image

114 miljoen bij Gravatar gescrapete e-mailadressen toegevoegd aan HIBP

maandag 6 december 2021, 11:26 door Redactie, 12 reacties

Datalekzoekmachine Have I Been Pwned heeft vandaag tientallen miljoenen mensen gewaarschuwd dat het e-mailadres van hun Gravatar-account gecompromitteerd is. Gravatar is een dienst voor het aanmaken van een avatar dat op meerdere platformen is te gebruiken. Gebruikers kunnen via hun e-mailadres een account aanmaken en een avatar aan het account koppelen.

Door middel van verschillende plug-ins is het vervolgens mogelijk om deze avatar te laden, bijvoorbeeld wanneer gebruikers reageren op blogpostings waarbij een e-mailadres is vereist. De blogsoftware controleert of het opgegeven e-mailadres is gekoppeld aan een Gravatar-avatar en zal die bij de gegeven reactie plaatsen.

Vorig jaar liet een onderzoeker zien hoe het mogelijk is om gegevens van Gravatar-accounts te scrapen. Op deze manier werden namen, gebruikersnamen en md5-hashes van e-mailadressen die aan 167 miljoen Gravatar-accounts zijn gekoppeld verzameld. Vervolgens werden 114 miljoen van de md5-hashes gekraakt en vervolgens verspreid.

De e-mailadressen zijn nu aan Have I Been Pwned toegevoegd. Via de zoekmachine kunnen gebruikers kijken of hun gegevens in bekende datalekken voorkomen. Van de 114 miljoen gescrapete e-mailadressen was 72 procent al via een ander datalek bij Have I Been Pwned bekend.

Reacties (12)
06-12-2021, 11:36 door Anoniem
Straks zijn alle in gebruik zijnde e-mail adressen toegevoegd aan die database en is die daarmee waardeloos geworden...
06-12-2021, 12:05 door Anoniem
Door Anoniem: Straks zijn alle in gebruik zijnde e-mail adressen toegevoegd aan die database en is die daarmee waardeloos geworden...
Niet voor de inlichtingendiensten die ook mee kijken in de database.
06-12-2021, 12:31 door Anoniem
Door Anoniem: Straks zijn alle in gebruik zijnde e-mail adressen toegevoegd aan die database en is die daarmee waardeloos geworden...
Nee hoor, het is nog steeds handig om te weten van welke dienst/site je gegevens gejat zijn. Ik gebruik hetzelfde mailadres voor meerdere diensten maar met andere wachtwoorden maar heb geen zin om overal een nieuw wachtwoord aan te maken.
06-12-2021, 12:34 door Anoniem
Door Anoniem: Straks zijn alle in gebruik zijnde e-mail adressen toegevoegd aan die database en is die daarmee waardeloos geworden...

Dat dacht ik ook al: Zo onderhand moet toch van iedereen wel iets gelekt zijn (en zo mogelijk ook toegevoegd aan de HIBP database)

Ik denk dat de bron van het probleem aangepakt moet worden:
Niet alles willen registreren van je gebruikers of klanten. Wat je niet hebt, kan ook niet lekken.
Maar hoe ga je de datagraaiers hiertoe bewegen? Forse boetes (standaard 10-33% van de wereldwijde bruto omzet oid), wetgeving, ???
06-12-2021, 13:28 door Anoniem
Ik kreeg hier vanochtend al een mailtje van, wist niet eens dat ik daar een account had. Kon het ook niet terugvinden in de mailbox.

Kan het ook automatisch aangemaakt zijn als je ergens anders een account maakt en dat er dan een koppeling komt tussen beide websites?
06-12-2021, 13:30 door MathFox
Door Anoniem: Straks zijn alle in gebruik zijnde e-mail adressen toegevoegd aan die database en is die daarmee waardeloos geworden...
Het is niet zo moeilijk om nieuwe e-mailadressen te genereren als je een eigen domein hebt.
06-12-2021, 13:41 door Anoniem
Slaat nergens op. Hackers proberen van alles, maar hun lijsten slaan meestal de plank mis.
Als er al een login+passwrd in zou staan handen we dat gemerkt.
06-12-2021, 14:34 door Anoniem
Kreeg vanochtend ook een mailtje hierover. Maar ik heb nog nooit gehoord van Gravatar, laat staan dat ik er gebruik van heb gemaakt. Aan het verhaal te lezen zou er ergens zijn gescraped. Ja, dan vraag ik mij af wat je hier nu weer tegen moet verzinnen? Ik weet het niet.
06-12-2021, 14:56 door Anoniem
@ Vandaag, 13:28 door Anoniem,

Bij Gravater heb je dan ooit een keer een account aangemaakt, voor een site of zo.
Dat wordt niet gekoppeld omdat jij je ergens anders aangemeld heb.
06-12-2021, 15:20 door Anoniem
Een E-Mail account voor een avatar...
06-12-2021, 19:00 door Anoniem
Door Anoniem: Straks zijn alle in gebruik zijnde e-mail adressen toegevoegd aan die database en is die daarmee waardeloos geworden...
Er zijn iets van 6 miljoen .nl domeinen en met één domein kan ik al (bijna) oneindig veel e-mailadressen hebben, dus ik denk dat HIBP nog wel even vooruit kan. ;-)
07-12-2021, 13:07 door Anoniem
Op de website staat hetvolgende, voor diegene die niet weten dat ze daar bekend zijn. Komt wellicht doordat je wel iets met WordPress hebt gedaan(?):

Gravatar is geïntegreerd op miljoenen sites en is een gratis service voor site-eigenaren, -ontwikkelaars en iedereen die een moeiteloze en geverifieerde manier wil hebben om hun online identiteit te creëren.

Gravatar is sinds 2007 een project van Automattic. Gravatar is geïntegreerd in elk WordPress.com-account en is geïmplementeerd om een open web tot stand te brengen.


Dus wellicht is WordPress ook gehackt????
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.