Datalek allekabels.nl, kabeltje.com, Dutchdo, etc.

[Oon]

FrederiqueLM schreef op donderdag 15 april 2021 @ 18:37:
Je kunt in ieder geval proberen je wachtwoord te resetten via https://www.allekabels.nl/member/wachtwoordvergeten.php maar dat is nu mosterd na de maaltijd.

Maakt dat uit dan? We hebben toch allemaal gewoon een willekeurig gegenereerd wachtwoord?

[whyz]

Oon schreef op donderdag 15 april 2021 @ 18:41:
[...]

Maakt dat uit dan? We hebben toch allemaal gewoon een willekeurig gegenereerd wachtwoord?

Idd, zorgelijker is betaalgegevens en naw

[Oon]

whyz schreef op donderdag 15 april 2021 @ 18:42:
[...]

Idd, zorgelijker is betaalgegevens en naw

Maar die staan al in de CSV, dus die veranderen heeft ook geen nut meer

[Elp]

whyz schreef op donderdag 15 april 2021 @ 18:42:
[...]

Idd, zorgelijker is betaalgegevens en naw

Gelukkig was al mijn info al gelekt bij het Ticket Counter lek

[FrederiqueLM]

Oon schreef op donderdag 15 april 2021 @ 18:41:
[...]

Maakt dat uit dan? We hebben toch allemaal gewoon een willekeurig gegenereerd wachtwoord?

Hier thuis zeker. Wat ik van Tweakers in het verleden begreep is dat nog steeds een minderheid van de gebruikers (zelfs van een tech site als Tweakers). Hoe dat er tegenwoordig voor staat weet ik niet, zou een leuk onderzoekje zijn.

[P-Rock]

Pfoe, mijn account is van na de hack. Ik begon me al zorgen te maken.

[Saturnus]

Dit komt voor mij niet als een verrassing. Deze webshop gaf mij een opvallend onveilig gevoel, en na de bestelling begon de spam heel snel. Die is overigens pas een paar weken terug minder geworden.

[downtime]

Saturnus schreef op donderdag 15 april 2021 @ 18:56:
Dit komt voor mij niet als een verrassing. Deze webshop gaf mij een opvallend onveilig gevoel, en na de bestelling begon de spam heel snel. Die is overigens pas een paar weken terug minder geworden.

Hoe weet je dat het met allekabels te maken had? Ik heb daar al jaren een account en heb nog nooit spam gehad op het adres wat ik daar achtergelaten heb. Die phishing mail in februari, dus na deze hack, was de eerste keer.

[Joster]

Weltschmerz schreef op donderdag 15 april 2021 @ 18:22:
[...]


Je zegt juni en juli maar de tweet zegt juli augustus. Weet je zo welke de goede is?

My bad, ik zal m'n post editten.

[galaxy366]

Is er een website waar ik kan controleren of mijn gegevens in de hack zitten? Voornamelijk maak ik mij zorgen om de IBAN. Jeetje wat een prutswerk.

In 2016 heb ik mijn account aangemaakt en iets besteld. Verder niet.

[Saturnus]

downtime schreef op donderdag 15 april 2021 @ 19:24:
[...]

Hoe weet je dat het met allekabels te maken had? Ik heb daar al jaren een account en heb nog nooit spam gehad op het adres wat ik daar achtergelaten heb. Die phishing mail in februari, dus na deze hack, was de eerste keer.

100% zeker weten niet, maar mijn bestelling was letterlijk in de laatste dagen van juli 2020 en de hack in Augustus. Ik weet nog dat ik toen ben nagegaan waar ik 'recent' (midden 2020) nog meer nieuwe accounts heb gemaakt, en dat was nergens. Zeker geen waterdicht bewijs maar wel heel toevallig dan he.

---

Nog een wijze les: als de website qua frontend al zo gaar overkomt, volgens mij heb ik zelfs PHP errors van brakke code gezien, dan kan je er maar beter vanuit gaan dat de backend ook dikke bagger is.

[BladeSlayer1000]

FrederiqueLM schreef op donderdag 15 april 2021 @ 18:49:
[...]


Hier thuis zeker. Wat ik van Tweakers in het verleden begreep is dat nog steeds een minderheid van de gebruikers (zelfs van een tech site als Tweakers). Hoe dat er tegenwoordig voor staat weet ik niet, zou een leuk onderzoekje zijn.

Je bent niet de enige die ervan schrikt, als ik kijk in mijn vrienden en kennissen kring ben ik de enige die een password manager gebruikt, de rest heeft allemaal een standaard wachtwoord voor de 'onbelangrijke' sites en misschien zit er bij de 'belangrijke' sites een kleine wijziging in

Ik zat gisteravond te kijken op hun site, om wat kabels te bestellen. Ik heb daar gelukkig tot op heden nog nooit een account gehad, maar nu dit naar buiten is gekomen laat ik hun links liggen.
Je kan zo namelijk niet met klanten omgaan, ik ben benieuwd wat de AP hiertegen gaat doen, van mij mogen ze direct een hoge boete geven van meer dan 50% van de winst van het bedrijf, puur om andere bedrijven het duidelijk te maken dat je niet moet besparen op veiligheid, en je ook goed moet omgaan met de persoonsgegevens van andere mensen.

[reeers]

BladeSlayer1000 schreef op donderdag 15 april 2021 @ 19:45:
[...]


ik ben benieuwd wat de AP hiertegen gaat doen, van mij mogen ze direct een hoge boete geven van meer dan 50% van de winst van het bedrijf, puur om andere bedrijven het duidelijk te maken dat je niet moet besparen op veiligheid, en je ook goed moet omgaan met de persoonsgegevens van andere mensen.

Ze mogen toch maar maximaal 4% van jaarlijkse omzet als boete geven?

[Lethalis]

Tsja ik zal wel weer de lul zijn. Het gaat lekker de laatste tijd. Dit is het zoveelste datalek van een bedrijf dat mijn gegevens heeft.

Heb best vaak dingen bij allekabels.nl besteld...

[B Tender]

reeers schreef op donderdag 15 april 2021 @ 20:01:
[...]


Ze mogen toch maar maximaal 4% van jaarlijkse omzet als boete geven?

4% van de omzet kan AANZIENLIJK meer zijn dan 50% van de winst (EDIT: Al betwist je dat ook niet in je reactie, natuurlijk ).

Een boete die afhankelijk is van 'winst' is veel willekeuriger.. Winst kan om allerlei redenen niet echt een getrouwe weergave geven van de omvang/activiteitenniveau/draagkracht van een onderneming, omzet is een veel passender uitgangspunt.

[Voor 6% gewijzigd door B Tender op 15-04-2021 20:04]

[Oon]

Lethalis schreef op donderdag 15 april 2021 @ 20:02:
Tsja ik zal wel weer de lul zijn. Het gaat lekker de laatste tijd. Dit is het zoveelste datalek van een bedrijf dat mijn gegevens heeft.

Heb best vaak dingen bij allekabels.nl besteld...

Ik ook, vond het altijd wel een fijne partij die het meeste op voorraad heeft en snel kan leveren, en bij problemen heb ik alleen maar goede ervaring gehad met de klantenservice. Denk dat ik nu toch maar een andere winkel ga zoeken

[reeers]

B Tender schreef op donderdag 15 april 2021 @ 20:03:
[...]

4% van de omzet kan AANZIENLIJK meer zijn dan 50% van de winst (EDIT: Al betwist je dat ook niet in je reactie, natuurlijk ).

Klopt inderdaad, dit staat over omzet op de linkedin van de CEO. Dus dat kan nog een fikse boete worden als het AP gaat optreden.

[Voor 5% gewijzigd door reeers op 15-04-2021 20:13]

[ed1703]

Oon schreef op donderdag 15 april 2021 @ 20:07:
[...]
Denk dat ik nu toch maar een andere winkel ga zoeken

Zolang er geen paal en perk wordt gesteld aan veiligheid van webshops blijft dit water naar de zee dragen.
Ik blijf het bijzonder vinden dat hier geen echt goede regelgeving voor is.

[Oon]

reeers schreef op donderdag 15 april 2021 @ 20:10:
[...]


Klopt inderdaad, dit staat over omzet op de linkedin van de CEO. Dus dat kan nog een fikse boete worden als het AP gaat optreden.

[Afbeelding]

Mooi Steenkolenengels weer, laat wel weer zien hoe professioneel ze zijn

[B Tender]

Cheesy schreef op donderdag 15 april 2021 @ 18:39:
Dan is het enige wat ze op dit moment moeten doen toch per direct alle wachtwoorden resetten?

Too little too late.

[reeers]

Oon schreef op donderdag 15 april 2021 @ 20:17:
[...]

Mooi Steenkolenengels weer, laat wel weer zien hoe professioneel ze zijn

Hij heeft volgensmij nooit een opleiding afgemaakt. Helaas geen geld willen uitgeven aan een proofreader denk ik. Hier een artikel van mtsprout uit 2016:

https://mtsprout.nl/manag...ljoenenbedrijf-vanuit-bed

[Voor 7% gewijzigd door reeers op 15-04-2021 20:20]

[Oon]

reeers schreef op donderdag 15 april 2021 @ 20:19:
[...]


Hij heeft volgensmij nooit een opleiding afgemaakt. Helaas geen geld willen uitgeven aan een proofreader denk ik. Hier een artikel van mtsprout uit 2016:

https://mtsprout.nl/manag...ljoenenbedrijf-vanuit-bed

Haha

Jongeren worden volgens hem niet gestimuleerd tot creativiteit en probleemoplossend vermogen

Dat probleemoplossend vermogen mist inderdaad als dit soort dingen gebeuren..

[P-Rock]

Oon schreef op donderdag 15 april 2021 @ 20:17:
[...]

Mooi Steenkolenengels weer, laat wel weer zien hoe professioneel ze zijn

De CEO kent het verschil tussen tegenwoordige en verleden tijd niet. Send/Sent...

[Ids]

downtime schreef op donderdag 15 april 2021 @ 19:24:
[...]

Hoe weet je dat het met allekabels te maken had? Ik heb daar al jaren een account en heb nog nooit spam gehad op het adres wat ik daar achtergelaten heb. Die phishing mail in februari, dus na deze hack, was de eerste keer.

Dit dus, ik wist dat ik een account had bij die club maar hoe lang wist ik niet meer. Blijk ik dus sinds 2016 een account te hebben maar nooit last gehad van spam.

Maar goed, even door mijn password manager gebladerd en omdat het zo'n oud account was waren er nog een paar van die oudjes met hetzelfde password. Meteen ff rechtgetrokken.

[theHoff]

Als je door de captcha bent kom je op een http site uit en als je een factuur wil inzien kom je op een site met een verlopen certificaat uit. Daarnaast zijn de wachtwoorden nog niet gewijzigd.. Wat een drama. En dit wisten ze al sinds februari..

[Sneek]

Coffeemonster schreef op donderdag 15 april 2021 @ 16:49:
Ik heb in februari wel een mailtje over de hack van Allekabels.nl gekregen, maar dat was dus waarschijnlijk omdat ik een mailadres in de vorm van [e-mail] heb gebruikt. Maar blijkbaar is dit wel wat erger.

Interessant detail: afgelopen november kreeg ik een mailtje naar mijn [e-mail]-adres met een bestelling van eten (geen webformulier, maar handmatig opgesteld), door iemand die ik niet ken (naam afzender komt niet overeen met naam in mailtje zelf). Van die persoon heb ik geen link met Allekabels.nl kunnen vinden op internet. Zou dit een afnemer van de gehackte database kunnen zijn geweest die misbruik wilde maken, maar een foutje maakte? Destijds zocht ik er niets achter, maar ik begin me nu af te vragen of hier meer achter zit.

Ik kreeg zo'n email op 25-11-2020. Betreft dit Wo***r@Tw****en.nl en een ondertekening van een zogenaamde Anne**** van H**n?

Ik heb hem namelijk zijn contact via sidn opgezocht en hij geeft aan dat er destijds misbruik is gemaakt van zijn mailserver om zulke mails te versturen. Ik snap alleen écht niet waarom je er dan zo'n versmenu zou uitsturen, want er zitten geen verborgen elementen in de email. Wellicht tracken ze de reacties (aangezien ze eindigen met "graag even een ontvangstbevestiging")?

[Voor 4% gewijzigd door Sneek op 15-04-2021 23:26]

[Coffeemonster]

Sneek schreef op donderdag 15 april 2021 @ 23:25:
[...]


Ik kreeg zo'n email op 25-11-2020. Betreft dit Wo***r@Tw****en.nl en een ondertekening van een zogenaamde Anne**** van H**n?

Ik heb hem namelijk zijn contact via sidn opgezocht en hij geeft aan dat er destijds misbruik is gemaakt van zijn mailserver om zulke mails te versturen. Ik snap alleen écht niet waarom je er dan zo'n versmenu zou uitsturen, want er zitten geen verborgen elementen in de email. Wellicht tracken ze de reacties (aangezien ze eindigen met "graag even een ontvangstbevestiging")?

Klopt. Dank je voor het melden. Dus zoals ik eerder al vermoedde hoef ik er niets achter te zoeken. Wel bijzonder dat er geen tracker-achtige constructie achter zit. Misschien dat de trackingselementen er ergens onderweg zijn afgestript of zo?

[xoniq]

Heb deze pauper club in ieder geval gemaild om opheldering te vragen mbt het wachtwoorden stuk. Helemaal omdat ze nu op hun site mbt de datalek claimen:

Wachtwoorden: wachtwoorden van klantaccounts worden in ons systeem altijd versleuteld opgeslagen. Hierdoor zijn ze voor derden onleesbaar en onbruikbaar. Ook na dit datalek is het niet mogelijk dat een Allekabels klant account gebruikt wordt om een bestelling in naam van de klant te doen of de bestelgeschiedenis te bekijken. Klantaccounts van Allekabels zijn en blijven veilig.

Dat zou gewoon een dikke middelvinger zijn naar de betrokken klanten die niet zo ‘tech-savi’ zijn en wachtwoorden hergebruiken, en daar ken ik er genoeg van.

Ben benieuwd of ik hier wat over hoor, of dat ze me staalhard negeren. Die desbetreffende pagina ook maar gescreenshot naar Daniël.

https://www.allekabels.nl/faq-1504.php

Bizar dat ze denken ook hier mee weg te kunnen komen:

[Voor 4% gewijzigd door xoniq op 16-04-2021 01:56]

[MustiAai]

Zojuist een mailtje ontvangen mbt de datalek:

Beste klant van Allekabels,

Laten we beginnen om onze welgemeende excuses aan te bieden voor
eventuele overlast welke gepaard gaat met dit datalek en het feit dat
dit nu pas duidelijk is geworden. Gelukkig is uw wachtwoord NIET gelekt!

Ons bedrijf is op 23 augustus 2020 slachtoffer geworden van een hack
door cybercriminelen en heeft daar meteen melding van gemaakt bij de
Autoriteit Persoonsgegevens en de technologische beveiliging maximaal
opgeschroefd. Ondanks het feit dat de wachtwoorden van de klanten
zijn versleuteld werd hedenmorgen in de media melding gemaakt dat
er wachtwoorden van klanten zijn gekraakt. Uit intern onderzoek van
Allekabels is komen vast te staan dat het om een minderheid van de
klanten gaat. Alleen de wachtwoorden van klanten die zich voor 1
september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is
het belangrijk om te weten dat het NIET om uw wachtwoord gaat.

Om de belangen van u als klant maximaal te beschermen heeft Allekabels
besloten om onmiddellijk de wachtwoorden van deze klanten te wissen.
Deze klanten zijn inmiddels van deze maatregelen op de hoogte gesteld,
maar dat geldt dus niet voor u.

Het is denkbaar dat u de komende periode oneigenlijk wordt benaderd met
bijvoorbeeld phishing e-mail. Allekabels roept u dan ook op om extra
waakzaam te zijn, hetgeen in deze tijd sowieso verstandig is.

Indien u hier aanvullende vragen over heeft verwijzen wij u graag naar
onze website https://www.allekabels.nl/faq-1504.php. Op een speciaal
ingerichte informatiepagina zullen wij onze websitebezoekers up-to-date
houden omtrent dit datalek.

Wij zijn bijzonder geschrokken van deze cyberhack en zal de kwestie
diepgaand onderzoeken en alle noodzakelijke maatregelen nemen. We
stellen alles in het werk om de belangen van u als klant optimaal te
beschermen.
--
Met vriendelijke groet,
Constantijn Souren

Toch vind ik het ook jammer dat ze niet aangeven hoe het kan dat er in eerste instantie gedacht werd dat het om 5000 klanten ging, maar dat het nu blijkt om veel meer klanten te gaan...

Ik ben benieuwd wat AP hier gaat doen.

[FREAKJAM]

En dan eindelijk een mail.

Beste klant van Allekabels,

Uw wachtwoord is gelekt bij een datalek en hebben wij om deze reden gewist. Laten we beginnen om onze welgemeende excuses aan te bieden voor eventuele overlast welke gepaard gaat met dit datalek en het feit dat dit nu pas duidelijk is geworden.

Ons bedrijf is op 23 augustus 2020 slachtoffer geworden van een hack door cybercriminelen en heeft daar meteen melding van gemaakt bij de Autoriteit Persoonsgegevens en de technologische beveiliging maximaal opgeschroefd. Ondanks het feit dat de wachtwoorden van de klanten zijn versleuteld werd hedenmorgen in de media melding gemaakt dat er wachtwoorden van klanten zijn gekraakt. Uit intern onderzoek van Allekabels is komen vast te staan dat het om een minderheid van de klanten gaat. Alleen de wachtwoorden van klanten die zich voor 1 september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is het belangrijk te weten dat dit ook om uw gegevens gaat.

Om de belangen van u als klant maximaal te beschermen heeft Allekabels besloten om onmiddellijk de wachtwoorden van deze klanten te wissen. Dat geldt dus ook voor uw wachtwoord. U zult bij uw eerste bezoek aan onze website een nieuw wachtwoord moeten kiezen.

Het is denkbaar dat u de komende periode oneigenlijk wordt benaderd met bijvoorbeeld phishing e-mail. Allekabels roept u dan ook op om extra waakzaam te zijn, hetgeen in deze tijd sowieso verstandig is. Heeft u hetzelfde wachtwoord elders gebruikt? Dan wordt dringend geadviseerd om direct en overal een ander wachtwoord te kiezen.

Indien u hier aanvullende vragen over heeft verwijzen wij u graag naar onze website https://www.allekabels.nl/faq-1504.php. Op een speciaal ingerichte informatiepagina zullen wij onze websitebezoekers up-to-date houden omtrent dit datalek.

Wij zijn bijzonder geschrokken van deze cyberhack en zal de kwestie diepgaand onderzoeken en alle noodzakelijke maatregelen nemen. We stellen alles in het werk om de belangen van u als klant optimaal te
beschermen.

--
Met vriendelijke groet,
Constantijn Souren

.

[Voor 9% gewijzigd door TheVMaster op 16-04-2021 09:29]

[Mektheb]

Yup ook ontvangen, mosterd na de maaltijd nu je gepakt ben in eens openkaart spelen.

Ik kom er niet meer igg

[The Zep Man]

Alleen de wachtwoorden van klanten die zich voor 1 september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is het belangrijk te weten dat dit ook om uw gegevens gaat.

Waarom herversleuteld men wachtwoorden niet? Er zijn prima oplossingen voor (vorige wachtwoord is opgeslagen als een hash -> hash wordt door een password-hashing function gehaald en opgeslagen, gebruiker logt in met clear text wachtwoord dat matcht -> clear text wachtwoord wordt door een password hashing function gehaald en opgeslagen).

Stukje nalatigheid.

[YRH]

Ik heb nog steeds geen mail of andere communicatie, wel een account van 2016. Verhaal wordt steeds gekker zo

[Gaitman]

Ik zou juist willen weten welk wachtwoord ik hier gebruikt heb. Want deze staat niet meer in mijn wachtwoord kluis (dus een heel oud account). Misschien dat er een handige tweaker met de database iets kan opzetten. Eerste twee en laatste twee characters zijn al genoeg zodat ik kan bepalen of het een wachtwoord is geweest wat ik jaren terug heb aangemaakt.

[Webgnome]

The Zep Man schreef op vrijdag 16 april 2021 @ 07:20:
[...]
Waarom herversleuteld men wachtwoorden niet? Er zijn prima oplossingen voor (vorige wachtwoord is opgeslagen als een hash -> hash wordt door een password-hashing function gehaald en opgeslagen, gebruiker logt in met clear text wachtwoord dat matcht -> clear text wachtwoord wordt door een password hashing function gehaald en opgeslagen).

Stukje nalatigheid.

Waar halen ze de claim vandaan dat alleen wachtwoorden van voor een bepaalde datum kunnen worden gekraakt?

[Thy...]

Gaitman schreef op vrijdag 16 april 2021 @ 07:49:
Ik zou juist willen weten welk wachtwoord ik hier gebruikt heb. Want deze staat niet meer in mijn wachtwoord kluis (dus een heel oud account). Misschien dat er een handige tweaker met de database iets kan opzetten. Eerste twee en laatste twee characters zijn al genoeg zodat ik kan bepalen of het een wachtwoord is geweest wat ik jaren terug heb aangemaakt.

Hier heb ik ook last van. Het enige wat ik terug kan vinden is dat ze in 2011 bij het maken van mijn account mijn gebruikersnaam en wachtwoord in plaintext naar me gemaild hebben (dus toen was hun security eigenlijk ook al niet op orde).

Ik hoop maar dat ik dat wachtwoord toen nooit veranderd heb naar iets wat ik op meerdere plekken gebruik (ben een tijdje zo dom geweest, heb op de meeste plekken wel unieke wachtwoorden nu, maar vast ergens een paar vergeten)

[Thy...]

Webgnome schreef op vrijdag 16 april 2021 @ 07:56:
[...]

Waar halen ze de claim vandaan dat alleen wachtwoorden van voor een bepaalde datum kunnen worden gekraakt?

Uit de mail die ze gestuurd hebben:

Ondanks het feit dat de wachtwoorden van de klanten
zijn versleuteld werd hedenmorgen in de media melding gemaakt dat
er wachtwoorden van klanten zijn gekraakt. Uit intern onderzoek van
Allekabels is komen vast te staan dat het om een minderheid van de
klanten gaat. Alleen de wachtwoorden van klanten die zich voor 1
september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is
het belangrijk te weten dat dit ook om uw gegevens gaat.

Het gebrek aan leestekens, verkeerd entergebruik en typfouten komen ook rechtstreeks uit de mail

[Voor 6% gewijzigd door Thy... op 16-04-2021 08:00]

[The Zep Man]

Webgnome schreef op vrijdag 16 april 2021 @ 07:56:
Waar halen ze de claim vandaan dat alleen wachtwoorden van voor een bepaalde datum kunnen worden gekraakt?

Van wat ik begrijp zijn wachtwoorden voor een bepaalde datum enkel hashed/salted hashed opgeslagen. Dat is een stuk makkelijker te kraken dan wachtwoorden die bijvoorbeeld bcrypt of Argon2 gebruiken.

Waarschijnlijk kunnen ze in hun eigen database prima zijn vanaf welke datum ze wachtwoordschema's gewijzigd hebben, en of/wanneer wachtwoorden (voor het laatst) gewijzigd zijn naar het nieuwe schema.

[Perkouw]

Ons bedrijf is op 23 augustus 2020 slachtoffer geworden van een hack
door cybercriminelen en heeft daar meteen melding van gemaakt bij de
Autoriteit Persoonsgegevens en de technologische beveiliging maximaal
opgeschroefd.

Is dat zo? Volgens mij werd er nogal laconiek op het gebeuren gereageerd en zijn we nu ruim een half jaar verder en lijkt er ineens beweging te komen nadat media hierover berichten.

[Rensjuh]

Hmm, eens even nagekeken en ik heb in 2014 ook een account aangemaakt.
Maandag 08-09-2014 om 21:56 een mailtje gekregen met mijn gebruikersnaam (email adres) en mijn wachtwoord in plaintext.
Nog geen mail ontvangen over het datalek, maar verwacht dat ik hier wel bij zit dan.

Misschien iets gemist, maar toevallig al mogelijk om ergens te checken of mijn gegevens bij dit lek zaten?

[Agent47]

Jup mail hier ook ontvangen

[Webgnome]

The Zep Man schreef op vrijdag 16 april 2021 @ 08:00:
[...]
Van wat ik begrijp zijn wachtwoorden voor een bepaalde datum enkel hashed/salted hashed opgeslagen. Dat is een stuk makkelijker te kraken dan wachtwoorden die bijvoorbeeld bcrypt of Argon2 gebruiken.

Waarschijnlijk kunnen ze in hun eigen database prima zijn vanaf welke datum ze wachtwoordschema's gewijzigd hebben, en of/wanneer wachtwoorden (voor het laatst) gewijzigd zijn naar het nieuwe schema.

De specifieke mail heb ik ook gehad en ik begreep ook uit de twitter communicatie van Daniel Verlaan dat er inderdaad een boel wachtwoorden hashed md5 zijn opgeslagen maar ik kan er nog niet uit opmaken dat dat alleen wachtwoorden zouden zijn van voor 2018.. Waarom resetten ze niet de hele handel en forceren ze een refresh van de data voor mensen die inloggen?

[The Zep Man]

Webgnome schreef op vrijdag 16 april 2021 @ 08:23:
Waarom resetten ze niet de hele handel en forceren ze een refresh van de data voor mensen die inloggen?

Dat... is wat ik voorstelde in mijn post.

[Ankh]

Rensjuh schreef op vrijdag 16 april 2021 @ 08:05:
Hmm, eens even nagekeken en ik heb in 2014 ook een account aangemaakt.
Maandag 08-09-2014 om 21:56 een mailtje gekregen met mijn gebruikersnaam (email adres) en mijn wachtwoord in plaintext.
Nog geen mail ontvangen over het datalek, maar verwacht dat ik hier wel bij zit dan.

Misschien iets gemist, maar toevallig al mogelijk om ergens te checken of mijn gegevens bij dit lek zaten?

Ik heb ooit 1 kabel bij dit bedrijf besteld in 2015 en blijkbaar heb ik daar dus ook een account aangemaakt. Maar in mijn bevestigingsmail stond mijn wachtwoord dus niet.. Blijkbaar rond die tijd hebben ze het verbeterd / aangepast.

[Jeroentjuh82]

mail ontvangen dat mijn wachtwoord niet gehackt is

[Kees-Jan]

Hier al klant sinds 2012. Alleen in februari een mail gehad over de "5000 accounts".

[Mrkoekie]

Klant sinds feb 2014, echter geen enkele mail ontvangen. Ik snap echt geen reet van deze manier van communiceren. Leuk dat zij bepalen dat een wachtwoord wel of niet 'gelezen' zou kunnen worden, maar volgens mij moet je gewoon al je klanten hierover informeren en niet zelf bepalen en onderscheid in maken. Of zie ik iets enorm over het hoofd

[renegrunn]

Thy... schreef op vrijdag 16 april 2021 @ 07:59:
[...]


Uit de mail die ze gestuurd hebben:


[...]


Het gebrek aan leestekens, verkeerd entergebruik en typfouten komen ook rechtstreeks uit de mail

Ach, het valt mij nog alles mee dat ze niet alle geadresseerden in de To hebben staan.

[3raser]

Thy... schreef op vrijdag 16 april 2021 @ 07:59:
Het gebrek aan leestekens, verkeerd entergebruik en typfouten komen ook rechtstreeks uit de mail

Dit viel mij ook al op. Deze mail had al net zo goed de eerste phishingpoging kunnen zijn. Er staat zelfs een link in de mail die je dan maar weer blindelings moet vertrouwen.

[Weltschmerz]

FREAKJAM schreef op vrijdag 16 april 2021 @ 07:11:
En dan eindelijk een mail.


[...]

Ik heb dezelfde ontvangen, maar wat ik raar vind is dat ze spreken over dat je wachtwoord gelekt is, maar later ook "je gegevens". Slaat dit nog steeds alleen terug op het wachtwoord, of ook andere gegevens?

Gelukkig heb ik toen al overal een ander wachtwoord voor gebruikt, en ik kan nu niet meer op Allekabels, dus dat wachtwoord is nu nutteloos. Maar welke andere gegevens kon men inzien met dat wachtwoord?

[3raser]

Jeroentjuh82 schreef op vrijdag 16 april 2021 @ 08:28:
mail ontvangen dat mijn wachtwoord niet gehackt is

Wat staat er in jouw mail dan? En hoe weten ze dat zo zeker?

Ik stoor mij tevens mateloos aan het onderwerp van de email:

Wij hebben onmiddellijk maatregelen genomen om u als klant te beschermen

Onmiddelijk?! Nadat ze betrapt werden ja! Dit lek is al bijna 9 maanden oud!

[Voor 32% gewijzigd door 3raser op 16-04-2021 08:52]

[Thy...]

Weltschmerz schreef op vrijdag 16 april 2021 @ 08:49:
[...]


Ik heb dezelfde ontvangen, maar wat ik raar vind is dat ze spreken over dat je wachtwoord gelekt is, maar later ook "je gegevens". Slaat dit nog steeds alleen terug op het wachtwoord, of ook andere gegevens?

Gelukkig heb ik toen al overal een ander wachtwoord voor gebruikt, en ik kan nu niet meer op Allekabels, dus dat wachtwoord is nu nutteloos. Maar welke andere gegevens kon men inzien met dat wachtwoord?

Volgens RTL Nieuws:

unieke e-mailadressen die zijn gekoppeld aan namen, woonadressen, telefoonnummers, geboortedata en versleutelde wachtwoorden.

...

Ook zijn zo'n 109.000 IBAN-nummers van Allekabels-klanten gestolen en verhandeld.

https://www.rtlnieuws.nl/...en-nederlanders-op-straat

Genoeg info om mooie echtlijkende phishingmails te kunnen sturen.

[Rockvee2]

Welke kleuter heeft deze mail geschreven? 😢

Ons bedrijf is op 23 augustus 2020 slachtoffer geworden van een hack
door cybercriminelen en heeft daar meteen melding van gemaakt bij de
Autoriteit Persoonsgegevens en de technologische beveiliging maximaal
opgeschroefd.

Beveiliging was dus niet maximaal opgeschroefd?

Slechte zaak.

Alleen de wachtwoorden van klanten die zich voor 1
september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is
het belangrijk om te weten dat het NIET om uw wachtwoord gaat.

Moet gekraakt zijn. Zin moet eindigen met een punt.

Dit is puur een marketing technische mail sorry bla bla gaat niet meer gebeuren.

[Capacitor]

Mailtje gekregen dat m’n wachtwoord niet gelekt is, terwijl mijn account van 2015 is...
Schiet mij maar lek hoor
Wat een amateurs

[Joster]

Hier nog geen mail gehad, gebruikte wel reeds een uniek wachtwoord gelukkig. Heb deze na de eerste tweet van Daniël gisteren direct aan kunnen passen in elk geval..

[Weltschmerz]

Thy... schreef op vrijdag 16 april 2021 @ 08:53:
[...]


Volgens RTL Nieuws:


[...]


https://www.rtlnieuws.nl/...en-nederlanders-op-straat

Genoeg info om mooie echtlijkende phishingmails te kunnen sturen.

Thanks. Maar daar is dus niets meer aan te doen behalve te verhuizen en mijn bankgegevens te veranderen...

[3raser]

Weltschmerz schreef op vrijdag 16 april 2021 @ 08:54:
[...]


Thanks. Maar daar is dus niets meer aan te doen behalve te verhuizen en mijn bankgegevens te veranderen...

Precies dat. Maar dat vind Allekabels geen probleem. Als je je nieuwe adres maar wel even doorgeeft.

[RodeStabilo]

Rockvee2 schreef op vrijdag 16 april 2021 @ 08:53:
Welke kleuter heeft deze mail geschreven? 😢

Ons bedrijf is op 23 augustus 2020 slachtoffer geworden van een hack
door cybercriminelen en heeft daar meteen melding van gemaakt bij de
Autoriteit Persoonsgegevens en de technologische beveiliging maximaal
opgeschroefd.

Beveiliging was dus niet maximaal opgeschroefd?

Slechte zaak.

Alleen de wachtwoorden van klanten die zich voor 1
september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is
het belangrijk om te weten dat het NIET om uw wachtwoord gaat.

Moet gekraakt zijn. Zin moet eindigen met een punt.

Dit is puur een marketing technische mail sorry bla bla gaat niet meer gebeuren.

Een paar vragen doemen in me op. Inderdaad, de beveiliging was dus niet maximaal en waarom komen wij er pas na een half jaar na melding bij de AP er achter?

Heb 1x wat besteld in 2014. Leuk om er nu ook na 6 jaar nog slachtoffer van te zijn.

Weltschmerz schreef op vrijdag 16 april 2021 @ 08:54:

Thanks. Maar daar is dus niets meer aan te doen behalve te verhuizen en mijn bankgegevens te veranderen...

Mjah lijkt me nogal veel moeite. Want dan kan je bezig blijven. Dit zal niet de eerste en de laatste keer zijn dat je gegevens gelekt gaan worden.

Wie gaat er nou echt z'n bankrekening wijzigen om zoiets? Je moet gewoon niet in evt phising trappen.

[Voor 18% gewijzigd door RodeStabilo op 16-04-2021 09:00]

[wlchris]

Maar eens het mailarchief ingedoken, ze hebben wel een wachtwoord aan mij account gehangen maar die hebben ze zelf gegenereerd. Gelukkig dus geen eigen gekozen wachtwoord.

Blijkbaar kreeg je in 2007 na je bestelling al meteen een automatisch wachtwoord toegezonden.

Bedankt voor uw bestelling, met behulp van de onderstaande gegevens kunt u op onze website inloggen om de status van uw order te bekijken :

Email : [e-mail]
Password : ******** <- In plain tekst

U kunt inloggen door gebruik te maken van de volgende pagina:

http://www.allekabels.nl/member/account.php

We willen u hartelijk bedanken voor het kiezen van Allekabels.nl voor al uw kabels.

[donny007]

Dat wachtwoord kan me letterlijk gestolen worden...

Ik wil van AlleKabels te horen krijgen welke gegevens er exact zijn uitgelekt van mijn account (welke velden, wel/geen IBAN, etc.).

[RodeStabilo]

donny007 schreef op vrijdag 16 april 2021 @ 08:59:
Dat wachtwoord kan me letterlijk gestolen worden...

Ik wil van AlleKabels te horen krijgen welke gegevens er exact zijn uitgelekt van mijn account (welke velden, wel/geen IBAN, etc.).

+1. Waarom zo'n focus op het wachtwoord? de rest vind ik veel erger.

[sapphire]

Perkouw schreef op vrijdag 16 april 2021 @ 08:04:
[...]


Is dat zo? Volgens mij werd er nogal laconiek op het gebeuren gereageerd en zijn we nu ruim een half jaar verder en lijkt er ineens beweging te komen nadat media hierover berichten.

Ik heb de mail ook gekregen vanmorgen en die zin viel me ook meteen op.

Verder staat de mail vol met dingen waar ik grote vraagtekens bij zet. Zo hebben ze de " de technologische beveiliging maximaal
opgeschroefd. ". Mja too little tot late maar daarnaast durf ik als semi-leek nog wel te beweren dat het ook gewoon grootspraak is.

Daarnaast hebben ze om "U als klant maximaal te beschermen heeft Allekabels
besloten om onmiddellijk de wachtwoorden van deze klanten te wissen." maar wat beschermt mij daar maximaal aan? Dat wachtwoord is toch al gelekt

Daarnaast zijn er mensen in februari gewaarschuwd voor een hack en nu zeggen ze dat ze er nu pas achter komen maar ook dat ze in augustus de AP meteen geïnformeerd hebben. Klopt van geen kant, daarnaast vind ik dit een rijkelijk laat bericht nadat het al lang en breed in de media is geweest

Eerlijk is eerlijk ik wist niet eens dat ik een account had en er staat niets in mijn password manager dus geen idee welk WW er gelekt is Wat ik wel weet is dat mijn account dus ooouuddd moet zijn.

Toch maar eens kijken of je ergens een verzoek kan indienen voor het verwijderen van je gegevens.

Edit: bestelling gevonden uit 2013 dus de termijn dat het voor de belasting bewaard dient te worden komt dan in zicht toch ?

[Voor 4% gewijzigd door sapphire op 16-04-2021 09:02]

[Weltschmerz]

RodeStabilo schreef op vrijdag 16 april 2021 @ 08:56:
[...]

Mjah lijkt me nogal veel moeite. Want dan kan je bezig blijven. Dit zal niet de eerste en de laatste keer zijn dat je gegevens gelekt gaan worden.

Wie gaat er nou echt z'n bankrekening wijzigen om zoiets? Je moet gewoon niet in evt phising trappen.

Haha ja inderdaad. Maar dat was ik ook niet van plan hoor. Ik wil gewoon weten wat er precies gelekt is.

[3raser]

Kan iemand mij vertellen wat het probleem is om alle klantgegevens encrypted op te slaan? Waarom zou je adresgegevens en een bankrekeningnummer open en bloot opslaan maar een wachtwoord niet? Zelf het mailadres moet makkelijk te versleutelen zijn. Maak er een hash van en gebruik die om gebruikers in te laten loggen. Gebruik diezelfde hash als salt om de overige data op te slaan en gebruik een private key om toegang te krijgen tot de gegevens wanneer nodig.

Dit zou een soort verplichting moeten worden voor webwinkels. Misschien dat de bodemloze put aan lekken dan eens ophoudt.

[anandus]

RodeStabilo schreef op vrijdag 16 april 2021 @ 08:59:
[...]

+1. Waarom zo'n focus op het wachtwoord? de rest vind ik veel erger.

Veel mensen gebruiken geen wachtwoordmanager, maar hebben hetzelfde wachtwoord (of handjevol wachtwoorden) op het internet.

Als emailadressen, versleutelde wachtwoorden met gebrekkige encryptie en de salt gelekt is, is dat voor veel mensen een potentieel probleem.

Dat gezegd hebbende, als de hack al in augustus was, dan zou het waarschijnlijk al misbruikt kunnen zijn.

[MikeyMan]

Ook de mail gehad. Zag er niet uit inderdaad.

En, het reply-to adres (Wat [e-mail] is) bouncet.

Sowieso raar "we zijn in augustus 2020 gehackt" <> "email: We hebben direct de gegevens gewist"

ER is mij én niet duidelijk of dat direct nu gisteren was of augustus én het is after the fact.

@anandus ik ben er zo een... Zou niet weten hoe ik dat op al mijn apparaten, inclusief werklaptop waar ik niets op mag installeren voor elkaar zou kunnen krijgen.

[Voor 21% gewijzigd door MikeyMan op 16-04-2021 09:04]

[Recklezz]

Ik heb twee accounts uit 2013 en van beide is het wachtwoord idd aangepast. Ik heb alleen nooit een mail van ze ontvangen hierover en ook een password reset mail komt niet aan.

Vaarwel allekabels..

[Sharky]

3raser schreef op vrijdag 16 april 2021 @ 09:01:
Kan iemand mij vertellen wat het probleem is om alle klantgegevens encrypted op te slaan? Waarom zou je adresgegevens en een bankrekeningnummer open en bloot opslaan maar een wachtwoord niet? Zelf het mailadres moet makkelijk te versleutelen zijn. Maak er een hash van en gebruik die om gebruikers in te laten loggen. Gebruik diezelfde hash als salt om de overige data op te slaan en gebruik een private key om toegang te krijgen tot de gegevens wanneer nodig.

Dit zou een soort verplichting moeten worden voor webwinkels. Misschien dat de bodemloze put aan lekken dan eens ophoudt.

Je kunt niet alles hashen. Adres e.d. heb je nodig voor verzending, als je het zelf niet kunt uitlezen schiet je je doel voorbij. Daarnaast staan adresgegevens e.d. *als het goed is* in een beveiligde database, oftewel een private key.

[torretje2012]

Vanacht zijn deze mails eindelijk verzonden:

Beste klant van Allekabels,

Uw wachtwoord is gelekt bij een datalek en hebben wij om deze reden
gewist. Laten we beginnen om onze welgemeende excuses aan te bieden voor
eventuele overlast welke gepaard gaat met dit datalek en het feit dat
dit nu pas duidelijk is geworden.

Ons bedrijf is op 23 augustus 2020 slachtoffer geworden van een hack
door cybercriminelen en heeft daar meteen melding van gemaakt bij de
Autoriteit Persoonsgegevens en de technologische beveiliging maximaal
opgeschroefd. Ondanks het feit dat de wachtwoorden van de klanten
zijn versleuteld werd hedenmorgen in de media melding gemaakt dat
er wachtwoorden van klanten zijn gekraakt. Uit intern onderzoek van
Allekabels is komen vast te staan dat het om een minderheid van de
klanten gaat. Alleen de wachtwoorden van klanten die zich voor 1
september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is
het belangrijk te weten dat dit ook om uw gegevens gaat.

Om de belangen van u als klant maximaal te beschermen heeft Allekabels
besloten om onmiddellijk de wachtwoorden van deze klanten te wissen. Dat
geldt dus ook voor uw wachtwoord. U zult bij uw eerste bezoek aan onze
website een nieuw wachtwoord moeten kiezen.

Het is denkbaar dat u de komende periode oneigenlijk wordt benaderd met
bijvoorbeeld phishing e-mail. Allekabels roept u dan ook op om extra
waakzaam te zijn, hetgeen in deze tijd sowieso verstandig is. Heeft u
hetzelfde wachtwoord elders gebruikt? Dan wordt dringend geadviseerd om
direct en overal een ander wachtwoord te kiezen.

Indien u hier aanvullende vragen over heeft verwijzen wij u graag naar
onze website https://www.allekabels.nl/faq-1504.php. Op een speciaal
ingerichte informatiepagina zullen wij onze websitebezoekers up-to-date
houden omtrent dit datalek.

Wij zijn bijzonder geschrokken van deze cyberhack en zal de kwestie
diepgaand onderzoeken en alle noodzakelijke maatregelen nemen. We
stellen alles in het werk om de belangen van u als klant optimaal te
beschermen.
--
Met vriendelijke groet,
Constantijn Souren

Gelijk actie ondernomen is al ontkracht, beveiling opgeschroeft ook.... #mooiemail-doenwenietsmee

[Weltschmerz]

Recklezz schreef op vrijdag 16 april 2021 @ 09:04:
Ik heb twee accounts uit 2013 en van beide is het wachtwoord idd aangepast. Ik heb alleen nooit een mail van ze ontvangen hierover en ook een password reset mail komt niet aan.

Vaarwel allekabels..

Same, ik heb een ww-reset aangevraagd via wachtwoord vergeten, maar die mail krijg ik niet binnen.

[3raser]

Sharky schreef op vrijdag 16 april 2021 @ 09:04:
[...]


Je kunt niet alles hashen. Adres e.d. heb je nodig voor verzending, als je het zelf niet kunt uitlezen schiet je je doel voorbij. Daarnaast staan adresgegevens e.d. *als het goed is* in een beveiligde database, oftewel een private key.

Ik heb het ook over versleutelen. Die hash van het e-mailadres is een extraatje om gewoon in te kunnen loggen met je mailadres. Het e-mailadres zelf wordt dan ook versleuteld opgeslagen.

En wat is volgens jou een "beveiligde database"? Dat deze is afgeschermd met een wachtwoord?

[3raser]

MikeyMan schreef op vrijdag 16 april 2021 @ 09:03:
En, het reply-to adres (Wat [e-mail] is) bouncet.

Het return-path is [e-mail], dus dat lijkt me logisch. De afzender en het return-path kunnen anders zijn.

@anandus ik ben er zo een... Zou niet weten hoe ik dat op al mijn apparaten, inclusief werklaptop waar ik niets op mag installeren voor elkaar zou kunnen krijgen.

Tip: Bitwarden

[Sharky]

3raser schreef op vrijdag 16 april 2021 @ 09:09:
[...]


En wat is volgens jou een "beveiligde database"? Dat deze is afgeschermd met een wachtwoord?

Ja.

[3raser]

Sharky schreef op vrijdag 16 april 2021 @ 09:11:
[...]


Ja.

Dat is standaard. Maar dat betekend niet dat de inhoud versleuteld is. Bovendien is de database toegankelijk door de website zelf dus via SQL injection zou je al bij de data kunnen komen. Hier zou ik zeker niet op vertrouwen.

[KelvinX]

3raser schreef op vrijdag 16 april 2021 @ 09:01:
Kan iemand mij vertellen wat het probleem is om alle klantgegevens encrypted op te slaan? Waarom zou je adresgegevens en een bankrekeningnummer open en bloot opslaan maar een wachtwoord niet? Zelf het mailadres moet makkelijk te versleutelen zijn. Maak er een hash van en gebruik die om gebruikers in te laten loggen. Gebruik diezelfde hash als salt om de overige data op te slaan en gebruik een private key om toegang te krijgen tot de gegevens wanneer nodig.

Dit zou een soort verplichting moeten worden voor webwinkels. Misschien dat de bodemloze put aan lekken dan eens ophoudt.

Op zich doe je dat ook wel, een DB is prima te encrypten. Hashen overigens is niet heel zinvol in deze context.

Maar een geencrypte database is relatief zinloos als het onderliggende systeem er makkelijk bij kan. Mijn eigen laptop bijvoorbeeld: de HD is versleuteld maar als ik weg loop met het scherm niet gelocked is dat zinloos. Zo ook de discussie rondom versleutelde databases. Dat is alleen zinnig voor hackers die buiten de systemen om de DB proberen te benaderen.

Als het wachtwoord van de webshop-connectie "admin007" is, wordt alles keurig voor je gedecrypt.

[Plenkske]

Weltschmerz schreef op vrijdag 16 april 2021 @ 09:06:
[...]


Same, ik heb een ww-reset aangevraagd via wachtwoord vergeten, maar die mail krijg ik niet binnen.

Na het Tweakers bericht gisteren dacht ik "heb ik nog een account daar ?" (want ik heb lang geleden wel eens iets besteld daar) en toen heb ik dus wachtwoord reset geprobeerd op een paar emailadressen. Kreeg niks binnen.

Vanmorgen kreeg ik ook de algemene mail binnen, op 1 emailadres.
Blijkbaar stond ik dus nog in de data. Waarschijnlijk wel op een oud adres van mij vanwege verhuizing, maar de vraag is dus wat er allemaal nog meer gelekt is. Dat is nog steeds onduidelijk.

Overigens is het mij niet opgevallen dat ik sinds die hack extra veel of andere phishing zaken binnen heb gekregen.

[RodeStabilo]

anandus schreef op vrijdag 16 april 2021 @ 09:02:
[...]
Veel mensen gebruiken geen wachtwoordmanager, maar hebben hetzelfde wachtwoord (of handjevol wachtwoorden) op het internet.

Toegegeven; dat doe ik ook. Alleen voor echt belangrijke accounts niet en i.c.m 2FA.

Verder nog geen mail gehad, laatste bestelling in 2014.

[Voor 8% gewijzigd door RodeStabilo op 16-04-2021 09:18]

[Jeroentjuh82]

3raser schreef op vrijdag 16 april 2021 @ 08:51:
[...]

Wat staat er in jouw mail dan? En hoe weten ze dat zo zeker?

Ik stoor mij tevens mateloos aan het onderwerp van de email:

[...]

Onmiddelijk?! Nadat ze betrapt werden ja! Dit lek is al bijna 9 maanden oud!

ga er vanuit dat het zo is, maar hoe de mail is opgesteld komt niet heel professioneel over mede door hoe lang het al geleden is idd.

[torretje2012]

Jeroentjuh82 schreef op vrijdag 16 april 2021 @ 09:18:
[...]


ga er vanuit dat het zo is, maar hoe de mail is opgesteld komt niet heel professioneel over mede door hoe lang het al geleden is idd.

Gezien de spelfouten en de aflevertijd, zal dit mailtje niet een heel goed overwogen mailtje zijn.

[dutchnltweaker]

Ik snap iets niet, ik heb net een mail ontvangen van allekabels.nl over de datalek. Ik kon me niet herinneren dat ik daar ooit wat besteld had behalve bij kabelshop.nl . Ik dus net gecheckt maar kan helemaal 0,0 vinden in me mail betreft het aanmelden bij deze toko of iets te hebben besteld.

Hoe komen ze aan mijn mail en waarom krijg ik deze mail is de vraag?

Edit: nogmaals gecheckt maar heb daadwerkelijk geen account bij deze toko, hoe komen ze erbij om mij te mailen ?

[Voor 14% gewijzigd door dutchnltweaker op 16-04-2021 10:18]

[dok33]

The Zep Man schreef op vrijdag 16 april 2021 @ 07:20:
[...]
Waarom herversleuteld men wachtwoorden niet? Er zijn prima oplossingen voor (vorige wachtwoord is opgeslagen als een hash -> hash wordt door een password-hashing function gehaald en opgeslagen, gebruiker logt in met clear text wachtwoord dat matcht -> clear text wachtwoord wordt door een password hashing function gehaald en opgeslagen).

Stukje nalatigheid.

Dus als mijn wachtwoord '123456' was en opgeslagen werd als 'fjdal%kfdjl0i0jma90', dan helpt het volgens jou om het de volgende keer op te slaan als 'lkgljlkjj90iofak%j90', zodat de hackers er niks mee kunnen dat ze hebben gevonden dat ik '123456' heb gebruikt...

[Sand0rf]

Ik heb al jaren een account bij Allekabels en daar in 2018 wat besteld en toevallig dinsdag avond (had ik dat nou maar niet gedaan...). Wachtwoord maak ik me niet zo zorgen om want ik gebruiken al jaren unieke wachtwoorden (LastPass en sinds kort BitWarden) en als ik het goed heb zou mijn IBAN ook niet gelekt moeten zijn (Geen bestelling in juli/augustus 2020). Wel heb ik sinds een paar dagen/weken veel spam in het Spaans. Het gebruikelijk Bitcoin/Erfenis/Seks etc werk.. Zou de database zijn verkocht of in handen zijn gekomen door Spaanstaligen?

[Dostar]

Vandaag even een check gedaan. Ik heb 100% zeker een account op Allekabels. Vreemd genoeg werkt mijn login niet meer en bij wachtwoord vergeten krijg ik ook geen mail van ze.
Hele vreemde zaak...
Kunnen criminelen met mijn login gegevens het mail adres wijzigen en NAW + IBAN behouden? Heb namelijk geen zin in straks een hoop bestellingen bij Allekabels op mijn naam en een deurwaarder aan de deur.

[KelvinX]

The Zep Man schreef op vrijdag 16 april 2021 @ 07:20:
[...]
Waarom herversleuteld men wachtwoorden niet? Er zijn prima oplossingen voor (vorige wachtwoord is opgeslagen als een hash -> hash wordt door een password-hashing function gehaald en opgeslagen, gebruiker logt in met clear text wachtwoord dat matcht -> clear text wachtwoord wordt door een password hashing function gehaald en opgeslagen).

Stukje nalatigheid.

dok33 schreef op vrijdag 16 april 2021 @ 09:19:
[...]


Dus als mijn wachtwoord '123456' was en opgeslagen werd als 'fjdal%kfdjl0i0jma90', dan helpt het volgens jou om het de volgende keer op te slaan als 'lkgljlkjj90iofak%j90', zodat de hackers er niks mee kunnen dat ze hebben gevonden dat ik '123456' heb gebruikt...

Wat je kan doen is opnieuw hashen, en bepaalde algoritmes doen dit al, je hasht niet 1x maar wel 1000x of een miljoen keer. Niet omdat dat per se veiliger is, maar omdat de (opzettelijke) vertraging brute-forcen moeilijker maakt. Dus extra hashen is een bekende en gebeurt ook al veel in de praktijk. Of Allekabels dat deed weet ik niet.

Op zich heeft het weinig extra waarde om allemaal supergeheime hashing algoritmes toe te passen. Je kan wel stiekem het wachtwoord reversen en dan pas hashen, of stiekem een hash van een hash hashen, maar uiteindelijk komt het er op neer dat je van een hash naar >>> de originele waarde gaat.

Die originele waarde laat jou inloggen, want originele waarde >>> hash. En wellicht dat die originele waarde ook werkt bij Faecbook, of Twitter of wat dan ook.

Dan kan je code-wise wel stiekem het wachtwoord omdraaien en dan pas gebruiken of wat voor een trucje dan ook toepassen, maar als je als hacker ineens "drowssap" tegen komt ipv "password" weet je ook wel hoe het zit.

[The Zep Man]

dok33 schreef op vrijdag 16 april 2021 @ 09:19:
Dus als mijn wachtwoord '123456' was en opgeslagen werd als 'fjdal%kfdjl0i0jma90', dan helpt het volgens jou om het de volgende keer op te slaan als 'lkgljlkjj90iofak%j90', zodat de hackers er niks mee kunnen dat ze hebben gevonden dat ik '123456' heb gebruikt...

Dat schrijf ik nergens.

Leer eerst eens het verschil tussen een hash, een salted hash, password-hashing functies, en hoe dit allemaal relateert aan opgeslagen wachtwoorden en aanvallen daartegen. Niet op de man, dat is nergens voor nodig

Verder is wachtwoordcomplexiteit een verantwoording van de gebruiker.

[Voor 9% gewijzigd door Jazzy op 16-04-2021 17:16]

[martijn946]

Ik moest wel lachen om:

Als u twijfelt of een bericht van een bekende afkomstig is, bel het nummer dan terug om te controleren of u de juiste persoon aan de lijn krijgt.

https://www.allekabels.nl/faq-1504.php Gedeelte "Risico voor de klanten"

Dit is mijns inziens wel een beetje naïef hoor anno 2021. Bij menigeen is bekend dat sommige nummers lijken over te gaan maar dat er in werkelijkheid al lang is opgenomen en het tellertje begint te lopen.

[xh3adshotx]

dok33 schreef op vrijdag 16 april 2021 @ 09:19:
[...]


Dus als mijn wachtwoord '123456' was en opgeslagen werd als 'fjdal%kfdjl0i0jma90', dan helpt het volgens jou om het de volgende keer op te slaan als 'lkgljlkjj90iofak%j90', zodat de hackers er niks mee kunnen dat ze hebben gevonden dat ik '123456' heb gebruikt...

Kort gezegd: ja. Hashing methodes zijn afhankelijk van de gebruikte methode makkelijker of moeilijker te kraken. Als je besluit om in plaats van MD5 bijvoorbeeld bcrypt/scrypt/argon2 te gebruiken zou je op het moment dat iemand inlogt het plain-text (ingevulde) wachtwoord kunnen vergelijken met de MD5 hash en als de hash matched update je de MD5 hash door het plain-text wachtwoord opnieuw te hashen met je moderne algoritme. Als dan de hash gestolen wordt is de kans dat iemand hem kan brute-forcen een héél stuk kleiner.

Afhankelijk van het niveau waarop toegang is verschaft had iets als Always Encrypted de persoonsgegevens nog een beetje kunnen beschermen. Ben wel benieuwd naar de details van de hack, mijn gegevens (gelukkig een random, uniek, wachtwoord) zijn waarschijnlijk ook gestolen... Heb nog geen mail gehad.

[TheVMaster]

FREAKJAM schreef op Friday 16 April 2021 @ 07:11:
En dan eindelijk een mail.


[...]
.

Ik heb die mail ook ontvangen. Het rare is dat ik al jaren klant ben bij het bedrijf (zeker al een jaar of 4-5) en toch wekt de e-mail de suggestie dat ik pas na september 2020 klant ben geworden. Heel raar

[Kalentum]

En ik heb wel wat besteld maar geen mail gekregen. Overigens Paypal gebruikt dus geen IBAN in het spel (en ik zou ook niet weten waarom een webwinkel mijn IBAN moet hebben, behalve dan voor geld terug geven)

[__fred__]

Hier ook een sterk wachtwoord gelukkig. Eerst maar direct wachtwoordmail aangevraagd, maar die krijg ik ook niet. Kon wel inloggen en daarna wachtwoord wijzigen. Ik heb besteld in 2013 en in 2021, maar nooit een mail gehad over mijn gelekte account. Ook paypal gebruikt, dus geen iban gelekt.

[Voor 7% gewijzigd door __fred__ op 16-04-2021 09:32]

[Kees-Jan]

Ik vermoed dat die "password vergeten" mails pas verstuurd worden als die mails over de hack (1-voor-1) verstuurd zijn?!

en straks mag niets meer encrypt worden: nieuws: Europese techbedrijven waarschuwen Europese Commissie voor afbouw enc...

[Voor 58% gewijzigd door Kees-Jan op 16-04-2021 09:33]

[Joris748]

3,3 miljoen unieke klanten? Dat betekent dat 40% van de Nederlandse huishoudens daar een account heeft. Wie kan die 3,3 miljoen accounts bevestigen of duiden?

[torretje2012]

Joris748 schreef op vrijdag 16 april 2021 @ 09:34:
3,3 miljoen unieke klanten? Dat betekent dat 40% van de Nederlandse huishoudens daar een account heeft. Wie kan die 3,3 miljoen accounts bevestigen of duiden?

ze leveren ook naar het buitenland, dus kan prima waar zijn

[The Zep Man]

Voor de PayPal gebruikers:

Dit is een goed moment om je automatische transacties in PayPal te controleren. Ga eenmaal ingelogd in PayPal naar Settings -> Payments -> Manage your Automatic Payments -> View. Zie of daar onverwachte zaken tussen staan.

[Kees-Jan]

Joris748 schreef op vrijdag 16 april 2021 @ 09:34:
3,3 miljoen unieke klanten? Dat betekent dat 40% van de Nederlandse huishoudens daar een account heeft. Wie kan die 3,3 miljoen accounts bevestigen of duiden?

nee, 3,3 M unieke mailadressen betekend niet 3,3 M huishoudens...

[dok33]

The Zep Man schreef op vrijdag 16 april 2021 @ 09:28:
[...]
Dat schrijf ik nergens.

Leer eerst eens het verschil tussen een hash, een salted hash, password-hashing functies, en hoe dit allemaal relateert aan opgeslagen wachtwoorden en aanvallen daartegen. Pas dan kan je met de grote jongens meepraten.

Verder is wachtwoordcomplexiteit een verantwoording van de gebruiker.

Je schreef echt wel dat ze gewoon de wachtwoorden opnieuw moesten hashen.

Maar ben al klaar met je, als je denkt te weten wat ik wel of niet weet en er neerbuigend over doet. Zelfs als ik niks zou weten over beveiliging van wachtwoorden (en dat weet ik helaas wel), dan kan ik nog steeds iets zinnigs zeggen, "grote jongen".

[gigi71]

Ik ben (was) zeker sinds 2014 klant. Maar volgens Allekabels hoef ik mij geen zorgen te maken en is mijn wachtwoord niet gekraakt, omdat "Alleen de wachtwoorden van klanten die zich voor 1
september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is
het belangrijk om te weten dat het NIET om uw wachtwoord gaat.".

Mogelijk komt dit doordat ik gisteren mijn wachtwoord gewijzigd heb.

[Voor 10% gewijzigd door gigi71 op 16-04-2021 09:52]

[dok33]

xh3adshotx schreef op vrijdag 16 april 2021 @ 09:28:
[...]


Kort gezegd: ja. Hashing methodes zijn afhankelijk van de gebruikte methode makkelijker of moeilijker te kraken. Als je besluit om in plaats van MD5 bijvoorbeeld bcrypt/scrypt/argon2 te gebruiken zou je op het moment dat iemand inlogt het plain-text (ingevulde) wachtwoord kunnen vergelijken met de MD5 hash en als de hash matched update je de MD5 hash door het plain-text wachtwoord opnieuw te hashen met je moderne algoritme. Als dan de hash gestolen wordt is de kans dat iemand hem kan brute-forcen een héél stuk kleiner.

De hashes zijn al gelekt. Opnieuw hashen doet niks met het wachtwoord.

[Capacitor]

JackSparrow schreef op vrijdag 16 april 2021 @ 09:29:
[...]


Ik heb die mail ook ontvangen. Het rare is dat ik al jaren klant ben bij het bedrijf (zeker al een jaar of 4-5) en toch wekt de e-mail de suggestie dat ik pas na september 2020 klant ben geworden. Heel raar

Ik heb hetzelfde als jij. Toevallig gisteren je wachtwoord preventief gewijzigd? Ik wel namelijk en ik heb het idee dat het daaraan ligt.
Dat wachtwoord is niet gelekt natuurlijk, een vorige wel.
Het wordt echt enorm slecht gecommuniceerd

[EnigmA-X]

The Zep Man schreef op vrijdag 16 april 2021 @ 09:28:
[...]
knip

knip

The Zep Man schreef op vrijdag 16 april 2021 @ 09:28:
[...]
Verder is wachtwoordcomplexiteit een verantwoording van de gebruiker.

Ik vind niet dat je het zo zwart/wit kan stellen. Als verkopende partij heb je in mijn optiek ook wel wat verplichtingen om data veilig op te slaan. Daarnaast lijkt het me een behoorlijke misconceptie om te denken dat de gemiddelde 'allekabels.nl'-klant uberhaupt iets afweet van wachtwoordcomplexiteit. Datzelfde geldt overigens ook voor de website van Libelle bijvoorbeeld.

Kennelijk is de organisatie achter allekabels wel ISAE3402 gecertificeerd, maar ik kan nergens een bewijs vinden van certificering op iso-27001. Met de datalekken van de laatste tijd mag dat wat mij betreft vanaf een bepaalde vormgrootte van een organisatie wel verplicht gesteld gaan worden.

Wat een puinhoop.

[Voor 7% gewijzigd door Jazzy op 16-04-2021 17:25. Reden: quote is verwijderd, de reactie is dus ook niet meer nodig]