Coolblue heeft groot securityproblemen met hun login systeem

[sebastienbo]

Coolblue heeft problemen met hun login systeem

Vandaag logde ik aan op mijn zakelijke account van coolblue.
Vreemd genoeg zat ik niet plotseling niet in mijn account maar in die van iemand anders van antwerpen...
Ik kan al zijn bestellingen zien, zijn adres en prive informatie...

Nadien refreshde ik en plotseling ben ik aangelogd als nog een andere persoon en zie ik daar alle informatie van...
Ik heb screenshots van beidde voorvallen.

Dit lijkt me een enorm probleem...ik wil niet dat iemand mijn gegevens kan zien en veranderen.

Merkte iemand anders dit ook?

[F_J_K]

Kan je niet beter contact opnemen met hen?

[sebastienbo]

Ik merk trouwens ook dat ik van deze tweede persoon (een zekere knip) ook haar shopping cart content zie , blijkbaar een Netgear GS116 16-Poorts Gigabit Switch
En elke keer ik refresh heb ik iemand anders zijn gegevens en cart met andere artikelen

[ Voor 24% gewijzigd door iisschots op 16-11-2017 05:09 ]

[sebastienbo]

Ik heb al proberen te contacteren maar de telefoon neemt niet op, het lijkt super druk

Het valt me op dat als ik uitlog, dat ik niet meer met mijn eigen account kan aanloggen.
Het lijkt alsof de credentials helemaal gemengeld zijn in hun db

[tha_crazy]

Ik zou gewoon even contact opnemen met coolblue.
Lijkt wel een probleem te zijn, ik kan namelijk niet inloggen en ook mijn wachtwoord niet veranderen.

[MAX3400]

sebastienbo schreef op donderdag 19 oktober 2017 @ 13:47:
Ik merk trouwens ook dat ik van deze tweede persoon (een zekere .....)

Jij wil niet dat anderen jouw gegevens kunnen zien/wijzigen; is het dan handig hier halve info van anderen te gaan posten?

[Aksnes]

sebastienbo schreef op donderdag 19 oktober 2017 @ 13:49:
Ik heb al proberen te contacteren maar de telefoon neemt neit op, het lijkt super druk

Het valt me op dat als ik uitlog, dat ik niet meer met mijn eigen account kan aanloggen.
Het lijkt alsof de credentials helemaal gemengeld zijn in hun db

Vreemd. Dit valt mij op het moment ook op. Zowel mijn zakelijk als prive account werkt het wachtwoord niet meer.

[sebastienbo]

Zo lang er geen herkenbare zaken tussen zijn, kan je toch niet spreken dat ik iets van hun gepost heb?

[Vorkie]

Idem hier, ook een wachtwoord reset geeft de volgende foutmelding;

Fout bij het opslaan van je gegevens.
Er heeft zich een onbekende fout voorgedaan tijdens het wijzigen van je wachtwoord.

[tha_crazy]

Ondertussen ook bekend op hun facebook al:
https://www.facebook.com/...munity/?ref=page_internal

Verwacht dat er een update van het systeem is geweest wat niet lekker is gegaan, zal wel weer een rollback plaatsvinden waarna alles weer in orde is.

Dat andermans zaken te zien zijn is aan de andere kant wel een aardig slordig puntje

[ Voor 52% gewijzigd door tha_crazy op 19-10-2017 13:52 ]

[Bockelaar]

slordig? dat is een serieus datalek met privacy gevoelige gegevens...dat is geen slordig meer

[dbakker]

Stuur me even een prive bericht... ik kan je helpen aan de contactgegvens van de chief security officer bij Coolblue. Heb zelf ook ooit iets vergelijkbaars meegemaakt.

[Dutch_Celt]

Zo te zien is men er al mee bezig, dus of het echt nog nut heeft extra te melden...

https://twitter.com/Coolblue_BE/with_replies

https://twitter.com/Coolblue_NL/with_replies

[ Voor 15% gewijzigd door Dutch_Celt op 19-10-2017 14:11 ]

[Bolko]

Hier is ook niet meer in te loggen op mijn persoonlijke account. Ik denk dat ze de login voor nu dicht gegooit hebben om zo het lek even te dichten

[HKLM_]

Het zou nice zijn als bedrijven de status pagina zouden bijwerken bij een storing https://www.coolblue.nl/k...er/actuele-storingen.html

[B00st3r]

MAX3400 schreef op donderdag 19 oktober 2017 @ 13:49:
[...]

Jij wil niet dat anderen jouw gegevens kunnen zien/wijzigen; is het dan handig hier halve info van anderen te gaan posten?

Het is een voornaam en een willekeurig artikel wat bij CoolBlue te koop is. 'Halve info'? Wat een onzin.

[wizai]

Ik kan inmiddels weer inloggen.

[MAX3400]

B00st3r schreef op donderdag 19 oktober 2017 @ 14:15:
[...]


Het is een voornaam en een willekeurig artikel wat bij CoolBlue te koop is. 'Halve info'? Wat een onzin.

Dus als het bij CB gebeurt, mag je wel gedeeltelijke info posten op GoT maar als het gaat over V&A of oplichters, mag het niet.

Beetje met twee maten meten?

[Maarten2212]

Het inloggen werkt weer. Vanaf ongeveer 13:40 kon ik in andere accounts kijken, bij de klantenservice werd dit direct hoog opgenomen en werd niet veel later het complete inloggen geblokkeerd. Ze hebben adequaat gehandeld maar het is wel heel erg slordig dat dit bij zo'n groot bedrijf kan gebeuren.

[ Voor 0% gewijzigd door Maarten2212 op 19-10-2017 14:32 . Reden: typo ]

[Breezers]

Ik had precies hetzelfde inderdaad; inloggen en compleet willekeurige persoonsgegevens van andere klanten. Had een mail gestuurd naar klantenservice met de screenshots.

[Anoniem: 372672]

Precies dit had ik zelfs een keer bij DigiD... Dat was echt bizar.

[sebastienbo]

Iemand enig idee hoe zoiets technisch mogelijk is dat je gegevens van iemand anders random zou krijgen?

Sessions worden touch bijgehouden op de clients?
Hoe kan jouw session id door een programmeer fout bij iemand anders vertoont worden?

[Blommie01]

sebastienbo schreef op donderdag 19 oktober 2017 @ 13:45:
Coolblue heeft problemen met hun login systeem

Vandaag logde ik aan op mijn zakelijke account van coolblue.
Vreemd genoeg zat ik niet plotseling niet in mijn account maar in die van iemand anders van antwerpen...
Ik kan al zijn bestellingen zien, zijn adres en prive informatie...

Nadien refreshde ik en plotseling ben ik aangelogd als nog een andere persoon en zie ik daar alle informatie van...
Ik heb screenshots van beidde voorvallen.

Dit lijkt me een enorm probleem...ik wil niet dat iemand mijn gegevens kan zien en veranderen.

Merkte iemand anders dit ook?

Wel eens van Responsible Disclosure gehoord ?

[jeroen3]

sebastienbo schreef op donderdag 19 oktober 2017 @ 15:38:
Iemand enig idee hoe zoiets technisch mogelijk is dat je gegevens van iemand anders random zou krijgen?

Sessions worden touch bijgehouden op de clients?
Hoe kan jouw session id door een programmeer fout bij iemand anders vertoont worden?

Dit gebeurt wel eens als men de beschermde pagina door een caching server voert.
Steam heeft dit ook gehad.
Niet gezegd dat dit bij cb de oorzaak is.

[b2vjfvj75gjx7]

Is al opgelost;

Ik had 3x ingelogd, 3x gegevens van een ander gezien... niets mee gedaan - behalve screenshots en de servicedesk gemaild.

Binnen een uur kreeg ik antwoord en was het opgelost.

[ufear]

Caching niet helemaal lekker geconfigureerd aan de Coolblue zijde waarschijnlijk - zullen ze wel snel oplossen

[Meekoh]

sebastienbo schreef op donderdag 19 oktober 2017 @ 15:38:
Iemand enig idee hoe zoiets technisch mogelijk is dat je gegevens van iemand anders random zou krijgen?

Sessions worden touch bijgehouden op de clients?
Hoe kan jouw session id door een programmeer fout bij iemand anders vertoont worden?

Caching Caching Caching
Een pagina die dynamisch moet zijn wordt gecacht. Zo krijg jij de info van een ander te zien.

[sebastienbo]

Blommie01 schreef op donderdag 19 oktober 2017 @ 15:38:
[...]


Wel eens van Responsible Disclosure gehoord ?

Responsible Disclosure is er zo dat je niet publiekelijk een technische lek blootsteld die door anderen zou misbruikt kunnen worden.

De huidige situatie was publiekelijk aan het gebeuren en bevatte geen informatie dat misbruikt kon faciliteren.

[Blommie01]

sebastienbo schreef op donderdag 19 oktober 2017 @ 15:43:
[...]


Responsible Disclosure is er zo dat je niet publiekelijk een technische lek blootsteld die door anderen zou misbruikt kunnen worden.

De huidige situatie was publiekelijk aan het gebeuren en bevatte geen informatie dat misbruikt kon faciliteren.

En daarom dacht je om dan eerst maar een topic op Tweakers te openen om dit (data)lek met de rest van de wereld te delen...

Netjes hoor.

[sebastienbo]

Ik zoek geen discussies.

Ik kon gewoon niet door hun helpdesk geraken en vroeg me af of er iemand anders ook dat probleem had, dat is al.

[Maarten2212]

Volgens de klantenservice zijn van een paar accounts de gegevens ingezien, wellicht gaat het om een aantal klanten die meerdere personen gezien hebben. Op hadden verschillende plaatsen hadden mensen screenshots geplaatst van wat ze zagen (totaal niet netjes om te doen met andermans gegevens) en hier kwamen elke keer dezelfde personen naar boven.
Alle klanten van wie de gegevens door een ander ingezien zijn krijgen hier bericht over van Coolblue.

[JKP]

[ Voor 128% gewijzigd door JKP op 26-09-2023 15:12 ]

[anzaya]

JKP schreef op zaterdag 4 november 2017 @ 06:53:
Ik kom dit topic toevallig tegen, maar een en ander lijkt nog niet te werken zoals het hoort. Mijn mailadres had ik gewijzigd en kon daarna niet meer inloggen met mijn bestaande wachtwoord. Dus wachtwoord een reset gegeven en opnieuw geprobeerd, maar nog steeds niet mogelijk. Daarna van alles geprobeerd, maar zonder resultaat. Er lijkt iets mis te gaan bij het opslaan van het wachtwoord dan wel bij het wijzigen van een mailadres.

(Mochten iemand willen kijken of je hetzelfde euvel tegenkomt, dan houd ik me aanbevolen.)

Ik heb precies hetzelfde probleem, contact gehad met CoolBlue en de medwerker zie dat ze bezig zijn om de website een upgrade te geven en alles onder te brengen op 1 grote website.

Wanneer het opgelost is dat was niet bekend helaas.

[AW_Bos]

Misschien een late reactie, maar dit kan ook wel eens gebeuren bij grote proxies zoals bedrijven, die blijkbaar brak ingesteld staan. Natuurlijk is het zeker zinvol om eens te kijken of anderen op een ander netwerk het ook hebben. In dat geval is het iets bij de site zelf.

[ Voor 71% gewijzigd door AW_Bos op 20-12-2017 14:33 ]

[anzaya]

Update 16-01-2017: @Alien8 Het lijkt erop dat het wijzigen van je gegevens inmiddels weer werkt zoals het hoort. Wel merkwaardig dat bij zo'n grote website als Coolblue nergens een melding geplaatst wordt dat het wijzigen van gegevens (tijdelijk) niet goed functioneert.

Klopt, bij mij werkt het inloggen ook weer gelukkig!