Datalek allekabels.nl, kabeltje.com, Dutchdo, etc.

[martijn946]

Tweakers,

Ik heb mijn eigen domeinnaam en heb catch-all aanstaan. Voor alle accounts die ik online gebruik heb ik verschillende mailadressen die allemaal in 1 postvak binnenkomen. Bij mijn tandarts sta ik als tandarts@[domein].nl bekend en bij Bol als bol@[domein].nl. Ook alleen daar gebruik ik juist dat mailadres en nergens anders. Mensen verklaren mij voor gek, maar zo kan ik er achterkomen waar mijn mailadres wordt "gelekt" .

Een paar maanden geleden kreeg ik spontaan een spammail op het mailadres dat ik had achtergelaten bij onze Renault-dealer. (Waarvan we de auto inmiddels verkocht hebben, goddank). Ik belde ze op, het interesseerde ze niet en ze "gingen het uitzoeken". Nooit meer iets van gehoord uiteraard.

Hetzelfde geintje gebeurde deze week bij "allekabels.nl". Nooit spam op dat mailadres gehad en ja hoor, spontaan verliep mijn Rabobank bankpas. Ik belde naar hen en kreeg de melding dat het "doorgekoppeld" zou worden. En wat schetse mijn verbazing? Ik kreeg zojuist keurig een mail van de COO:

Via deze weg willen wij informeren over een mogelijk datalek aan onze zijde waarbij ca. 5000 klantgegevens gelekt zijn. U ontvangt deze mail omdat uw gegevens deel uitmaken van deze set.
We hebben dit lek uit voorzorg ook gemeld bij de Autoriteit Persoonsgegevens.
We zijn op onderzoek uitgegaan en hebben geconstateerd dat er excessief klantdata is opgehaald door een medewerker (vermoedelijk vanuit een thuiswerksituatie).

Op basis van deze vervelende constatering hebben wij onze interne systemen strenger beveiligd waardoor dergelijke praktijken niet meer door onze medewerkers uitgevoerd kunnen worden in de toekomst.

We hebben tevens een project gedefinieerd waardoor we vanaf maart 2021 de e-mailadressen van onze klanten niet meer zonder encryptie zullen delen met onze partners. Op deze manier willen we een mogelijk datalek buiten onze eigen systemen ook voorkomen.
Zodra de nieuwe encrypted e-mail database online is gegaan, zullen we u een bericht sturen.

Ondanks dat het niet netjes is wat er is gebeurd (blijft mensenwerk) vind ik deze actie / mededeling erg netjes.

[RovloSQL]

Ik gebruik dezelfde aanpak en heb nog geen spam ontvangen op het unieke Allekabels emailadres. Ik heb wel vandaag het datalek bericht gekregen dus blijkbaar is dit aan alle betrokkenen uitgestuurd.

Ik mis alleen de details van de gelekte data in het bericht. Zijn alleen de emailadressen gelekt of gaat het om meer klantgegevens?

[Anoniem: 1302638]

Ik heb nog geen spam gehad, maar dat zegt niks. Mijn provider kan het blocken of ik ben gewoon nog niet aan de beurt.

Maak me meer zorgen om adres + naam en weet ik veel. Ik ben er scherp op, maar dat is een recept voor phishing

[martijn946]

Ik was net het topic aan het tikken toen ik dit zag:

nieuws: Allekabels waarschuwt 5000 klanten voor datalek van onbekende gegevens.

Stiekem geeft het mij dit (ondanks de mail en melding überhaupt) ook nog geen goed gevoel of zo. Kalf, verdronken, put.

[downtime]

Ik laat ook een uniek emailadres bij elke webshop achter en kreeg afgelopen maandag, op dat emailadres wat ik voor AlleKabels gebruik, ook al een fishing mail van "mijn bank".
Ik heb m'n password bij AlleKabels maar even aangepast en zag toen ook dat mijn IBAN-nummer ingevuld stond bij mijn persoonsinformatie. Geen idee waarom ik die ooit ingevuld heb. Of heb ik dat niet zelf ingevuld? Bij iDeal transacties krijgt de webshop toch niet het hele IBAN-nummer te zien?

[martijn946]

Ik had recent een retourzending aan allekabels. Je moet eerst bellen voordat je gaat retourneren. Heb ik gedaan, kreeg een PDF met de artikelen die, zoals besproken, retour kwamen maar hoefde geen IBAN in te vullen noch te melden. Ik heb het bedrag keurig gecrediteerd gekregen.

Ergo: ze weten wel degelijk je gehele IBAN + tenaamstelling waarmee die order is betaald en allicht ook eerdere orders.

1 en 1 is 2: Ik heb de Rabobank en mijn spammail ging ook over een bankpas van de Rabobank.

[ Voor 11% gewijzigd door martijn946 op 04-02-2021 19:59 ]

[copywizard]

Ik heb via deze website regelmatig kabels en andere spullen besteld jammer dat dit is gebeurd maar ik vraag me af wat er nu precies is buitgemaakt?

En dan voornamelijk voor gebruikers zonder account en met account ik heb nog even gechecked in mijn password manager.
En daar bleek dat ik nooit een account heb aangemaakt en een uniek mail adres gebruikte voor allekabels.nl.

En gezien ik heb begrepen dat er verschillende mails rond gaan met wat er wel of niet is buitgemaakt door de werknemer ben ik erg benieuwd.

[vanaalten]

Ook maar even ingelogd op m'n account, maar behalve bestelhistorie en adresgegevens staat er verder niets aan informatie - geen IBAN ingevuld dus.

Wat ik opmerkelijk vind: mijn username/password werken gewoon en er wordt niet afgedwongen om een nieuw wachtwoord aan te maken. In de mail die ik er over ontving staat ook niet dat je geadviseerd wordt een nieuw wachtwoord te maken.

Blijkbaar heeft men dus vertrouwen dat er geen wachtwoorden zijn buitgemaakt...

* vanaalten heeft desondanks z'n wachtwoord veranderd...

[martijn946]

vanaalten schreef op donderdag 4 februari 2021 @ 20:40:
Blijkbaar heeft men dus vertrouwen dat er geen wachtwoorden zijn buitgemaakt...

En dat is al beangstigend genoeg.

[g1n0]

Ik kreeg toevallig ook op 2 feb een mail van de rabo.

Echter geen bericht van ze mogen ontvangen over een datalek. Beetje vreemd.

[Onbekend]

Ik kan helaas nergens terugvinden hoeveel procent van de adressen zijn gelekt.
Ik heb namelijk (nog) geen mail ontvangen van allekabels.nl dat er iets is gelekt, dus waarschijnlijk zit mijn e-mailadres er niet bij. (Afgelopen maand nog iets besteld, dus het e-mailadres was nog zeker up-to-date.)

[Anoniem: 1302638]

martijn946 schreef op donderdag 4 februari 2021 @ 20:42:
[...]

En dat is al beangstigend genoeg.

Hoezo?

[mickjuh]

Ik heb in oktober 2020 voor het laatst wat besteld daar. Ik heb geen e-mail gehad over het datalek en heb het hier moeten lezen.

Afgelopen zondagmiddag kreeg ik een e-mail van de "Rabobank" over het verlopen van mijn betaalproduct. Ik heb deze e-mail direct doorgestuurd naar [e-mail] waar je phising kunt melden. Gisteren las ik het nieuwsbericht hier en kon de link met allekabels wel leggen.

Gisteravond en vanmorgen kreeg ik een SMS van de "Rabobank" over het vervallen van een pas. Normaal laat ik geen telefoonnummer achter op een website, hier blijkbaar wel gedaan.

[vanaalten]

martijn946 schreef op donderdag 4 februari 2021 @ 20:42:
[...]

En dat is al beangstigend genoeg.

Hoef niet. Kan natuurlijk best zijn dat ze wachtwoorden gehashed/salted opslaan (wat gewoon prima zou zijn) en kan heel goed dat de (hashed) wachtwoorden niet eens uit de database gehaald kunnen worden door een gewone werknemer.

Immers lijkt het te gaan om een thuiswerkende medewerker die een lijst met klant-info heeft uitgedraaid. Net zo goed als dat ik enkel mijn adres/IBAN/telefoonnummer gegevens en zo kan opvragen (en niet het wachtwoord), kan een medewerker wellicht ook niet meer dan dat. En dan is het ook niet nodig om mensen een nieuw wachtwoord te laten instellen.

...maar kan ook zomaar zijn dat ze er niet eens bij stil gestaan hebben dat wachtwoorden misschien wel gelekt zijn en dat die opnieuw ingesteld moeten worden... beide opties zouden kunnen.

[martijn946]

vanaalten schreef op vrijdag 5 februari 2021 @ 08:35:
[...]

Hoef niet. Kan natuurlijk best zijn dat ze wachtwoorden gehashed/salted opslaan (wat gewoon prima zou zijn) en kan heel goed dat de (hashed) wachtwoorden niet eens uit de database gehaald kunnen worden door een gewone werknemer.

Immers lijkt het te gaan om een thuiswerkende medewerker die een lijst met klant-info heeft uitgedraaid. Net zo goed als dat ik enkel mijn adres/IBAN/telefoonnummer gegevens en zo kan opvragen (en niet het wachtwoord), kan een medewerker wellicht ook niet meer dan dat. En dan is het ook niet nodig om mensen een nieuw wachtwoord te laten instellen.

...maar kan ook zomaar zijn dat ze er niet eens bij stil gestaan hebben dat wachtwoorden misschien wel gelekt zijn en dat die opnieuw ingesteld moeten worden... beide opties zouden kunnen.

Het klopt helemaal wat je zegt, maar het zijn voornamelijk aannamens. Speculeren. Met name dat Allekabels niet eens noemt of adviseert om de wachtwoorden aan te passen vind ik noemenswaardig.

Anoniem: 1302638 schreef op vrijdag 5 februari 2021 @ 06:12:
[...]

Hoezo?

Omdat als een medewerker dit doet met bewust slechte intenties, ik 0,0 vertrouwen heb in de antwoorden die hij/zij zal geven welke data is gelekt. Ik ga diegene niet geloven op de blauwe ogen. Voor hetzelfde geld (en ook ja, dat is een aanname) is de medewerker iemand met database-toegang en toegang tot dingen die niet op de front-end zichtbaar zijn. Denk aan flags als "klant met betalingsachterstanden", "niet liquide", etc.

[EvH]

downtime schreef op donderdag 4 februari 2021 @ 19:54:
Bij iDeal transacties krijgt de webshop toch niet het hele IBAN-nummer te zien?

Jazeker wel, je ziet ook de naam van de rekening eigenaar, zoals vermeld bij de bank.

[Anoniem: 1302638]

martijn946 schreef op vrijdag 5 februari 2021 @ 10:08:


Omdat als een medewerker dit doet met bewust slechte intenties, ik 0,0 vertrouwen heb in de antwoorden die hij/zij zal geven welke data is gelekt. Ik ga diegene niet geloven op de blauwe ogen. Voor hetzelfde geld (en ook ja, dat is een aanname) is de medewerker iemand met database-toegang en toegang tot dingen die niet op de front-end zichtbaar zijn. Denk aan flags als "klant met betalingsachterstanden", "niet liquide", etc.

Ik triggerde op wachtwoorden, maar wat je zegt is redelijk genoeg.

[HugoBoss1985]

mickjuh schreef op vrijdag 5 februari 2021 @ 08:04:
Ik heb in oktober 2020 voor het laatst wat besteld daar. Ik heb geen e-mail gehad over het datalek en heb het hier moeten lezen.

Afgelopen zondagmiddag kreeg ik een e-mail van de "Rabobank" over het verlopen van mijn betaalproduct. Ik heb deze e-mail direct doorgestuurd naar [e-mail] waar je phising kunt melden. Gisteren las ik het nieuwsbericht hier en kon de link met allekabels wel leggen.

Gisteravond en vanmorgen kreeg ik een SMS van de "Rabobank" over het vervallen van een pas. Normaal laat ik geen telefoonnummer achter op een website, hier blijkbaar wel gedaan.

Beter ook nooit meer doen, of anders 06123456789.
Je wordt anders ook vanzelf gek gebeld door energie verkopers

[SeenD]

Ik heb op 9 november voor het eerst en laatst een bestelling gedaan. En ik heb geen mail gehad.
Kunnen we daar concluderen dat het voor 9 nov heeft plaats gevonden?

(Ik heb sowieso mn wachtwoord veranderd daar)

[Brahiewahiewa]

SeenD schreef op vrijdag 5 februari 2021 @ 10:36:
Ik heb op 9 november voor het eerst en laatst een bestelling gedaan. En ik heb geen mail gehad.
Kunnen we daar concluderen dat het voor 9 nov heeft plaats gevonden?

(Ik heb sowieso mn wachtwoord veranderd daar)

Nee. Er zijn volgens allekabels.nl ca. 5000 accounts gekopieerd. Waarschijnlijk hebben alleen die 5000 accounts een mailtje gekregen van allekabels.nl

[MicroVAX3400]

Hier ook de melding van Allekabels gekregen. Nog geen spam of phishing gezien. Ik heb geen account, en gebruik de catch all methode met unieke email adressen voor webwinkels. In dit geval had ik twee verschillende adressen in gebruik.

[ Voor 5% gewijzigd door MicroVAX3400 op 05-02-2021 10:48 ]

[martijn946]

Brahiewahiewa schreef op vrijdag 5 februari 2021 @ 10:45:
[...]

Nee. Er zijn volgens allekabels.nl ca. 5000 accounts gekopieerd. Waarschijnlijk hebben alleen die 5000 accounts een mailtje gekregen van allekabels.nl

Precies dit dus. 5000. Waar komt dat getal vandaan? Hebben die 5000 allemaal iets gemeenschappelijks die terug kwamen uit een SQL-query? Stopte de medewerker met scrollen tot de 5000 en dacht toen van "Mwah, dit is wel genoeg " of..?!!?

Ik ben gewoon oprecht nieuwsgierig.

[Skywalker27]

martijn946 schreef op donderdag 4 februari 2021 @ 17:30:
Tweakers,

Ik heb mijn eigen domeinnaam en heb catch-all aanstaan. Voor alle accounts die ik online gebruik heb ik verschillende mailadressen die allemaal in 1 postvak binnenkomen. Bij mijn tandarts sta ik als tandarts@[domein].nl bekend en bij Bol als bol@[domein].nl. Ook alleen daar gebruik ik juist dat mailadres en nergens anders. Mensen verklaren mij voor gek, maar zo kan ik er achterkomen waar mijn mailadres wordt "gelekt" . zou worden. En wat schetse mijn verbazing? Ik kreeg zojuist keurig een mail van de COO:


[...]

Ondanks dat het niet netjes is wat er is gebeurd (blijft mensenwerk) vind ik deze actie / mededeling erg netjes.

Nee hoor alleen doe ik dat met mijn gmail adres door alles achter een + te zetten zou hou ik mijn O365 mail adres schoon

[killercow]

martijn946 schreef op vrijdag 5 februari 2021 @ 11:29:
[...]

Precies dit dus. 5000. Waar komt dat getal vandaan? Hebben die 5000 allemaal iets gemeenschappelijks die terug kwamen uit een SQL-query? Stopte de medewerker met scrollen tot de 5000 en dacht toen van "Mwah, dit is wel genoeg " of..?!!?

Ik ben gewoon oprecht nieuwsgierig.

Ze hebben vast in de webserver-logs gekeken naar welke pagina's die werkgever heeft gekeken. simpel genoeg om dan redelijkerwijs te achterhalen welke records er op die pagina's toen zichtbaar waren.

[PerlinNoise]

@martijn946 Ik doe precies hetzelfde als jou met mijn mail. En inderdaad vanmorgen ook een mailtje van de "rabobank" op dat emailadres...

Verzoek tot verwijdering van account ingedient bij Allekables.nl, ookal is dat al te laat.

[ Voor 25% gewijzigd door PerlinNoise op 05-02-2021 11:41 ]

[Thralas]

Nog wat interessante reacties:

StefanJanssen in 'nieuws: Allekabels waarschuwt 5000 klanten voor datalek van...

Sderoos in 'nieuws: Allekabels waarschuwt 5000 klanten voor datalek van onbek...

Check ook vooral je mailserver logs als je je eigen mailserver draait. Ik had op 25 november óók een mailtje op het emailadres van allekabels, maar die haalde de spambox niet eens. Kan dus ook niet zien wat de inhoud was, anders dan de afzender ([e-mail]).

Gezien het aantal reacties twijfel ik ook sterk aan het getal 5000. Het zal veel meer (zo niet alles) zijn.

Overigens:

Het bedrijf zegt dat het heeft ontdekt dat er 'excessief klantdata is opgehaald door een medewerker', die 'vermoedelijk vanuit een thuiswerksituatie' werkte

Gespeculeer van mijn zijde, maar op basis van deze tekst, mijn ervaring met de dra-ma-ti-sche klantenservice en het feit dat ze ongeveer de klok rond de klantenservice 'bemand' hebben doet vermoeden dat ze het simpelweg uitbesteed hebben.

Resultaat is dat je een klantenservice hebt die totaal geen kennis heeft over je bedrijf of producten, maar daarnaast ook zo weinig binding heeft dat de drempel om dit soort stunts uit te halen ook niet zo hoog is.

Pay peanuts, get monkies, ofzo. Zelfde probleem als de GGD heeft (maar die 'moeten' wel vanwege opschalen).

[ Voor 25% gewijzigd door Thralas op 05-02-2021 14:16 ]

[Cheesy]

Hmm, dankzij dit topic toch even gekeken of ik daar iets besteld heb. Geen mail namelijk ontvangen. Blijkbaar heb ik in 2013 daar een account aangemaakt.
Het wachtwoord wat destijds in plaintext naar mij is verzonden werkte nu nog steeds

[Zebby]

martijn946 schreef op vrijdag 5 februari 2021 @ 10:08:
[...]


Het klopt helemaal wat je zegt, maar het zijn voornamelijk aannamens. Speculeren. Met name dat Allekabels niet eens noemt of adviseert om de wachtwoorden aan te passen vind ik noemenswaardig.

Ik eigenlijk niet. Ja het zijn aannames, maar je moet uitgaan op het goede vertrouwen van wat er met je gecommuniceerd wordt. Er staat dat er klantdata is opgehaald door een medewerker.
Nog een aanname - zij slaan gewoon netjes hun wachtwoord conform verwachting op - salted hash. Als deze zouden lekken, no biggie, al zou je dat wel willen vermelden.
Meer realistisch - een medewerker heeft geen toegang tot de wachtwoorden, alleen de "normale" klantdata. Deze rechten zijn meestal alleen toegekend aan de technische beheerders.

In andere woorden - je wachtwoord wijzigen kan nooit kwaad, maar ik verwacht niet dat het hier specifiek een issue is. En als je al zo netjes bent met je mail, zal je ook wel unieke wachtwoorden daarbij gebruiken

[martijn946]

Zebby schreef op vrijdag 5 februari 2021 @ 14:59:
zal je ook wel unieke wachtwoorden daarbij gebruiken

In mijn geval absoluut. Sterker nog, ik weet de wachtwoorden zelf niet eens. Ik maak altijd gebruik van de "wachtwoord vergeten" optie. Omdat ik gewoon [naamwebshop]@domain doe hoef ik het mailadres ook niet te onthouden en komt de mail (mits account bestaat en niet als gast ooit besteld) aan. Mijn wachtwoord verandert dus per bestelling. Omslachtig? Ja, vast wel, maar ik hoef zo niks te onthouden.

[JukeboxBill]

Ik wilde eigenlijk mijn account bij allekabels opheffen, maar dat kan niet eens.
Dus heb ik voor de zekerheid het wachtwoord gewijzigd.

[DjoeC]

Ik mis eigenlijk wat info zoals welke gegevens exact gestolen of gestolen kunnen zijn. Ook mis ik info of gevoelige gegevens al dan niet versleuteld waren en zo ja, was dat een sterke versleuteling.

Dat het een keer gebeurt kun je het bedrijf niet zomaar kwalijk nemen, medewerkers moeten toegang hebben tot klantgegevens in meer of mindere mate. Goede logging kan dan helpen bij problemen, maar dat het gebeurt - het kan (zal?) bij elk bedrijf gebeuren.

Maar iets meer openheid over hoe en wat zou de firma sieren.

[Caedendi]

ik zag vanochtend op mn telefoon dat ik een mailtje had van 5:00 sochtends: blijkbaar heeft er iemand geprobeerd in te loggen op mijn Steam account (wat ik overigens nooit gebruikt heb en waar gelukkig niets op staat) met dezelfde email+password combo die ik voor allekabels heb gebruikt. Diegene is als het goed is niet verder gekomen omdat in die mail een code stond die nodig was voor inloggen (en no way dat diegene het wachtwoord van mijn emailadres raadt).

mijn vorige emailadres is gevonden in 5 data breaches op HaveIBeenPwned (en waarschijnlijk dat wachtwoord), maar mijn huidige emailadres (van steam/allekabels) komt voor in 0 data breaches, dus de kans lijkt vrij groot dat iemand met de data van AlleKabels probeert in te loggen op steam accounts.

[ Voor 12% gewijzigd door Caedendi op 08-02-2021 11:21 ]

[CAPSLOCK2000]

Ik heb ook een waarschuwing van Allekabels gehad. Ik heb nog geen spam gehad op het mail-adres dat daarvoor gebruikt wordt, al kan het zijn dat die verbinding op voorhand is geweigerd door mijn mailserver, bv ivm graylisting.

Ik kom eigenlijk alleen maar zeggen dat AlleKabels een prachtige naam voor hun mailserver heeft gekozen: splitter.allekabels.nl . Waarvan akte.

[Hooglander1]

Nu ook een datalek op dutchdo.nl (sodastreamstore.nl in mijn geval).

Ik kreeg er behoorlijk wat spam van, en na een melding van me, kreeg ik de melding met "allekabels" erin doodleuk op mijn dutchdo emailadres.

Gok dat het hetzelfde moederbedrijf is. Maar wel degelijk spam op gekregen, dus kijk goed uit.

[Bor]

Heeft er iemand nog iets van Allekabels gehoord? Op e-mail wordt in ieder geval tot nu toe niet gereageerd. Ook op de frontpage leers ik opmerkingen van klanten welke geen reactie krijgen. Zeer slecht als je het mij vraagt. Het geeft in ieder geval enig idee rond hoe Allekabels met zijn klanten omgaat.

[Dioni]

Hooglander1 schreef op dinsdag 9 februari 2021 @ 09:30:
Nu ook een datalek op dutchdo.nl (sodastreamstore.nl in mijn geval).

Ik kreeg er behoorlijk wat spam van, en na een melding van me, kreeg ik de melding met "allekabels" erin doodleuk op mijn dutchdo emailadres.

Gok dat het hetzelfde moederbedrijf is. Maar wel degelijk spam op gekregen, dus kijk goed uit.

Klopt, ik kreeg ook phishingmails op de sodastream email alias. Dat heb ik ook bij ze gemeld en daar hebben ze naar mijn idee netjes op gereageerd. Zojuist heb ik dan een officiële email van ze gekregen dat er een datalek is en dat ze dit gemeld hebben bij de AP.
Ik ben wel benieuwd of deze email alleen naar mij of naar al hun (getroffen) klanten is gegaan. Dat zal de komende dagen wel duidelijk worden in de media verwacht ik.

[Hooglander1]

Dioni schreef op maandag 15 februari 2021 @ 15:29:
[...]

Klopt, ik kreeg ook phishingmails op de sodastream email alias. Dat heb ik ook bij ze gemeld en daar hebben ze naar mijn idee netjes op gereageerd. Zojuist heb ik dan een officiële email van ze gekregen dat er een datalek is en dat ze dit gemeld hebben bij de AP.
Ik ben wel benieuwd of deze email alleen naar mij of naar al hun (getroffen) klanten is gegaan. Dat zal de komende dagen wel duidelijk worden in de media verwacht ik.

Volgens mij doen ze het alleen reactief, want anders had je het wel veel eerder gekregen.

Vraag mij dan ook heel sterk af of ze het werkelijk gemeld hebben, is daar een public record van?

[vanaalten]

Toch nog een reactie op dit topic:
op 5 februari heb ik, als reactie op de datalek-mail van AlleKabels, een mail teruggestuurd of het n.a.v. het lek nodig of zinnig was om je wachtwoord te wijzigen en of er ook wachtwoorden gelekt zijn. Daar toen geen reactie op gekregen... maar wellicht dat men het toen erg druk had.

Op 14 maart heb ik nogmaals naar ze gemaild met dezelfde vraag. Ook deze keer geen reactie gekregen.

Ofwel, er wordt een lek geconstateerd, mail naar de klanten gestuurd maar als je dan als slachtoffer vragen hebt geven ze niet thuis. Wat mij betreft heeft deze webwinkel hiermee afgedaan.

[Bor]

vanaalten schreef op zaterdag 20 maart 2021 @ 20:20:
Toch nog een reactie op dit topic:
op 5 februari heb ik, als reactie op de datalek-mail van AlleKabels, een mail teruggestuurd of het n.a.v. het lek nodig of zinnig was om je wachtwoord te wijzigen en of er ook wachtwoorden gelekt zijn. Daar toen geen reactie op gekregen... maar wellicht dat men het toen erg druk had.

Op 14 maart heb ik nogmaals naar ze gemaild met dezelfde vraag. Ook deze keer geen reactie gekregen.

Ofwel, er wordt een lek geconstateerd, mail naar de klanten gestuurd maar als je dan als slachtoffer vragen hebt geven ze niet thuis. Wat mij betreft heeft deze webwinkel hiermee afgedaan.

Ik heb ook nooit reactie op vragen ontvangen. Dat geeft enige indicatie hoe serieus dit bedrijf dit voorval en de zorgen van de klanten neemt lijkt het

[TBK001]

Ik ben benieuwd, is er nog nieuws rond dit onderwerp?

[Cheesy]

TBK001 schreef op donderdag 15 april 2021 @ 11:29:
Ik ben benieuwd, is er nog nieuws rond dit onderwerp?

Jij zag vanmorgen zeker een tweet van Verlaan

https://www.rtlnieuws.nl/...en-nederlanders-op-straat

[TBK001]

Cheesy schreef op donderdag 15 april 2021 @ 15:15:
[...]

Jij zag vanmorgen zeker een tweet van Verlaan

https://www.rtlnieuws.nl/...en-nederlanders-op-straat

Klopt, dat was inderdaad mijn trigger.

[Bor]

TBK001 schreef op donderdag 15 april 2021 @ 11:29:
Ik ben benieuwd, is er nog nieuws rond dit onderwerp?

Er is bij mij nooit een antwoord gekomen op mijn vragen

[TBK001]

Hebben zich niet netjes opgesteld. Ik heb de data destijds te koop aangeboden zien worden, kenbaar gemaakt bij allekabels en 2 dagen na geen antwoord te hebben gekregen (meerdere kanalen gebruikt om aan de bel te trekken daar) doorgezet. Aanbod was compleet met sample data en hun hebben ervoor gekozen hoofd in het zand te steken.....

[Crxtreem]

Als je met IDeal betaal hebt staat dan je IBan ook in zo'n lijst of is die dan IBAN***123 oid?

[The Zep Man]

Ik ben zo blij dat ik altijd met PayPal betaal.

Maar serieus, irritant voor de klanten. Heeft iemand al een aangetekende brief gestuurd?

[ Voor 47% gewijzigd door The Zep Man op 15-04-2021 15:40 ]

[RodeStabilo]

The Zep Man schreef op donderdag 15 april 2021 @ 15:39:
Ik ben zo blij dat ik altijd met PayPal betaal.

Zou daar niet zo zeker van zijn....

Iemand deed Thuisbezorgd.nl bestelling via mijn PayPal

[The Zep Man]

RodeStabilo schreef op donderdag 15 april 2021 @ 15:42:
Zou daar niet zo zeker van zijn....

Ik ben daar best wel zeker van. Enkel een kredietkaart gekoppeld. Elke transactie die ik verdacht acht wordt teruggedraaid, via PayPal of via de kredietkaartmaatschappij. Het saldo op mijn PayPal account is 0 EUR, dus als ze mijn account zouden verbannen bij een chargeback via mijn kredietkaart is er niets verloren. Overigens kan je dit ook gratis inrichten, bijvoorbeeld via een MasterCard debetkaart van N26.

Het grotere probleem is dat er persoonsgegevens uitlekken. Dat is een slag erger. Voor verloren geld kan je je verzekeren, maar dat kan niet tegen het uitlekken van je persoonsgegevens bij een ander.

[edit]
Even het verhaaltje gelezen van waar je linkt. Er was een vertrouwde koppeling naar thuisbezorgd.nl, de weg via die was opgelicht. Mijn vertrouwde koppelingen zijn beperkt en overzichtelijk, en nog steeds zal ik mijn geld terugkrijgen als die plots iets onterecht afschrijven.

[ Voor 64% gewijzigd door The Zep Man op 15-04-2021 16:02 ]

[Hans van Eijsden]

Nieuw nieuwsartikel. Zie: nieuws: Datalek bij Allekabels betrof niet 5000 maar 3,6 miljoen mensen

[ Voor 3% gewijzigd door Hans van Eijsden op 15-04-2021 16:04 ]

[martijn946]

Dit is serieus wel even een "dingetje" en (al dan niet bewust) zwaar onderschat, danwel bewust genegeerd door onze kameraden uit Limburg.

Ik weet dat het niet publiekelijk mag op dit forum, maar kan iemand mij een bericht sturen waar die database op een forum wordt aangeboden? (screenshot RTL).

[TheVMaster]

N.a.v. het nieuwsartikel op RTL Nieuws geprobeerd in te loggen. Vreemd genoeg hebben ze dus aan de kant van Allekabels nog geen aktie genomen, door bijvoorbeeld alle wachtwoorden te resetten.

Dat heb ik nu zelf maar even gedaan. Wat een prutsers zeg

[dcm360]

Crxtreem schreef op donderdag 15 april 2021 @ 15:37:
Als je met IDeal betaal hebt staat dan je IBan ook in zo'n lijst of is die dan IBAN***123 oid?

Via een IDeal-betaling is door de winkelier het gehele IBAN te verkrijgen.

martijn946 schreef op donderdag 15 april 2021 @ 16:09:
Dit is serieus wel even een "dingetje" en (al dan niet bewust) zwaar onderschat, danwel bewust genegeerd door onze kameraden uit Limburg.

Ik weet dat het niet publiekelijk mag op dit forum, maar kan iemand mij een bericht sturen waar die database op een forum wordt aangeboden? (screenshot RTL).

Volgens het nieuwsbericht was de aanbieding daar al verdwenen, dus ik denk dat niemand je nog een werkende link kan aanleveren.

[martijn946]

dcm360 schreef op donderdag 15 april 2021 @ 16:12:
Volgens het nieuwsbericht was de aanbieding daar al verdwenen, dus ik denk dat niemand je nog een werkende link kan aanleveren.

Klopt helemaal, dank je.

[Ankh]

Ze hebben even snel een FAQ in elkaar gezet:
https://www.allekabels.nl/faq-1504.php

Kwam hem tegen op een reactie van trustpilot, kon hem nergens vinden.

[martijn946]

Ankh schreef op donderdag 15 april 2021 @ 16:20:
Ze hebben even snel een FAQ in elkaar gezet:
https://www.allekabels.nl/faq-1504.php
Kwam hem tegen op een reactie van trustpilot, kon hem nergens vinden.

en is er wellicht meer data gelekt dan aanvankelijk aangenomen

.

Wellicht meer data...... Ik moest even gniffelen.

[rl3092kl]

-

[ Voor 99% gewijzigd door rl3092kl op 15-04-2021 16:26 ]

[Freeaqingme]

Welke maatregelen neemt Allekabels om herhaling te voorkomen?
We slaan tegenwoordig alle privacy gevoelige klantgegevens waaronder e-mailadressen op in een datakluis-systeem. In dit datakluis-systeem zullen enkel nog gegevens worden opgeslagen/gewijzigd, maar kunnen geen gegevens meer worden ingezien. De gegevens zijn niet meer toegankelijk voor inbrekers of medewerkers. Op deze wijze is het ook bij een toekomstig datalek niet meer mogelijk dat gegevens in handen van onbevoegden geraken

Wat zou je je daar technisch bij moeten voorstellen, iemand enig idee?

[superduper]

Als inderdaad blijkt dat ze niet, -of heel selectief- klanten hebben geinformeerd dan komt ze dat heel duur te staan, want dat is een keiharde GDPR overtreding (niet tijdig slachtoffers informeren). daar staan hoge boetes op.

Ik bestel er regelmatig, maar kan nergens terugvinden of ik een account heb of steeds los bestel. ww recovery stuurt geen mail, maar die zou het zomaar wat druk kunnen hebben ...

[Jordy_413]

Dit kan zo maar is datalek nummer 3 worden dit jaar. Nog even en ik kan net zo goed zelf maar alles openbaar neer zetten

[ Voor 9% gewijzigd door Jordy_413 op 15-04-2021 16:31 ]

[Bor]

Freeaqingme schreef op donderdag 15 april 2021 @ 16:30:
[...]


Wat zou je je daar technisch bij moeten voorstellen, iemand enig idee?

To be honest verwacht ik daar helemaal niets van. Wanneer gegevens niet meer zijn in te zien hebben ze geen waarde.

[Freeaqingme]

Bor schreef op donderdag 15 april 2021 @ 16:34:
[...]


To be honest verwacht ik daar helemaal niets van. Wanneer gegevens niet meer zijn in te zien hebben ze geen waarde.

Eens. Enige wat ik me kan voorstellen is dat ze iets van een aparte 'micro-service' hebben die als schil om de user-database zit en enkel gegevens vrijgeeft met de juiste session token (da's iig wat ik zou doen ). Maar da's enkel een extra schilletje, geen kluis...

En dan nog heb je dan backoffice systemen etc nodig die batchoperaties kunnen uitvoeren. Logt een hacker daar volgende keer wel op in.

[dok33]

Bor schreef op donderdag 15 april 2021 @ 16:34:
[...]


To be honest verwacht ik daar helemaal niets van. Wanneer gegevens niet meer zijn in te zien hebben ze geen waarde.

Het is wel mogelijk om het zo in te richten dat alleen de applicatie die het nodig heeft de gegevens nog kan decrypten. Dan is wel die sleutel ineens de pot met goud natuurlijk, en hangt het er weer van af hoe goed die is beschermd... Het maakt het wel een stuk moeilijker voor een inbreker in elk geval.

[Bor]

dok33 schreef op donderdag 15 april 2021 @ 16:37:
[...]


Het is wel mogelijk om het zo in te richten dat alleen de applicatie die het nodig heeft de gegevens nog kan decrypten. Dan is wel die sleutel ineens de pot met goud natuurlijk, en hangt het er weer van af hoe goed die is beschermd... Het maakt het wel een stuk moeilijker voor een inbreker in elk geval.

Als de applicatie het kan decrypten kan een ander dat ook met de juiste sleutel. Daarbij beschermt dat nauwelijks tegen kwaadaardige medewerkers.

[WouterG]

Out of the box gedacht zou je ook een printer in een kluis kunnen zetten. Dan is alleen de fysieke inbreker nog een dingetje 😉

[Arjantje72]

JackSparrow schreef op donderdag 15 april 2021 @ 16:12:
N.a.v. het nieuwsartikel op RTL Nieuws geprobeerd in te loggen. Vreemd genoeg hebben ze dus aan de kant van Allekabels nog geen aktie genomen, door bijvoorbeeld alle wachtwoorden te resetten.

Dat heb ik nu zelf maar even gedaan. Wat een prutsers zeg

Ik wou ook mijn wachtwoord resetten maar de website is zeer traag en krijg een time-out.
Het zal daar nu wel druk zijn

[Bas]

Hier ook :-). Ze waren bij zelfs zo attent om niet eens een mail over een mogelijk datalek te sturen (maar ik heb echt wel een account)

[dok33]

Bor schreef op donderdag 15 april 2021 @ 16:38:
[...]Als de applicatie het kan decrypten kan een ander dat ook met de juiste sleutel. Daarbij beschermt dat nauwelijks tegen kwaadaardige medewerkers.

Ik zei al, dan is die sleutel de pot met goud, en hangt het er van af hoe goed je die beschermt.Maar dat kan (ook voor kwaadwillende medewerkers) wel makkelijker verstopt worden dan een hele database.

Die sleutel zit dan bijvoorbeeld weer in een wachtwoordkluis, waar alleen het applicatieaccount bij kan en/of alleen uitgecheckt kan worden met vier-ogen, en/of dat account kan dan niet interactief op worden ingelogd, etc.

Als de corrupte medewerker diep genoeg in de organisatie zit is er altijd wel ergens een plek waar het mis kan gaan, zeker als het er twee naast elkaar zijn, maar er is heus wel iets aan te doen om het allemaal een stuk lastiger te maken voor een enkel persoon om zomaar data te kunnen zien.

[Bor]

dok33 schreef op donderdag 15 april 2021 @ 16:47:
[...]


Ik zei al, dan is die sleutel de pot met goud, en hangt het er van af hoe goed je die beschermt.Maar dat kan (ook voor kwaadwillende medewerkers) wel makkelijker verstopt worden dan een hele database.

Die sleutel zit dan bijvoorbeeld weer in een wachtwoordkluis, waar alleen het applicatieaccount bij kan en/of alleen uitgecheckt kan worden met vier-ogen, en/of dat account kan dan niet interactief op worden ingelogd, etc.

Dat kan allemaal maar dan voldoe je niet aan de beschrijving die AlleKabels geeft.
Ze stellen letterlijk;

De gegevens zijn niet meer toegankelijk voor inbrekers of medewerkers.

Dat zou dus via een applicatie ook niet mogen kunnen.

[Coffeemonster]

Ik heb in februari wel een mailtje over de hack van Allekabels.nl gekregen, maar dat was dus waarschijnlijk omdat ik een mailadres in de vorm van [e-mail] heb gebruikt. Maar blijkbaar is dit wel wat erger.

Interessant detail: afgelopen november kreeg ik een mailtje naar mijn [e-mail]-adres met een bestelling van eten (geen webformulier, maar handmatig opgesteld), door iemand die ik niet ken (naam afzender komt niet overeen met naam in mailtje zelf). Van die persoon heb ik geen link met Allekabels.nl kunnen vinden op internet. Zou dit een afnemer van de gehackte database kunnen zijn geweest die misbruik wilde maken, maar een foutje maakte? Destijds zocht ik er niets achter, maar ik begin me nu af te vragen of hier meer achter zit.

[atomix9]

Ik begrijp niet waarom dit ***bedrijf niet gewoon nu preventief alle wachtwoorden reset? (en een mail stuurt)
Nu moet iedereen inloggen en dat zelf doen..zoniet, dan blijven je gegevens voor eeuwig openstaan voor de buitenwereld ofzo? Zo kansloos dit en boosmakend

[dok33]

Bor schreef op donderdag 15 april 2021 @ 16:49:
[...]


Dat kan allemaal maar dan voldoe je niet aan de beschrijving die AlleKabels geeft.
Ze stellen letterlijk;


[...]


Dat zou dus via een applicatie ook niet mogen kunnen.

Ik denk dat je het woord applicatie misinterpreteert. Datgene wat de daadwerkelijke functie uitvoert die WEL nodig is. Namelijk je bestelling verwerken.

Niet een applicatie die een medewerker ge(mis?)bruikt om een database in te zien, maar de website, het logistieke systeem, etc. Ergens moeten de gegevens ook daadwerkelijk gebruikt worden...

Meestal zitten daar geen handen meer aan, in het huidige tijdperk.

[shoombak]

Ze hebben momenteel zelfs de hele inlogpagina dichtgezet?!

[Crxtreem]

shoombak schreef op donderdag 15 april 2021 @ 16:55:
Ze hebben momenteel zelfs de hele inlogpagina dichtgezet?!

Volgens mij is het zo druk op de website dat er bijna niet doorheen te komen is.
Ik kan er met heel lang wachten wel in komen iig.

[Thijn41]

Welke gegevens zijn er NIET gelekt?

• Betaalgegevens: er zijn geen betaalgegevens gelekt. Alle betalingen die klanten verrichten via hun
  Allekabels account worden door een externe partij (Payment Service Provider) afgehandeld. Deze
  betaalgegevens worden niet in ons systeem opgeslagen.
• Wachtwoorden: wachtwoorden van klantaccounts worden in ons systeem altijd versleuteld opgeslagen.
  Hierdoor zijn ze voor derden onleesbaar en onbruikbaar. Ook na dit datalek is het niet mogelijk dat een
  Allekabels klant account gebruikt wordt om een bestelling in naam van de klant te doen of de
  bestelgeschiedenis te bekijken. Klantaccounts van Allekabels zijn en blijven veilig.

Prachtig dat ze zeggen dat wachtwoorden niet zijn uitgelekt, maar vervolgens zeggen dat het eigenlijk wel zo is.
Zolang ze niet zeggen hoe die wachtwoorden zijn versleuteld is het een kwestie van tijd voordat de boel gekraakt is..

[Coffeemonster]

Thijn41 schreef op donderdag 15 april 2021 @ 16:58:
[...]

Prachtig dat ze zeggen dat wachtwoorden niet zijn uitgelekt, maar vervolgens zeggen dat het eigenlijk wel zo is.
Zolang ze niet zeggen hoe die wachtwoorden zijn versleuteld is het een kwestie van tijd voordat de boel gekraakt is..

Van de journalist van RTL:

De wachtwoorden zijn gehasht met MD5+salt of Bcrypt, bij de ~ miljoen bestellingen via Bol/Amazon zijn geen wachtwoorden gelekt.

Er zijn ook ruim 100.000 IBAN-nummers gestolen waarmee gerichte phishingaanvallen worden uitgevoerd, de data worden reeds verhandeld.

Wees alert.

— Daniël Verlaan (@danielverlaan) 15 april 2021

Als het MD5+salt is, dan is dat niet bijster veilig.

[The Zep Man]

Coffeemonster schreef op donderdag 15 april 2021 @ 17:02:
Als het MD5+salt is, dan is dat niet bijster veilig.

Bcrypt ook niet. Dan liever Argon2.

[Wolly]

Als je dat draadje leest van die RTL journalist dan springen de tranen in je ogen. Ronduit crimineel hoe allekabels.nl hier handelde.

nieuws: de wachtwoorden en privégegevens van miljoenen Nederlanders liggen op straat na een hack bij webshop Allekabels.

Het is het grootste datalek met wachtwoorden in Nederland ooit. De gestolen data worden misbruikt voor gerichte phishing en hacks:https://t.co/wwt7XWsz9V

— Daniël Verlaan (@danielverlaan) 15 april 2021

[ Voor 5% gewijzigd door Wolly op 15-04-2021 17:13 ]

[reeers]

Heb er een tijd gewerkt dus dit komt helaas niet als een mega verrassing.

[martijn946]

reeers schreef op donderdag 15 april 2021 @ 17:18:
Heb er een tijd gewerkt dus dit komt helaas niet als een mega verrassing.

Want?

[Joster]

Wolly schreef op donderdag 15 april 2021 @ 17:12:
Als je dat draadje leest van die RTL journalist dan springen de tranen in je ogen. Ronduit crimineel hoe allekabels.nl hier handelde.

[Twitter]

De aanvullingen over de FAQ ook zeg

Dan heb je dit grof schandaal al voor elkaar en dan ga je ook nog eens feitelijke onjuistheden in je FAQ zetten.


IBAN's zijn gelekt van bestellingen in juli en augustus 2020:

[Twitter: https://twitter.com/danielverlaan/status/1382714580389011457?s=20]

[reeers]

martijn946 schreef op donderdag 15 april 2021 @ 17:22:
[...]


Want?

Op hun intranet had ik bijvoorbeeld teveel rechten en kon in bepaalde dingen inzien die helemaal niet relevant waren voor mijn positie.

[martijn946]

Een reactie op de Twitter tijdlijn van de RTL journalist die precies mijn gedachten weergeven:

https://twitter.com/jerrygarsia/status/1382696222461427720

Ik vrees dat hier niks, maar dan ook helemaal niks uit gaat komen. Ze dronken een glas, deden een plas en alles bleef zoals het was.

En over tot de orde van de dag.


Of......toch een boete van 4% van de jaaromzet?

[Dennisdn]

Coffeemonster schreef op donderdag 15 april 2021 @ 16:49:

Interessant detail: afgelopen november kreeg ik een mailtje naar mijn [e-mail]-adres met een bestelling van eten (geen webformulier, maar handmatig opgesteld), door iemand die ik niet ken (naam afzender komt niet overeen met naam in mailtje zelf). Van die persoon heb ik geen link met Allekabels.nl kunnen vinden op internet. Zou dit een afnemer van de gehackte database kunnen zijn geweest die misbruik wilde maken, maar een foutje maakte? Destijds zocht ik er niets achter, maar ik begin me nu af te vragen of hier meer achter zit.

Dit lijkt interessant genoeg om inderdaad verder te onderzoeken.

[NLMaca]

reeers schreef op donderdag 15 april 2021 @ 17:28:
[...]

Op hun intranet had ik bijvoorbeeld teveel rechten en kon in bepaalde dingen inzien die helemaal niet relevant waren voor mijn positie.

En heb je dat aangekaart destijds of meldt je het nu als mosterd na de maaltijd?

[reeers]

NLMaca schreef op donderdag 15 april 2021 @ 17:47:
[...]

En heb je dat aangekaart destijds of meldt je het nu als mosterd na de maaltijd?

Heb dat wel eens aangekaart maar dat heeft geen prio gehad wegens de drukte op de IT afdeling.

[Weltschmerz]

Joster schreef op donderdag 15 april 2021 @ 17:26:
[...]


De aanvullingen over de FAQ ook zeg

Dan heb je dit grof schandaal al voor elkaar en dan ga je ook nog eens feitelijke onjuistheden in je FAQ zetten.


IBAN's zijn gelekt van bestellingen in juni en juli 2020:

[Twitter]

Je zegt juni en juli maar de tweet zegt juli augustus. Weet je zo welke de goede is?

[dutchnltweaker]

https://twitter.com/danie.../1382720768216293379?s=20

[GillesH89]

update: het datalek bij Allekabels wordt nog stuk erger: de salt die wordt gebruikt voor het versleutelen van wachtwoorden (MD5) is ook gestolen.

De salt is iets zoals 'allekabels.2005', waarmee veel wachtwoorden heel gemakkelijk kunnen worden gekraakt. Als in, binnen seconden.
Bron: https://twitter.com/danielverlaan/status/1382731713495904256

[CrashOne]

Thijn41 schreef op donderdag 15 april 2021 @ 16:58:
[...]

Prachtig dat ze zeggen dat wachtwoorden niet zijn uitgelekt, maar vervolgens zeggen dat het eigenlijk wel zo is.
Zolang ze niet zeggen hoe die wachtwoorden zijn versleuteld is het een kwestie van tijd voordat de boel gekraakt is..

Mijn gegevens stonden er ook in. Ik heb Daniel Verlaan er eerder deze week over gesproken. IBAN staat zeker wel in de DB, ondanks dat ze een externe partij gebruiken. Daarnaast is ook de gehele bestelhistorie in te zien. Dat maakt dat kans op succesvolle fishing weer groter.

[Thijn41]

GillesH89 schreef op donderdag 15 april 2021 @ 18:26:
update: het datalek bij Allekabels wordt nog stuk erger: de salt die wordt gebruikt voor het versleutelen van wachtwoorden (MD5) is ook gestolen.

De salt is iets zoals 'allekabels.2005', waarmee veel wachtwoorden heel gemakkelijk kunnen worden gekraakt. Als in, binnen seconden.
Bron: https://twitter.com/danielverlaan/status/1382731713495904256

Tering jantje.

[Coffeemonster]

Dennisdn schreef op donderdag 15 april 2021 @ 17:35:
[...]


Dit lijkt interessant genoeg om inderdaad verder te onderzoeken.

Mja, wat kan je ermee? Je hebt twee namen en een adres, waarvan ik niet kan achterhalen of deze wel bij elkaar horen. En bij wie zou ik dit moeten melden? Politie? Er is geen misdrijf gepleegd met dit e-mailtje, je weet niet of dit de hacker zelf is of een afnemer van de database, en hoe zouden ze dit praktisch kunnen linken aan een case van identiteitsfraude o.i.d.?

Maar als iemand er andere ideeën over heeft, laat maar weten.

[whyz]

GillesH89 schreef op donderdag 15 april 2021 @ 18:26:
update: het datalek bij Allekabels wordt nog stuk erger: de salt die wordt gebruikt voor het versleutelen van wachtwoorden (MD5) is ook gestolen.

De salt is iets zoals 'allekabels.2005', waarmee veel wachtwoorden heel gemakkelijk kunnen worden gekraakt. Als in, binnen seconden.
Bron: https://twitter.com/danielverlaan/status/1382731713495904256

Jezus wat een achterlijke klapmongolen zeg. Man man man dit echt bizar.

[Elp]

GillesH89 schreef op donderdag 15 april 2021 @ 18:26:
update: het datalek bij Allekabels wordt nog stuk erger: de salt die wordt gebruikt voor het versleutelen van wachtwoorden (MD5) is ook gestolen.

De salt is iets zoals 'allekabels.2005', waarmee veel wachtwoorden heel gemakkelijk kunnen worden gekraakt. Als in, binnen seconden.
Bron: https://twitter.com/danielverlaan/status/1382731713495904256

Wat een amateurs, man man man.

[P-Rock]

Bagger, hier heb ik een half jaar geleden ook (verplicht) een account aangemaakt.

De website is offline, dus mijn wachtwoord veranderen zit er ook niet in nu.

[ Voor 3% gewijzigd door P-Rock op 15-04-2021 18:33 ]

[AW_Bos]

whyz schreef op donderdag 15 april 2021 @ 18:30:
[...]


Jezus wat een achterlijke idioten zeg. Man man man dit echt bizar.

Stond de salt dan in de database.. ?

[ Voor 3% gewijzigd door AW_Bos op 15-04-2021 18:34 ]

[Coffeemonster]

AW_Bos schreef op donderdag 15 april 2021 @ 18:34:
[...]

Stond de salt dan in de database.. ?

Als de hacker ook bij de php-bestanden kon komen, dan heb je de salt zo gevonden.

[FrederiqueLM]

Je kunt in ieder geval proberen je wachtwoord te resetten via https://www.allekabels.nl/member/wachtwoordvergeten.php maar dat is nu mosterd na de maaltijd.

[Cheesy]

Dan is het enige wat ze op dit moment moeten doen toch per direct alle wachtwoorden resetten?

[CurlyMo]

Ik ben op 4 februari ook geïnformeerd op mijn unieke allekabels mailadres. Weer eentje uit de 5000.

[Oon]

GillesH89 schreef op donderdag 15 april 2021 @ 18:26:
update: het datalek bij Allekabels wordt nog stuk erger: de salt die wordt gebruikt voor het versleutelen van wachtwoorden (MD5) is ook gestolen.

De salt is iets zoals 'allekabels.2005', waarmee veel wachtwoorden heel gemakkelijk kunnen worden gekraakt. Als in, binnen seconden.
Bron: https://twitter.com/danielverlaan/status/1382731713495904256

Aan het relevante screenshot te zien doen ze ook aan dubbele hashing, wat weer een grotere kans op hash collision en verlaagde security veroorzaakt (zeker bij md5)