Ebay.nl - Mail adres gewijzigd en logins, iemand meer?

[Sounderr]

Mijn vraag
Ik heb sinds jaar en dag een account op eBay waar ik sporadisch gebruik van maak. Vorige week wilde ik een onderdeel gaan zoeken, probeerde in te loggen, maar kwam niet in mijn account. Uiteindelijk kon ik via SMS authenticatie in mijn account komen, en tot mijn grote schrik was het mail adres gewijzigd naar een @yahoo.com adres (zelf nooit een bezit gehad).

Uiteindelijk heb ik met wat moeite het mail adres weer terug kunnen wijzigen (wachtwoord was hetzelfde gebleven) naar mijn eigen e-mail adres, en heb direct 2FA ingeschakeld op mijn eBay account. Natuurlijk een mail richting de helpdesk gestuurd wanneer dit gebeurd is, maar (3 dagen geleden) nog geen antwoord (eigenlijk binnen 24u maarja).

Maar nu komt het echte vreemde. Ik heb mijn mail adres terug gewijzigd, het wachtwoord gewijzigd en het zo even gelaten (wachten op antwoord helpdesk). Krijg ik gisterochtend at random een SMS met mijn verificatiecode. Dat betekent dus dat er iets of iemand mijn gewijzigde wachtwoord in heeft gevoerd en dus op de 2FA terecht komt. Direct gekeken of er iets was gewijzigd aan mijn account, maar "ze" zijn niet voorbij de tweede stap gekomen. Nu wordt het nog vreemder; Ik wijzig direct nogmaals mijn wachtwoord en vanochtend krijg ik weer geheel willekeurig een SMS met daarin mijn verificatiecode, dus weer eerste prompt doorgekomen!

Wat ik al gevonden of geprobeerd heb
- 2FA ingeschakeld op eBay account en wachtwoord gewijzigd
- 2FA staat al lang ingeschakeld op mail adres wat is gekoppeld aan account
- Mail adres zelf is niet gehacked o.i.d. en heb daar volledige toegang tot, geen verdachte activiteit.
- Zelfs even computer opnieuw voorzien van Windows 10 en AV tig keer gedraaid of er iets gevonden word (keylogger o.i.d.)
- Er is op dit moment niks verdachts met andere accounts op websites. Wel alle wachtwoorden keer aangepast.

Het enige wat me opvalt, is wanneer ik inlog op eBay en ik voer 100% mijn juiste wachtwoord in, krijg ik toch een redirect naar 2e login prompt. Alle URL's verwijzen gewoon naar eBay.nl en staat niks vreemd in sessie / URL of whatever. Alleen consequent op de eerste login prompt, word ik doorgestuurd naar de 2e, ookal voer ik mijn juiste wachtwoord in.

Heb zojuist maar mijn account maar gesloten omdat ik het allemaal niet meer vertrouwd. Enige reden die eBay opgeeft dat je gegevens gewijzigd is, wanneer iemand toegang heeft tot je gekoppelde mail adres maar dat is niet het geval. Ik snap er werkelijk helemaal niks meer van , vandaar even dit topic. Om het het melden, en uiteraard te vragen of iemand meer de afgelopen tijd ervaring heeft met willekeurige logins danwel gewijzigde gegevens.

Ik kan niks vinden over bekende problemen bij eBay, heeft iemand hier toevallig wel iets over gevonden of gehoord?

Alvast bedankt!

[Hackus]

Wat is je vraag nu eigenlijk ?

[DaCoTa]

Rapporteren bij eBay? https://pages.ebay.com/securitycenter/report_concern.html

[CH4OS]

Een gecomprimeerde mailbox zou iedereen wel willen! Een gecompromitteerde bedoel je denk ik. Hoe weet je zeker dat die niet gecompromitteerd is? En daarnaast kan het natuurlijk door van alles komen dat ze bij 2FA terecht komen, wellicht is dat standaard, om uiteindelijk het password met de 2FA tezamen te contoleren, dat zie ik althans wel vaker, dus dat je wel de SMS krijgt hoeft niet per definitie wat te zeggen over dat ze jouw wachtwoord weten. Een andere optie kan zijn dat je een keylogger hebt, om een simpele te noemen.

[Sounderr]

Hackus schreef op donderdag 24 januari 2019 @ 13:14:
Wat is je vraag nu eigenlijk ?

Heb het even toegevoegd, of er iemand is met soortgelijke ervaringen of iets heeft gehoord van bekende aanval of lek bij eBay. Dat lijkt niet een lokaal probleem te zijn.

CH4OS schreef op donderdag 24 januari 2019 @ 13:17:
Een gecomprimeerde mailbox zou iedereen wel willen! Een gecompromitteerde bedoel je denk ik. Hoe weet je zeker dat die niet gecompromitteerd is? En daarnaast kan het natuurlijk door van alles komen dat ze bij 2FA terecht komen, wellicht is dat standaard, om uiteindelijk het password met de 2FA tezamen te contoleren, dat zie ik althans wel vaker, dus dat je wel de SMS krijgt hoeft niet per definitie wat te zeggen over dat ze jouw wachtwoord weten. Een andere optie kan zijn dat je een keylogger hebt, om een simpele te noemen.

Gecompromitteerde Vandaar dat ik ook al een Windows 10 herinstallatie heb uitgevoerd en verschillende AV's heb laten scannen om keyloggers/malware uit te sluiten. Echt zeker weten doe je het nooit natuurlijk, maar als ik kijk bij laatste logins en tevens staat 2FA op die mailbox ook aan. Kan ik er met 99,9% vanuit gaan dat dit niet het geval is.

DaCoTa schreef op donderdag 24 januari 2019 @ 13:17:
Rapporteren bij eBay? https://pages.ebay.com/securitycenter/report_concern.html

Heb ik al gedaan maar krijg geen antwoord/contact.

Bedankt voor jullie antwoorden!

[ Voor 9% gewijzigd door Sounderr op 24-01-2019 14:10 ]

[CH4OS]

Sounderr schreef op donderdag 24 januari 2019 @ 14:09:
Gecompromitteerde

Gecomprimeerd is het in elk geval niet, zoals je wel schreef in jouw topicstart. Of is jouw mailbox opeens kleiner? Mag hoor, ik vind het prima, maar jij bedoelt wel degelijk wat anders. Verdiep je dus even in de betekenissen van beide termen, voordat je dergelijke uitspraken zoals deze doet.

Vandaar dat ik ook al een Windows 10 herinstallatie heb uitgevoerd en verschillende AV's heb laten scannen om keyloggers/malware uit te sluiten. Echt zeker weten doe je het nooit natuurlijk, maar als ik kijk bij laatste logins en tevens staat 2FA op die mailbox ook aan. Kan ik er met 99,9% vanuit gaan dat dit niet het geval is.

Windows opnieuw installeren geeft alleen de zekerheid dat er geen rotzooi zoals keyloggers is, dat is dus al een mooie stap, maar die had je ook niet in jouw topic start gezet. Daarnaast kun je via bijvoorbeeld https://haveibeenpwned.com/ checken of jouw e-mailadres ooit in verkeerde handen is geweest en dan is het dus goed mogelijk dat men erbij kon.

Als je het niet vertrouwd, ondanks dat je zelf al contact hebt opgenomen met eBay, kun je ook nog naar de Autoriteit Persoonsgegevens stappen, zodat zij een onderzoek kunnen starten want inzake de GDPR / AVG zal geen enkel bedrijf om een boete staan te springen, als dergelijke info blijkbaar wel kan lekken.

[Hackus]

@Sounderr Nee, ook niks van gehoord in mijn omgeving.

[Sounderr]

CH4OS schreef op donderdag 24 januari 2019 @ 14:17:
[...]
Gecomprimeerd is het in elk geval niet, zoals je wel schreef in jouw topicstart. Of is jouw mailbox opeens kleiner? Mag hoor, ik vind het prima, maar jij bedoelt wel degelijk wat anders. Verdiep je dus even in de betekenissen van beide termen, voordat je dergelijke uitspraken zoals deze doet.
[...]
Windows opnieuw installeren geeft alleen de zekerheid dat er geen rotzooi zoals keyloggers is, dat is dus al een mooie stap, maar die had je ook niet in jouw topic start gezet. Daarnaast kun je via bijvoorbeeld https://haveibeenpwned.com/ checken of jouw e-mailadres ooit in verkeerde handen is geweest en dan is het dus goed mogelijk dat men erbij kon.

Dacht de vrije vertaling van het Engelse 'compromised' vertaald kon worden maar blijkbaar niet. Heel relevant ook over de vraag die ik stel! Tevens had ik onder het kopje "Wat heb je al geprobeerd" netjes erbij gezet dat Windows 10 opnieuw is geïnstalleerd en er is gecontroleerd op keyloggers.

Ben benieuwd of er iemand enige verklaring of idee heeft hoe dit kan gebeuren. Als ik meer hoor van eBay dan laat ik dat uiteraard ook weten maar ondertussen dag 3, weinig vertrouwen in.

[MsG]

Gebruik je wellicht een browser die synchroniseert met je profiel en daarin een malafide extensie bij zit? Bijvoorbeeld een browser als Google Chrome, of Mozilla Firefox.

Het gebeurt steeds vaker dat legitieme extensies soms ineens van eigenaar veranderen. Deze extensies kunnen soms best veel gegevens verkrijgen als ze actief zijn.

Scan anders eens met iets als ADWCleaner of Malwarebytes, virusscanners verklaren de browser soms iets te makkelijk als veilig.

Had hier zelf last van met een extensie die de hele tijd referral-redirects er tussen gooide, om zo aan mij te verdienen.

De redirect naar de 2e login-prompt stelt me wat ongerust namelijk.

Kan je deze eens ontleden? Voor hetzelfde geld wordt er ook een referral tussengegooid.

[ Voor 4% gewijzigd door MsG op 24-01-2019 16:06 ]

[CH4OS]

Sounderr schreef op donderdag 24 januari 2019 @ 15:42:
Dacht de vrije vertaling van het Engelse 'compromised' vertaald kon worden maar blijkbaar niet.

Dat je iets vertaald is prima, maar gebruik dan wel de juiste. Comprimeren is wat anders, dat is alles wat ik aangeven wil. Niks mis mee toch, om een ander iets uit te leggen?

MsG schreef op donderdag 24 januari 2019 @ 16:06:
Gebruik je wellicht een browser die synchroniseert met je profiel en daarin een malafide extensie bij zit? Bijvoorbeeld een browser als Google Chrome, of Mozilla Firefox.

TS heeft meermaals Windows opnieuw geïnstalleerd, de kans dat zoiets er tussen zit, is dan wel klein.

Scan anders eens met iets als ADWCleaner of Malwarebytes, virusscanners verklaren de browser soms iets te makkelijk als veilig.

Zoals ik het lees, heeft de TS ook hiervoor meerdere tools en scanners gebruikt. En ook hier weer; ook heeft de TS de PC opnieuw geinstalleerd. Hoeveel schoner wil je het hebben? Het enige wat dan eventueel zou kunnen is dat de installatie media niet clean was/is.

[ Voor 56% gewijzigd door CH4OS op 24-01-2019 16:12 ]

[MsG]

Die extensie zit gewoon op Google-accountniveau in je Chrome-browser en wordt bij inloggen gewoon weer gesynchroniseerd. Google is vrij reactief (lees laat: met het intrekken van malafide add-ons). Die malafide add-on had ik dan ook gewoon op elke computer die ik gebruikte, dus een schone installatie maakt daarbij geen verschil.

[ Voor 25% gewijzigd door MsG op 24-01-2019 16:19 ]

[Sounderr]

De enige twee extensies die ik gebruik binnen Chrome zijn uBlock Origin en Disconnect me. Tevens heb ik na mijn Windows 10 herinstallatie ook Chrome opnieuw geïnstalleerd zonder add-ons, dus mocht er malafide zaken tussen zitten lijkt me dat er meer meldingen zouden zijn.

MsG schreef op donderdag 24 januari 2019 @ 16:06:De redirect naar de 2e login-prompt stelt me wat ongerust namelijk.

Kan je deze eens ontleden? Voor hetzelfde geld wordt er ook een referral tussengegooid.

Ik ga naar ebay.nl en druk linksbovenaan op login, dit stuurt me naar een login pagina. De 1e URL staat hieronder, hier voer ik 100% mijn correcte gegevens in. Daarna geeft hij aan je gebruikersnaam/wachtwoord is onjuist en kom ik op login pagina terecht (2e URL). Hierna worden wel mijn gegevens geaccepteerd en ontvang ik SMS met authenticatie code. Diegene die inlogt moet dus eerst het wachtwoord juist invoeren, anders krijg ik überhaupt geen SMS.

Op deze 2e pagina (signin.ebay.nl) staat gewoon een HTTPS certificaat actief die ook klopt met de URL.
1e URL: https://signin.ebay.nl/ws...ps%3A%2F%2Fwww.ebay.nl%2F
2e URL: https://www.ebay.nl/ws/eB...d=gebruikersnaam&errmsg=8

Alles is gewoon echt en klopt naar mijn idee, vandaar dat ik absoluut geen verklaring kan vinden voor mezelf waarom dat dit gebeurd en daarom kan ik het ook niet loslaten. Mocht iemand tips hebben, ik hoor het graag, alvast bedankt!

[frickY]

Kan je de SSL certificaten van beide urls eens vergelijken?

Als je op de eerste URL een fout wachtwoord invult, kom je dan ook op de tweede?
Als je dat doet na een nieuw wachtwoord, wordt er dan ook al zo snel op je account ingelogd?

Probeer uit te sluiten of die eerste URL ermee te maken heeft

[ Voor 67% gewijzigd door frickY op 24-01-2019 18:42 ]

[nachtnet]

Even een kronkel. (nachtnet heeft klok-koepel horen luiden..)

Dns tabel in router mogelijk gewijzigd?

[Sounderr]

nachtnet schreef op donderdag 24 januari 2019 @ 18:47:
Even een kronkel. (nachtnet heeft klok-koepel horen luiden..)

Dns tabel in router mogelijk gewijzigd?

Heb een eigen router met DD-WRT en daarvoor hangt mijn ISP modem (zit functie niet eens op). Heb het even gecontroleerd maar staan geen entries in.

Ondertussen is het account verwijderd en het 'probleem' daarmee verholpen, maar blijft toch echt heel vreemd. Nog geen antwoord vanuit eBay. Topic mag wat mij betreft gesloten worden.