Op linkedin kwam ik een post tegen van Tijme. Hij geeft weer hoe hij een social media account van een VIP heeft kunnen 'kraken'.
Dit zag je NIET in #Hunted VIPS, maar het gebeurde wel!
De productie kort honderden uren aan opnames in tot 6 afleveringen. Daarom halen sommige van de coolste hacks de TV niet, omdat ze niet altijd tot een aanhouding leiden.
In het afgelopen Hunted VIPS seizoen hackte Martijn Hoogesteger en ik de social media accounts van een van de VIPS. Absoluut tot mijn verbazing 😲. Misschien naïef, maar ik had gedacht dat VIPS professionele ondersteuning krijgen in het beveiligen van hun online identiteit.
Onderstaand kort het aanvalsnarratief.
1. De officier gaf toestemming de online accounts van een van de voortvluchtigen te hacken.
2. Middels gelekte databases met daarin persoonsgegevens, onder andere het TicketMaster datalek, konden we verschillende e-mailadressen van de VIP achterhalen.
3. In een andere gelekte database, van een social media platform dat ooit gehackt is, vonden we een wachtwoordhash van een oud account/e-mailadres van de VIP.
4. Middels tools als hashcat.net was het mogelijk de wachtwoordhash te kraken en het wachtwoord in te zien.
5. Ik neem het wachtwoord hier niet op, maar stel je even voor dat het wachtwoord "MijnKatHeetXYZ2015" was. Dit wachtwoord was helaas niet meer geldig.
6. Natuurlijk probeerde we ook "MijnKatHeetXYZ2023" (huidige jaartal). Deze bleek geldig voor Facebook 😱! Maar inloggen lukte helaas niet, gezien een extra identiteitsverificatie. Deze verificatie konden we niet omzeilen. Op andere platformen werkte het wachtwoord helaas niet.
7. We weten echter hoe Jan Modaal (maar blijkbaar ook VIPS) wachtwoorden bedenken. Na vele pogingen komen we achter een werkend wachtwoord "MijnKatHeetXYZ2023!" voor een aantal andere social media platformen, zoals onder andere Instagram 🚀.
8. We zijn ingelogd en proberen informatie te vinden over de vlucht, maar helaas tevergeefs. Wel lukt het ons om in gesprek te komen met de partner van de VIP, om zo informatie over de vlucht in te winnen.
Ik vraag me af in hoeverre organisaties afdwingen dat een wachtwoord aanzienlijk veranderd wordt tijdens een reset. Er zijn technisch gezien mogelijkheden voor. Zo slaat Facebook verschillende hashes op van permutaties van een wachtwoord, om te checken of de hashes overeenkomen met een nieuwe wachtwoordhash.
Wil je weten of jouw wachtwoorden zijn gelekt? Check dan eens haveibeenpwned.com. Er zijn zelfs platformen waarmee je gelekte wachtwoorden ook daadwerkelijk kunt inzien 😉.