'Gegevens 49 miljoen Dell-klanten gestolen via bruteforcen service tags'
Bij Dell zijn de gegevens van 49 miljoen klanten gestolen, wat mogelijk was door het bruteforcen van service tags in een 'partnerportal', zo stelt de verantwoordelijke aanvaller. Die informeerde Dell in april over het probleem. Dat laat de aanvaller tegenover TechCrunch weten. Gisteren stuurde Dell een e-mail naar klanten waarin het laat weten dat klantgegevens zijn gestolen. Verdere details over hoe het datalek kon ontstaan zijn niet door Dell gegeven.
De aanvaller stelt dat hij zich onder verschillende namen als partner bij het betreffende Dell-portal registreerde. Nadat Dell zijn accounts had goedgekeurd begon de aanvaller naar eigen zeggen met het bruteforcen van de service tags die Dell aan de producten van klanten toekent. Service tags bestaan uit zeven cijfers en medeklinkers. Volgens de aanvaller verstuurde hij vijfduizend requests per minuut naar de pagina waarmee klantgegevens via service tags zijn op te vragen, zonder dat Dell dit opmerkte.
Na drie weken en bijna vijftig miljoen requests had de aanvaller genoeg informatie en stuurde hij Dell meerdere e-mails over de kwetsbaarheid. Het probleem werd een aantal dagen later verholpen, aldus een verklaring van de aanvaller. Die deelde verschillende screenshots van de e-mails die hij halverwege april naar Dell stuurde met TechCrunch. Dell bevestigt tegenover de website dat het de e-mails van de aanvaller heeft ontvangen.
Wat je niet invult, heeft Dell natuurlijk niet. Weet niet of dit mogelijk is, lijkt mij in ieder geval niet verstandig met zulke dure apparatuur.
Ik heb mij nooit bij Dell hoeven registreren voor hun software.
Dell heeft hier verschillende fouten gemaakt. Om te beginnen is het dom dat via de service tag gegevens kunnen worden opgevraagd. Laat de klant maar een account aanmaken (als dat al ergens voor nodig is), binnen die account de tag registreren, maar niet de tag als identificatie voor die registratie gebruiken. Ten tweede is het nogal naïef om een hele stroom van pogingen om binnen te komen op accounts niet te herkennen en niet te blokkeren.
Dit is weer eens een voorbeeld van een bedrijf dat wél heeft gedacht aan wat een systeem wél moet kunnen maar heeft overgeslagen om stil te staan bij wat er níét mee moet kunnen. Dat kan je simpelweg niet overslaan als je iets maakt dat beveiliging nodig heeft, maar toch gebeurt het maar al te vaak. En dan is dit zelfs een reus van een pc-leverancier die hier toch echt kaas van moet hebben gegeten, want op die laptop of pc die je van ze hebt gekocht moet ook niet zomaar binnengedrongen kunnen worden.
Wat je niet invult, heeft Dell natuurlijk niet. Weet niet of dit mogelijk is, lijkt mij in ieder geval niet verstandig met zulke dure apparatuur.
Heleboel aannames, en ook nog eens incorrect.
Je hoeft de servicetag niet te gebruiken bij de eerste installatie, en je hoeft je contactgegevens niet in te vullen. Dell wil het graag, want dan kunnen ze je spammen met garantie uitbreidingen e.d., maar zonder kan je de laptop prima gebruiken. Of, voordat je dat ding gaat gebruiken zet je er een schone Windows (of Linux!) installatie op en heb je al die bloatware van Dell niet.
Zonder registratie heb je gewoon volledige garantie, en met het gebruik van uitsluitend de Servicetag kun je je garantietermijn opvragen, drivers downloaden, BIOS updates e.d. zonder dat een account nodig is. Daarmee kun je prima zelf je laptop up to date houden, of je gebruikt een van die tools van Dell die het automatisch voor je doet; dat werkt ook zonder account. Die kijkt naar de servicetag in de BIOS en bepaald dan zelf welke updates beschikbaar zijn.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Chief Information Security Officer
Met jou als Chief Information Security Officer werken we samen aan het inrichten van een digitale leer-, werk- en onderzoeksomgeving en investeren in digitalisering. De beveiliging van alle daarbij gebruikte middelen en informatie én het zorgen voor bewustzijn bij alle partijen is hierbij een belangrijke pijler. Daar kom jij in beeld.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.