image

Gokwebsite 1Win lekt persoonlijke gegevens van 96 miljoen gebruikers

dinsdag 4 februari 2025, 10:32 door Redactie, 4 reacties
Laatst bijgewerkt: 04-02-2025, 11:39

Gokwebsite 1Win heeft eind vorig jaar de persoonlijke gegevens van meer dan 96 miljoen gebruikers gelekt. Het gaat om geboortedatums, e-mailadressen, geografische locatie, ip-adressen, wachtwoordhashes (SHA-256) en telefoonnummers. De gestolen data werd vervolgens op internet aangeboden. Onder de gelekte e-mailadressen zouden ook veel e-mailadressen van bedrijven en hogeronderwijsinstellingen zitten.

1Win bevestigde de aanval via het eigen Telegram-kanaal en stelde ook dat de aanvaller de gokwebsite had geprobeerd af te persen, zo meldt Crypto Adventure. Hoe de data kon worden gestolen is niet bekendgemaakt. De gestolen e-mailadressen zijn nu toegevoegd aan datalekzoekmachine Have I Been Pwned. Via de zoekmachine kunnen mensen kijken of hun e-mailadres in een bekend datalek voorkomt. Van de meer dan 96 miljoen e-mailadressen was zeventien procent al via een ander datalek bekend. Dit is in vergelijking met veel andere datalekken een zeer laag percentage.

Reacties (4)
04-02-2025, 11:07 door Anoniem
Ik vind dat echt een krankzinnig groot aantal. En dit is dan slechts 1 site! Zit heel de wereld soms op goksites? Hoeveel probleemgokkers zouden hier niet tussen zitten? Het internet is mooi, maar ik denk wel eens dat dit soort dingen een recept is voor heel veel ellende achter voordeuren.
04-02-2025, 11:34 door Anoniem
Dit is toch oud nieuws? Kreeg hier eind vorig jaar al bericht van via Scattered Secrets.
05-02-2025, 09:38 door Anoniem
Dat is dan duidelijk: 1 win, 96 million losses.
05-02-2025, 09:40 door Erik van Straten
SHA-256 hashes zijn net zo kwetsbaar voor "reversal" (dictionary based + brute force) als MD5 (en nee, MD5 is niet gebroken voor wachtwoordhashes: net als SHA-256 is het veel te snel: https://tweakers.net/nieuws/217734/#r_19528434).

Risico: hergebruikte zwakke wachtwoorden.

Stomme fix: een TOTP passwordmanager (nog stommer: SMS "2FA"/"MFA"). Want: niet-phishing-resistant.

Slimme fix: gebruik een volwaardige wachtwoordmanager die de domeinnaam checkt, en laat die app voor elk account een zo lang mogelijk random (dus meestal uniek) wachtwoord genereren. Zie Veilig Inloggen: https://security.nl/posting/840236. Met Android screenshot: https://infosec.exchange/@ErikvanStraten/113549056619471557; Engelstalige details in https://infosec.exchange/@ErikvanStraten/113022180851761038.

Ook slim: sinds iOS/iPadOS v18.2 ondersteunt ook Safari "Waarschuwing voor onveilige verbinding": zet dat aan! Hoe (NL): https://infosec.exchange/@ErikvanStraten/113946883735914839.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.