Poging tot inbraak Facebook account?

[Leolinedance]

Ik ontving onderstaande mail:

Afzender: [e-mail]
Datum: 30 mei 2015 22:22
Onderwerp: Ben je bij Facebook aangemeld vanaf een nieuwe locatie?

Hallo Leolinedance

Het lijkt erop dat iemand zich om 30 mei om 22:22 met IE voor Windows 7 bij je account heeft geprobeerd aan te melden. Je account is veilig. We willen er alleen zeker van zijn dat jij het was en je vanaf een nieuwe locatie hebt geprobeerd aan te melden.

Als je denkt dat iemand anders zich bij je account heeft aangemeld, meld je je aan bij Facebook zodat we je een aantal stappen kunnen laten doorlopen om je account veilig te houden.

Bedankt,
Het Facebook-team

Het deel "meld je je aan bij Facebook" is een link die bij mij in Chrome niet werkt. Deze verwijst naar: http:///login/"

Ik heb vervolgens ingelogd via de normale weg en kreeg inderdaad de melding dat er geprobeerd was in te loggen vanuit Tilburg. Dit is ongeveer 25km van mijn woonplaats.

Ik heb mijn wachtwoord gewijzigd en alles werkt naar behoren.

Zoals jullie zullen begrijpen ben ik er niet gerust op. Ik zou graag willen weten of deze mail 'echt' is, gezien de niet werkende link erin en ik er niets over deze mail kan vinden op Google. Indien de mail wel legitiem is, houdt dit dan in dat iemand mijn wachtwoord weet? Of kan dit ook verschijnen doordat er enkel een poging tot inbraak gedaan is?

Bij voorbaat dank.

[iApp]

Ik zou gewoon m'n wachtwoord wijzigen en rustig afwachten. Meer kun je toch niet doen.

Edit: je kan voor de zekerheid de wachtwoorden van je bank, PayPal, Google en Apple wijzigen.

[ Voor 35% gewijzigd door iApp op 31-05-2015 00:36 ]

[AW_Bos]

Wat zeggen de headers van de mail? Van welke server is het afkomstig?

[Leolinedance]

Ik heb volgende kunnen achterhalen:

•Login checks failed
zaterdag 30 mei 2015 om 22:22 UTC+02
IP-adres: 77.165.67.20
Browser Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0)
Cookie: ...-

•Checkpoint Flow Started
zaterdag 30 mei 2015 om 22:22 UTC+02
IP-adres: 77.165.67.20
Browser Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0)
Cookie: ...mXW8

•Checkpoint Enrolled
zaterdag 30 mei 2015 om 22:22 UTC+02
IP-adres: 77.165.67.20
Browser Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0)
Cookie: ...mXW8

Er is dus wel degelijk een poging gedaan. Volgens Facebook was het de plaats Tilburg, wanneer ik het opzoek aan de hand van het IP adres lijkt het Amsterdam te zijn.

[Leolinedance]

AW_Bos schreef op zondag 31 mei 2015 @ 00:38:
Wat zeggen de headers van de mail? Van welke server is het afkomstig?

Received: from mx-out.facebook.com (outmail030.prn2.facebook.com. [66.220.144.157])
by mx.google.com with ESMTPS id m8si5591036ykb.108.2015.05.30.13.22.46

Zoals verwacht legitiem dus.

[AW_Bos]

Jep, foutje bij Facebook dus.

Als je het niet vertrouwd , dan zet je Aanmeldgoedkeuringen aan, zodat je bij onbekende browsers (waarmee nog nooit ingelogd is) een goedkeuring moet geven op je telefoon. Two-way authentication dus.

[Compizfox]

Het is inderdaad niet helemaal duidelijk of de inlogpoging nu wel of niet succesvol was.

Aan de ene kant doet

Het lijkt erop dat iemand zich om 30 mei om 22:22 met IE voor Windows 7 bij je account heeft geprobeerd aan te melden. Je account is veilig.

vermoeden dat de inlogpoging niet succesvol was. In dat geval heeft ie gewoon je wachtwoord proberen te raden maar is hem dat niet gelukt. Nothing to see here dus.

Maar aan de andere kant...

We willen er alleen zeker van zijn dat jij het was en je vanaf een nieuwe locatie hebt geprobeerd aan te melden.

Als je denkt dat iemand anders zich bij je account heeft aangemeld, meld je je aan bij Facebook zodat we je een aantal stappen kunnen laten doorlopen om je account veilig te houden.

Dit suggereert weer dat de attacker het wachtwoord juist wél heeft geraden maar niet door een extra check van Facebook heen is gekomen (omdat het vanaf een ongebruikelijk IP was).

Lekker duidelijk dus...

[Leolinedance]

AW_Bos schreef op zondag 31 mei 2015 @ 00:45:
Jep, foutje bij Facebook dus.

Als je het niet vertrouwd , dan zet je Aanmeldgoedkeuringen aan, zodat je bij onbekende browsers (waarmee nog nooit ingelogd is) een goedkeuring moet geven op je telefoon. Two-way authentication dus.

Staat nu ook aan. Maar neemt niet weg dat er dus een poging gedaan is om in te loggen onder mijn account.

[Leolinedance]

Compizfox schreef op zondag 31 mei 2015 @ 00:46:
Het is inderdaad niet helemaal duidelijk of de inlogpoging nu wel of niet succesvol was.

Aan de ene kant doet

[...]

vermoeden dat de inlogpoging niet succesvol was. In dat geval heeft ie gewoon je wachtwoord proberen te raden maar is hem dat niet gelukt. Nothing to see here dus.

Maar aan de andere kant...

[...]


Dit suggereert weer dat de attacker het wachtwoord juist wél heeft geraden maar niet door een extra check van Facebook heen is gekomen (omdat het vanaf een ongebruikelijk IP was).

Lekker duidelijk dus...

Dat vond ik ook. Maar n.a.v. de IP informatie lijkt het dus niet gelukt te zijn.
Vraag mij alleen heel erg af wie er in hemelsnaam een poging gaat doen mijn uiterst oninteressante Facebookaccount te kraken...

[NLKornolio]

Daarom wat is het probleem gebeurd regelmatig kunnen ze lekker spam versturen. Geen zorgen doe je password veranderen next...

[Leolinedance]

IP adres is van een ADSL / KPN verbinding in ieder geval.
Vermoedelijk dus van een vast adres in Tilburg.

Hmm, nog geen idee.

[Leolinedance]

caanova1984 schreef op zondag 31 mei 2015 @ 00:50:
Daarom wat is het probleem gebeurd regelmatig kunnen ze lekker spam versturen. Geen zorgen doe je password veranderen next...

Is dit het niveau tegenwoordig? Wat voor spam heb je het over?

Het lijkt er toch duidelijk op dat Facebook een terechte waarschuwing gestuurd heeft.

[AW_Bos]

Leolinedance schreef op zondag 31 mei 2015 @ 00:51:
[...]


Is dit het niveau tegenwoordig? Wat voor spam heb je het over?

Het lijkt er toch duidelijk op dat Facebook een terechte waarschuwing gestuurd heeft.

Gebeurt vaak zat. Malware spammen via priveberichten, mensen met geinfecteerde PC die dit ongemerkt kunnen doen?

Zorg voor een goed en sterk wachtwoord die je nergens anders voor gebruikt en je zit zeker safe.

[NLKornolio]

Leolinedance schreef op zondag 31 mei 2015 @ 00:51:
[...]


Is dit het niveau tegenwoordig? Wat voor spam heb je het over?

Het lijkt er toch duidelijk op dat Facebook een terechte waarschuwing gestuurd heeft.

Als je uit die melding een niveau kan halen Je gaat weinig informatie winnen uit een gekraakt Facebook account. Veel succes ermee.

[Leolinedance]

AW_Bos schreef op zondag 31 mei 2015 @ 00:55:
[...]

Gebeurt vaak zat. Malware spammen via priveberichten, mensen met geinfecteerde PC die dit ongemerkt kunnen doen?

Zorg voor een goed en sterk wachtwoord die je nergens anders voor gebruikt en je zit zeker safe.

Ik quotte iemand die het had over spammen door Facebook. Per mail dus, aangezien ik duidelijk heb aangegeven een mail te hebben ontvangen.

Dit 'spammen' zie ik dus totaal niet terug in de mail. Ook malware via PB's etc. staan hier volledig los van, snap niet waarom je dit erbij betrekt.Evenals dat een wachtwoord veilig moet zijn, lijkt mij basiskennis voor de computergebruiker.

[FooLsKi]

Ik denk dat je die persoon misinterpreteert. Volgens mij bedoelt diegene dat de 'hacker' die accounts gebruikt om mee te spammen middels privéberichten e.d.

[Leolinedance]

caanova1984 schreef op zondag 31 mei 2015 @ 00:55:
[...]

Als je uit die melding een niveau kan halen Je gaat weinig informatie winnen uit een gekraakt Facebook account. Veel succes ermee.

Ik ben het spoor volledig bijster. Ik heb het over het niveau van de post van die user.
En er is geen sprake van een gekraakt account, zoals eerder al aangegeven.

Bedankt in ieder geval, hopelijk kom ik er snel achter

[Leolinedance]

FooLsKi schreef op zondag 31 mei 2015 @ 01:00:
Ik denk dat je die persoon misinterpreteert. Volgens mij bedoelt diegene dat de 'hacker' die accounts gebruikt om mee te spammen middels privéberichten e.d.

Aha, dat zou kunnen natuurlijk. Indien dat zo is heb ik het inderdaad verkeerd begrepen. Het is mij uiteraard bekend dat dit voor komt bij gehackte Facebook accounts.

Maar aangezien deze Facebook mail legitiem (dus geen poging tot phishing) is en er inderdaad vanuit een adres relatief dicht in de buurt een inbraakpoging gedaan is valt te verwachten dat de achterliggende gedachte hier wel anders is. Dus dat ik geen random doelwit ben.

[ Voor 14% gewijzigd door Leolinedance op 31-05-2015 01:04 ]

[Compizfox]

Zolang hij je credentials niet heeft, is er toch helemaal niks aan de hand?

Als ik zou weten hoe je heet (daar kan ik misschien ook wel achter komen, maar daar ben ik te lui voor) zou ik nu 20 pogingen kunnen gaan doen om in te loggen op jouw account.

Betekent dat dat jij je zorgen moet gaan maken? Betekent dat dat je account niet veilig is? Nee natuurlijk niet, want ik heb geen flauw benul van wat je wachtwoord is en iemand die een poging doet om op een account in te loggen is niet zo'n groot nieuws.

Het wordt een groter probleem als de attacker jouw wachtwoord wél heeft. In dat geval heb je namelijk óf een zwak wachtwoord, of hij heeft je wachtwoord op een andere manier in handen gekregen (hij heeft toegang tot je email of tot je computer). Je begrijpt wel dat dat laatste natuurlijk heel ernstig is.

[Leolinedance]

Compizfox schreef op zondag 31 mei 2015 @ 01:04:
Zolang hij je credentials niet heeft, is er toch helemaal niks aan de hand?

Feitelijk niet, maar het baart mij al zorgen dat een bekende van mij blijkbaar zo'n poging doet. Ik ben ten eerste niet zo'n boeiend persoon en daarnaast nagenoeg niet actief op Facebook.

Als ik zou weten hoe je heet (daar kan ik misschien ook wel achter komen, maar daar ben ik te lui voor) zou ik nu 20 pogingen kunnen gaan doen om in te loggen op jouw account.

Betekent dat dat jij je zorgen moet gaan maken? Betekent dat dat je account niet veilig is? Nee natuurlijk niet, want ik heb geen flauw benul van wat je wachtwoord is en iemand die een poging doet om op een account in te loggen is niet zo'n groot nieuws.

Het wordt een groter probleem als de attacker jouw wachtwoord wél heeft. In dat geval heb je namelijk óf een zwak wachtwoord, of hij heeft je wachtwoord op een andere manier in handen gekregen (hij heeft toegang tot je email of tot je computer). Je begrijpt wel dat dat laatste natuurlijk heel ernstig is.

Dat is allemaal logisch. Maar er is totaal geen reden te bedenken waarom een random persoon mijn email adres uit zou kiezen om zo'n poging te wagen. En mijn mailadres levert maar liefst 3 hits op in Google, dus zo bekend is het ook niet.

[Compizfox]

Leolinedance schreef op zondag 31 mei 2015 @ 01:10:
[...]


Feitelijk niet, maar het baart mij al zorgen dat een bekende van mij blijkbaar zo'n poging doet. Ik ben ten eerste niet zo'n boeiend persoon en daarnaast nagenoeg niet actief op Facebook.

Hoe weet je dat het een bekende is?

[...]

Dat is allemaal logisch. Maar er is totaal geen reden te bedenken waarom een random persoon mijn email adres uit zou kiezen om zo'n poging te wagen. En mijn mailadres levert maar liefst 3 hits op in Google, dus zo bekend is het ook niet.

Tja, bots. Nee echt, dit is doodnormaal op het internet.

Iets anders maar wel gerelateerd: zet eens een servertje op die direct aan het internet hangt en kijk in de logs hoeveel bots op ssh proberen in te loggen met allerlei veelvoorkomende wachtwoorden. Daarvoor hoeft je IP-adres of het domein niet te vinden te zijn op internet: die bots zoeken gewoon alles af. Nog leuker experiment: host zo'n server met een veelvoorkomend wachtwoord en kijk hoeveel dagen het duurt voordat hij compromised is.

[ Voor 12% gewijzigd door Compizfox op 31-05-2015 01:15 ]

[Leolinedance]

Compizfox schreef op zondag 31 mei 2015 @ 01:14:
[...]

Hoe weet je dat het een bekende is?

Sterk vermoeden gezien de door Facebook vermeldde plaatsnaam. En zoals eerder gezegd gooi ik mijn email adres niet overal zo maar neer (wat niet weg neemt dat hij best érgens kan staan). En het als particulier proberen kraken van een random Facebook account is wel het meest nutteloze en kansloze wat je kunt doen toch?

Tja, bots. Nee echt, dit is doodnormaal op het internet.

Is het dan doodnormaal om te proberen in te loggen op een willekeurig Facebook account waarvan je het email-adres ergens hebt zien staan?

Iets anders maar wel gerelateerd: zet eens een servertje op die direct aan het internet hangt en kijk in de logs hoeveel bots op ssh proberen in te loggen met allerlei veelvoorkomende wachtwoorden. Daarvoor hoeft je IP-adres of het domein niet te vinden te zijn op internet: die bots zoeken gewoon alles af. Nog leuker experiment: host zo'n server met een veelvoorkomend wachtwoord en kijk hoeveel dagen het duurt voordat hij compromised is.

Bots staan hier toch compleet los van? Je hoeft mij niet te vertellen hoeveel inbraakpogingen op deze manier plaatsvinden, dat is mij allemaal bekend.

Maar één enkele poging tot het kraken van een Facebook account op 20 km afstand van het slachtoffer d.m.v. IE8 op een Windows 7 machine is m.i. gewoon verdacht. Dat is geen bot geweest in ieder geval.

Helaas valt er niet achter te komen, je snapt wel (en merkt ook wel denk ik) dat ik erg nieuwsgierig ben

[ Voor 16% gewijzigd door Leolinedance op 31-05-2015 01:28 ]

[Leolinedance]

Hoe betrouwbaar zou die plaatsnaam die Facebook noemt (Tilburg) eigenlijk zijn?

[Compizfox]

Misschien heb je gelijk en is het wel een bekende.

Maar maakt dat een effectief verschil? Ik snap dat je nieuwsgierig bent naar zijn motief maar daar valt, zoals je zelf al zegt, toch niet achter te komen. Als je een sterk wachtwoord gebruikt komt ie er toch niet in. Ik zou me er niet zo druk over maken.

[Leolinedance]

Compizfox schreef op zondag 31 mei 2015 @ 01:30:
Misschien heb je gelijk en is het wel een bekende.

Maar maakt dat een effectief verschil? Ik snap dat je nieuwsgierig bent naar zijn motief maar daar valt, zoals je zelf al zegt, toch niet achter te komen. Als je een sterk wachtwoord gebruikt komt ie er toch niet in. Ik zou me er niet zo druk over maken.

Effectief maakt dat geen enkel verschil nee.

Druk maken is een groot woord, vroeg mij in de eerste plaats af of de mail legitiem was. Dat bleek zo te zijn, en toen kwam ik dus achter de rest (IP adres enzo).

Wie weet kom ik er nog eens achter, anders pech gehad inderdaad.

[tweakerjunior]

Hmmm vreemd. Dit heb ik net gelezen op AW. http://androidworld.nl/apps/facebook-gehackt/

[AW_Bos]

FooLsKi schreef op zondag 31 mei 2015 @ 01:00:
Ik denk dat je die persoon misinterpreteert. Volgens mij bedoelt diegene dat de 'hacker' die accounts gebruikt om mee te spammen middels privéberichten e.d.

Dat zijn vaak de zaken die gebeuren als iemand je account gekaapt heeft. En die eigenaar achter de computer op dat IP-adres hoeft zelf ook geeneens weet te hebben dat het hacken via zijn computer gebeurt. Zulke criminele doeleinden vinden nou plaats via botnets, zodat de echte dader juist moeilijk op te sporen is. Maar goed, het kan ook direct een individu zijn die wat wachtwoorden probeert in te voeren. Dus gebruik een moeilijk, sterk en uniek wachtwoord, let op de app's en permissies die koppelt aan je Facebook account en je bent veilig.

[ Voor 16% gewijzigd door AW_Bos op 31-05-2015 10:33 ]

[Trommelrem]

Niet druk om maken. De emails zijn legitiem en zijn van Facebook zelf. De inlogpogingen vinden ook daadwerkelijk plaats. Dat zijn gewoon bots die proberen in te loggen met diverse usernames/passwords. Ik krijg dagelijks ook wel zo'n mailtje. Zorg er in ieder geval voor dat je wachtwoord minimaal 32 karakters is en ook karakters bevat uit de 128-255 ANSI-reeks.

Zet eens voor de grap een Windows XP server op een publiek IP adres en kijk in de eventlog hoe veel inlogpogingen er plaatsvinden. Precies dat gebeurt er ook met die miljarden Facebook accounts: Bots die op al die accounts, inclusief die van jou, proberen in te loggen.

[ Voor 46% gewijzigd door Trommelrem op 31-05-2015 10:38 ]

[AW_Bos]

Leolinedance schreef op zondag 31 mei 2015 @ 01:29:
Hoe betrouwbaar zou die plaatsnaam die Facebook noemt (Tilburg) eigenlijk zijn?

Via een IP2GeoLocation kom ik uit in Amsterdam, maar daar zal hoogstens dan de eigenaar van het IP (KPN/Direct-ADSL) zitten.

Als Facebook Tilburg aangeeft, zou dit mogelijk de door GPS gevonden locatie zijn waar de eigenaar op dat moment misschien was met zijn laptop of mobiele device, waarmee hij/zij probeerde toegang te verschaffen.
Als je zekerheid wilt, en stuur een leuk mailtje naar de verwachtte persoon toe waarin je vraagt of hij je terug wilt mailen, waarna je dan kijkt naar de headers, naar het X-Originating-IP ofzo. Mogelijk zie je een verband...

Zo ja, dan kan je hem in real-life betrappen, maar hoe je dat doet, laat ik aan jouw over .

Trommelrem schreef op zondag 31 mei 2015 @ 10:32:
Precies dat gebeurt er ook met die miljarden Facebook accounts: Bots die op al die accounts, inclusief die van jou, proberen in te loggen.

Ook mijn Linux-servers zijn dagelijks bezig om IP's aan de lopende band te blokkeren als ze mijn wachtwoord willen raden. Tegen die mensen doe je niks, gewoon zorgen dat je ze na een aantal retry's gewoon bant en een sterk password hebt. En bij voorkeur geen directe admin-rechten op Linux. Of nog beter SSH-keys

[ Voor 26% gewijzigd door AW_Bos op 31-05-2015 10:44 ]

[Leolinedance]

Trommelrem schreef op zondag 31 mei 2015 @ 10:32:
Niet druk om maken. De emails zijn legitiem en zijn van Facebook zelf. De inlogpogingen vinden ook daadwerkelijk plaats. Dat zijn gewoon bots die proberen in te loggen met diverse usernames/passwords. Ik krijg dagelijks ook wel zo'n mailtje. Zorg er in ieder geval voor dat je wachtwoord minimaal 32 karakters is en ook karakters bevat uit de 128-255 ANSI-reeks.

Zet eens voor de grap een Windows XP server op een publiek IP adres en kijk in de eventlog hoe veel inlogpogingen er plaatsvinden. Precies dat gebeurt er ook met die miljarden Facebook accounts: Bots die op al die accounts, inclusief die van jou, proberen in te loggen.

Dat snap ik, maar (ik blijf het herhalen) is mij nog nooit overkomen in een jaar of 8. En dat de 1e inbraakpoging die door Facebook wordt gemeld uitgerekend uit Tilburg moet komen is wel toevallig dan toch? Trouwens, het is toch helemaal niet mogelijk om meer dan 3 pogingen te doen bij het inloggen? Good luck dan

Normaals, dit is dus waarschijnlijk GEEN bot.

Die wachtwoorden zijn inderdaad prima, maar erg onpraktisch. Je moet de sterkte van het wachtwoord aanpassen aan het risico. Voor een relatief onbelangrijk Facebook account waar je slechts 3 inlogpogingen kan doen hoef je dus helemaal niet zo'n moeilijk wachtwoord te kiezen.

En je opmerking over de XP computer is ook al in iets andere vorm gemaakt, en daar hem ik al op gereageerd. Ik raad je aan het topic even te lezen voordat je reageert .

[Johannes77]

Mijn vriendin kreeg die meldingen van Facebook, en uiteindelijk kwamen we er achter waar haar meldingen vandaan komen. Als zij op mijn laptop "in private" op Facebook inlogt, lijkt het er op dat ze een ander ipadres gebruikt. Facebook gaf aan dat er vanuit Hilversum ingelogd werd, terwijl we in Koudekerk Aan Den Rijn wonen.