedrijven sinds augustus voor 132.000 euro heeft weten af te persen. Dat meldt it-journalist Brian Krebs, die door de anoniem onderzoeker werd ingelicht. De SMTFA heeft het gevraagde losgeld niet betaald.
Het was beter geweest om de afperser in onzekerheid te laten hoe zijn account gecompromitteerd is. (Hacken is dit niet, want het is via een reguliere methode gedaan die ingebouwd is om een vergeten wachtwoord te herstellen)
(Hacken is dit niet, want het is via een reguliere methode gedaan die ingebouwd is om een vergeten wachtwoord te herstellen)
Wat maakt het uit of je het al dan niet hacken kunt noemen? Je kunt het ook niet tomatensoep eten noemen. Het blijft je onrechtmatig toegang verschaffen tot iemand anders mailbox, wat dus illegaal is.
Het was beter geweest om de afperser in onzekerheid te laten hoe zijn account gecompromitteerd is. (Hacken is dit niet, want het is via een reguliere methode gedaan die ingebouwd is om een vergeten wachtwoord te herstellen)
Waarom? Zo bijzonder was de email hack nu ook weer niet, iedereen kan dat doen als de security vraag eenvoudig is.
Daarom was hij slim genoeg om anoniem te blijven, interessant is dat sommige bedrijven dus betalen. Dat zou ook aan de orde moeten worden gesteld. Zij maken het probleem alleen maar groter.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.