Datalek allekabels.nl, kabeltje.com, Dutchdo, etc.

[xh3adshotx]

dok33 schreef op vrijdag 16 april 2021 @ 09:40:
[...]


De hashes zijn al gelekt. Opnieuw hashen doet niks met het wachtwoord.

Nu opnieuw hashen zal niets meer uitmaken voor de gelekte hashes nee... Dat was @The Zep Man zijn punt ook niet volgens mij. De vraag is waarom ze de hashes van de oudere accounts niet opnieuw gehashed hebben vóór de hack.

Zelfs als gebruikers niet opnieuw inloggen en je het plain-text wachtwoord niet hebt zou je nog de MD5 hash kunnen hashen met Aragon2. Vervolgens als iemand inlogt kan je eerst Aragon2(plain-text, db-hash) vergelijken met de database en vervolgens Aragon2(md5(plain-text), db-hash). Liever niet want je hebt dan in feite "twee" wachtwoorden die zouden werken, maar dat zou nog veiliger zijn dan dit.

[Voor 32% gewijzigd door xh3adshotx op 16-04-2021 09:53]

[3raser]

Dostar schreef op vrijdag 16 april 2021 @ 09:23:
Vandaag even een check gedaan. Ik heb 100% zeker een account op Allekabels. Vreemd genoeg werkt mijn login niet meer en bij wachtwoord vergeten krijg ik ook geen mail van ze.
Hele vreemde zaak...
Kunnen criminelen met mijn login gegevens het mail adres wijzigen en NAW + IBAN behouden? Heb namelijk geen zin in straks een hoop bestellingen bij Allekabels op mijn naam en een deurwaarder aan de deur.

Ze hebben de wachtwoorden gereset voor alle accounts die voor 1 september 2018 geregistreerd waren. Daarom kun je waarschijnlijk niet inloggen. Dat het wachtwoord-vergeten formulier niet werkt is gewoon de zoveelste faal.

[TheVMaster]

Capacitor schreef op Friday 16 April 2021 @ 09:45:
[...]

Ik heb hetzelfde als jij. Toevallig gisteren je wachtwoord preventief gewijzigd? Ik wel namelijk en ik heb het idee dat het daaraan ligt.
Dat wachtwoord is niet gelekt natuurlijk, een vorige wel.
Het wordt echt enorm slecht gecommuniceerd

Die kans is best groot. Heb het gisteren gelijk gewijzigd toen ik de kans kreeg. Blijft natuurlijk slordig dat ze kijken naar de laatste wachtwoord wijziging datum in plaats van de registratiedatum. ik zag net dat mijn eerste bestelling al in 2014 was, dus dat zouden ze moeten kunnen zien.

[Voor 7% gewijzigd door TheVMaster op 16-04-2021 10:17]

[Lethalis]

nieuws: Allekabels: wachtwoorden van accounts ouder dan september 2018 zijn t...

Ach gut, dit was ook wel te verwachten.

Volgens journalist Daniël Verlaan zijn de wachtwoorden gehasht met MD5 en voorzien van een salt, of met Bcrypt. De salt die gebruikt is voor het versleutelen van de MD5-wachtwoorden is ook gestolen, waarmee die wachtwoorden eenvoudig zijn te kraken.

Zouden ze geen random salt hebben gebruikt? (per account)

En MD5 is sowieso niet meer van deze tijd.

[Voor 7% gewijzigd door Lethalis op 16-04-2021 10:34]

[Plons_de_Kikker]

Ook hier een oud account en een door mij recent gereset wachtwoord. Volgens de mail van allekabels gaat het niet om mijn wachtwoord, terwijl dat dus wel zo is...

Weet iemand waar je onafhankelijk kunt checken of je getroffen bent? Kent haveibeenpwned deze hack al?

[Mawlana]

Gisteren mijn e-mailadres gewijzigd.

Vannacht heb ik twee e-mails ontvangen.

02:32u @ nieuw adres
Laten we beginnen om onze welgemeende excuses aan te bieden voor eventuele overlast welke gepaard gaat met dit datalek en het feit dat dit nu pas duidelijk is geworden. Gelukkig zijn uw gegevens NIET gelekt!

03:27u @ oud adres
Beste klant van Allekabels,

Uw wachtwoord is gelekt bij een datalek en hebben wij om deze reden gewist. Laten we beginnen om onze welgemeende excuses aan te bieden voor eventuele overlast welke gepaard gaat met dit datalek en het feit dat dit nu pas duidelijk is geworden.

Wel apart dat men het alleen heeft over wachtwoorden, en niet over andere persoonsgegevens.

[Voor 6% gewijzigd door Mawlana op 16-04-2021 10:51]

[Elp]

EnigmA-X schreef op vrijdag 16 april 2021 @ 09:47:
[...]


Snap eerlijk gezegd niet zo goed waarom deze neerbuigendheid nodig is, zeker niet op het forum hier...


[...]


Ik vind niet dat je het zo zwart/wit kan stellen. Als verkopende partij heb je in mijn optiek ook wel wat verplichtingen om data veilig op te slaan. Daarnaast lijkt het me een behoorlijke misconceptie om te denken dat de gemiddelde 'allekabels.nl'-klant uberhaupt iets afweet van wachtwoordcomplexiteit. Datzelfde geldt overigens ook voor de website van Libelle bijvoorbeeld.

Kennelijk is de organisatie achter allekabels wel ISAE3402 gecertificeerd, maar ik kan nergens een bewijs vinden van certificering op iso-27001. Met de datalekken van de laatste tijd mag dat wat mij betreft vanaf een bepaalde vormgrootte van een organisatie wel verplicht gesteld gaan worden.

Wat een puinhoop.

Bij een 3402 is het altijd maar de vraag wat er precies in het rapport staat. Waarschijnlijk is informatiebeveiliging niet volledig in scope (daar zijn wat mij betreft betere standaarden voor), en zelfs al was het in scope dan kunnen er bevindingen geconstateerd zijn. Alleen het feit dat ze zo'n rapport hebben hoeft niets te zeggen over hoe veilig het allemaal is. Als het goed is, is dat rapport ook niet publiekelijk toegankelijk dus kan ook niet gecontroleerd worden.

Als ze nergens hebben staan dat ze 27001 gecertificeerd zijn, dan zullen ze het wel niet zijn. Verbaast me niet, ze lijken niet echt bezig te zijn met informatiebeveiliging.

[fl1mpie]

Ik kreeg dit net binnen:

Beste klant van Allekabels,

Laten we beginnen om onze welgemeende excuses aan te bieden voor
eventuele overlast welke gepaard gaat met dit datalek en het feit dat
dit nu pas duidelijk is geworden. Gelukkig is uw wachtwoord NIET gelekt!

Ons bedrijf is op 23 augustus 2020 slachtoffer geworden van een hack
door cybercriminelen en heeft daar meteen melding van gemaakt bij de
Autoriteit Persoonsgegevens en de technologische beveiliging maximaal
opgeschroefd. Ondanks het feit dat de wachtwoorden van de klanten
zijn versleuteld werd hedenmorgen in de media melding gemaakt dat
er wachtwoorden van klanten zijn gekraakt. Uit intern onderzoek van
Allekabels is komen vast te staan dat het om een minderheid van de
klanten gaat. Alleen de wachtwoorden van klanten die zich voor 1
september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is
het belangrijk om te weten dat het NIET om uw wachtwoord gaat.

Om de belangen van u als klant maximaal te beschermen heeft Allekabels
besloten om onmiddellijk de wachtwoorden van deze klanten te wissen.
Deze klanten zijn inmiddels van deze maatregelen op de hoogte gesteld,
maar dat geldt dus niet voor u.

Het is denkbaar dat u de komende periode oneigenlijk wordt benaderd met
bijvoorbeeld phishing e-mail. Allekabels roept u dan ook op om extra
waakzaam te zijn, hetgeen in deze tijd sowieso verstandig is.

Indien u hier aanvullende vragen over heeft verwijzen wij u graag naar
onze website https://www.allekabels.nl/faq-1504.php. Op een speciaal
ingerichte informatiepagina zullen wij onze websitebezoekers up-to-date
houden omtrent dit datalek.

Wij zijn bijzonder geschrokken van deze cyberhack en zal de kwestie
diepgaand onderzoeken en alle noodzakelijke maatregelen nemen. We
stellen alles in het werk om de belangen van u als klant optimaal te
beschermen.
--
Met vriendelijke groet,
Constantijn Souren

Alles is kraakbaar met genoeg effort en tijd...

[reeers]

Heeft nog iemand een mail gekregen van het maildomein indeedemail.com ? Beetje vreemd om van een vacature site een email te krijgen?

[fl1mpie]

fl1mpie schreef op vrijdag 16 april 2021 @ 11:02:
Ik kreeg dit net binnen:


[...]


Alles is kraakbaar met genoeg effort en tijd...

En een reply-to naar [e-mail] terwijl de mail van [e-mail] kwam

[Voor 7% gewijzigd door fl1mpie op 16-04-2021 11:06]

[Cheesy]

Plons_de_Kikker schreef op vrijdag 16 april 2021 @ 10:29:
Ook hier een oud account en een door mij recent gereset wachtwoord. Volgens de mail van allekabels gaat het niet om mijn wachtwoord, terwijl dat dus wel zo is...

Weet iemand waar je onafhankelijk kunt checken of je getroffen bent? Kent haveibeenpwned deze hack al?

Hier zelfde situatie. Ik heb in februari al mijn wachtwoord aangepast (Cheesy in "Datalek allekabels.nl")

Ben benieuwd of ik dat vorige wachtwoord nog ergens tegen ga komen (was random gegenereerd door allekabels en per mail naar mij verzonden, zoals 6wkADEww)

[Voor 3% gewijzigd door Cheesy op 16-04-2021 11:08]

[Mr-D.]

net ingelogd en kan geen enkele bestelling vinden die ik daar heb gedaan volgens hun database
in mijn eigen database ook niet?
dus moet dan wel voor 2018 zijn geweest.

wachtwoord maar ff aangepast voor de zekerheid.

[Kees-Jan]

Bijzonder: ik heb ook een mailadres allekabels.nl@<domein>.<tld>
maar ik ben niet benaderd...

de ".nl" toevoeging valt natuurlijk buiten de query "allekabels@"...

[dok33]

xh3adshotx schreef op vrijdag 16 april 2021 @ 09:50:
[...]


Nu opnieuw hashen zal niets meer uitmaken voor de gelekte hashes nee... Dat was @The Zep Man zijn punt ook niet volgens mij. De vraag is waarom ze de hashes van de oudere accounts niet opnieuw gehashed hebben vóór de hack.

Zelfs als gebruikers niet opnieuw inloggen en je het plain-text wachtwoord niet hebt zou je nog de MD5 hash kunnen hashen met Aragon2. Vervolgens als iemand inlogt kan je eerst Aragon2(plain-text, db-hash) vergelijken met de database en vervolgens Aragon2(md5(plain-text), db-hash). Liever niet want je hebt dan in feite "twee" wachtwoorden die zouden werken, maar dat zou nog veiliger zijn dan dit.

Oh, je bedoelt toen ze in 2018 overstapten op een nieuw algoritme. Now it makes more sense.

[VirinR]

JackSparrow schreef op vrijdag 16 april 2021 @ 10:15:
[...]


Die kans is best groot. Heb het gisteren gelijk gewijzigd toen ik de kans kreeg. Blijft natuurlijk slordig dat ze kijken naar de laatste wachtwoord wijziging datum in plaats van de registratiedatum. ik zag net dat mijn eerste bestelling al in 2014 was, dus dat zouden ze moeten kunnen zien.

Mijn eerste bestelling van AlleKabels was ook in 2014. Heb geen enkele mail ontvangen en al het nieuws krijg ik hier van Tweakers mee.
In 2014 zat ik nog op de middelbare school en deed ik niks met privacy en wachtwoordbeheer. Nu weet ik wel hoe belangrijk het is om zoveel mogelijk niet vrij te geven en unieke wachtwoorden te gebruiken.
Nu heb ik in 1Password unieke gegenereerde wachtwoorden aangemaakt voor meer dan 300 accounts. Hier zie ik ook dat ik deze in 2019 voor het laatst heb gewijzigd maar voor de zekerheid zal ik het nog eens aanpassen.

[Anoniem: 736981]

Hier ook mailtje gekregen dat ik er niet bij ben. Maar ik wil dit weekend toch werk maken van die eigen domein en unieke adressen. Zoveel spam sinds de recente lekken dat ik mijn privé adres ook zal moeten switchen

[Room42]

Anoniem: 736981 schreef op vrijdag 16 april 2021 @ 12:10:
Hier ook mailtje gekregen dat ik er niet bij ben. Maar ik wil dit weekend toch werk maken van die eigen domein en unieke adressen. Zoveel spam sinds de recente lekken dat ik mijn privé adres ook zal moeten switchen

Zolang je spam in de spam-folder komt is er niks aan de hand, toch?

[NLxDoDge]

Ik heb zelf ook een account aangemaakt een half jaar terug, maar is die dan ook gelekt?
Ik heb tevens ook nooit een e-mail erover gehad als het namelijk wel zo is

[Room42]

NLxDoDge schreef op vrijdag 16 april 2021 @ 12:37:
Ik heb zelf ook een account aangemaakt een half jaar terug, maar is die dan ook gelekt?
Ik heb tevens ook nooit een e-mail erover gehad als het namelijk wel zo is

In de mail zeggen ze dit:

Alleen de wachtwoorden van klanten die zich voor 1
september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is
het belangrijk te weten dat dit ook om uw gegevens gaat.

De mail lijkt wel haastig geschreven te zijn.

[virtualjoe]

Ik wil mijn account met 1 druk op de knop kunnen verwijderen in dit soort gevallen. Die optie bieden ze echter niet...

[Room42]

virtualjoe schreef op vrijdag 16 april 2021 @ 12:41:
Ik wil mijn account met 1 druk op de knop kunnen verwijderen in dit soort gevallen. Die optie bieden ze echter niet...

Daar kunnen wij niks aan doen.

[Oon]

Anoniem: 736981 schreef op vrijdag 16 april 2021 @ 12:10:
Hier ook mailtje gekregen dat ik er niet bij ben. Maar ik wil dit weekend toch werk maken van die eigen domein en unieke adressen. Zoveel spam sinds de recente lekken dat ik mijn privé adres ook zal moeten switchen

Ik heb een tijdje geleden sub-addressing mogelijk gemaakt op mijn eigen mailserver en zo langzamerhand dus mijn emailadressen ook aan het aanpassen op verschillende websites. In veel gevallen bijvoorbeeld <naam>+tweakers2021@<domein>, zodat ik ook meteen weet om welk jaar het gaat. Die zal ik zeker niet ieder jaar aanpassen, maar dat biedt wel weer wat extra info over hoe oud de gegevens zijn die gelekt zijn.

Nu alleen op zoek naar een manier om dat ook makkelijk te beheren. Ben nog steeds bezig met hele oude wachtwoorden vervangen (zijn er 1421 die volgens LastPass 'at-risk' zijn), en dan maar eens over naar Bitwarden. Nog heel wat opruimwerk te gaan, maar met al die datalekken tegenwoordig zeker wel de moeite waard.

[Room42]

virtualjoe schreef op vrijdag 16 april 2021 @ 12:41:
Ik wil mijn account met 1 druk op de knop kunnen verwijderen in dit soort gevallen. Die optie bieden ze echter niet...

Kan ik mijn gegevens laten verwijderen uit de systemen?
Ja, dat kan! Stuur hiervoor een mail naar [e-mail] en zij zullen dan de gegevens conform de AVG richtlijnen (Algemene Verordening Gegevensbescherming)/GDPR-richtlijnen uit het systeem verwijderen.

#RTFF dus

[Oon]

virtualjoe schreef op vrijdag 16 april 2021 @ 12:41:
Ik wil mijn account met 1 druk op de knop kunnen verwijderen in dit soort gevallen. Die optie bieden ze echter niet...

Als je een particulier account hebt dan kun je ze wel gewoon een mailtje sturen met het verzoek al je gegevens te verwijderen. Vanuit de belastingdienst zijn ze verplicht om sommige informatie in hun administratie te houden, maar je account en alle (onnodige) persoonsgegevens moeten ze verplicht per direct verwijderen als jij daarom vraagt.
Wikipedia: Recht om vergeten te worden
Wikipedia: Algemene verordening gegevensbescherming

[Voor 9% gewijzigd door Oon op 16-04-2021 12:47]

[Kees-Jan]

Room42 schreef op vrijdag 16 april 2021 @ 12:46:
[...]


[...]

#RTFF dus

dat is niet "met de druk op 1 knop..."

maar ik snap wat je bedoeld

[Room42]

Oon schreef op vrijdag 16 april 2021 @ 12:45:
[...]

Ik heb een tijdje geleden sub-addressing mogelijk gemaakt op mijn eigen mailserver en zo langzamerhand dus mijn emailadressen ook aan het aanpassen op verschillende websites. In veel gevallen bijvoorbeeld <naam>+tweakers2021@<domein>, zodat ik ook meteen weet om welk jaar het gaat. Die zal ik zeker niet ieder jaar aanpassen, maar dat biedt wel weer wat extra info over hoe oud de gegevens zijn die gelekt zijn.

Nu alleen op zoek naar een manier om dat ook makkelijk te beheren. Ben nog steeds bezig met hele oude wachtwoorden vervangen (zijn er 1421 die volgens LastPass 'at-risk' zijn), en dan maar eens over naar Bitwarden. Nog heel wat opruimwerk te gaan, maar met al die datalekken tegenwoordig zeker wel de moeite waard.

Die truck is natuurlijk allang bekend bij spammers en halen alles achter de + gewoon weg.

offtopic:
Het pas op met het opruimen, in Bitwarden is dat echt een rampenplan! Ik twijfel om mijn vault te exporteren, dan op te schonen en weer te importeren.

[Joao]

Ik kreeg vannochtend een email van Allekabels.nl waarin staat:

Ondanks het feit dat de wachtwoorden van de klanten
zijn versleuteld werd hedenmorgen in de media melding gemaakt dat
er wachtwoorden van klanten zijn gekraakt. Uit intern onderzoek van
Allekabels is komen vast te staan dat het om een minderheid van de
klanten gaat. Alleen de wachtwoorden van klanten die zich voor 1
september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is
het belangrijk te weten dat dit ook om uw gegevens gaat.

Moet ik mij hier zorgen om maken? Als de wachtwoorden gehashed zijn, welke hash gebruikten zij dat het bij klanten voor 1 september 2018 te kraken is...

[Room42]

Joao schreef op vrijdag 16 april 2021 @ 12:56:
Ik kreeg vannochtend een email van Allekabels.nl waarin staat:

[...]

Moet ik mij hier zorgen om maken? Als de wachtwoorden gehashed zijn, welke hash gebruikten zij dat het bij klanten voor 1 september 2018 te kraken is...

Als dit de enige site is waar je dat bewuste wachtwoord gebruikt hebt, hoef je je daar geen zorgen om te maken. De rest van de gemelde persoonsgegevens liggen op straat. Als je je wachtwoord hergebruikt hebt, moet je overal dat wachtwoord wijzigen. Het liefst meteen overal naar een unieke.

Hoe het gehashed was, maakt niet meer uit. Het is 'gekraakt', dus nu ligt de bal bij jou.

[Voor 17% gewijzigd door Room42 op 16-04-2021 12:59]

[Joao]

Room42 schreef op vrijdag 16 april 2021 @ 12:58:
[...]

Als dit de enige site is waar je dat bewuste wachtwoord gebruikt hebt, hoef je je daar geen zorgen om te maken. De rest van de gemelde persoonsgegevens liggen op straat. Als je je wachtwoord hergebruikt hebt, moet je overal dat wachtwoord wijzigen. Het liefst meteen overal naar een unieke.

Hoe het gehashed was, maakt niet meer uit. Het is 'gekraakt', dus nu ligt de bal bij jou.

Dank voor je antwoord.
Ik gebruik dit wachtwoord bij een aantal websites inmiddels al aangepast naar een uniek wachtwoord voor elke site.

Ik ben ook benieuwd welke encryptie gebruikt is aangezien die van voor 09-2018 te kraken zijn... Zal toch niet zijn dat het een hele lage dichtbij plaintext encryptie is.
Als dit het geval is hoop ik dat zij een mega boete krijgen en de deur kunnen sluiten.

[Rannasha]

Joao schreef op vrijdag 16 april 2021 @ 13:01:
[...]

Ik ben ook benieuwd welke encryptie gebruikt is aangezien die van voor 09-2018 te kraken zijn... Zal toch niet zijn dat het een hele lage dichtbij plaintext encryptie is.
Als dit het geval is hoop ik dat zij een mega boete krijgen en de deur kunnen sluiten.

MD5. Eigenlijk dus min of meer plain text.

[Room42]

Joao schreef op vrijdag 16 april 2021 @ 13:01:
[...]

Ik ben ook benieuwd welke encryptie gebruikt is aangezien die van voor 09-2018 te kraken zijn... Zal toch niet zijn dat het een hele lage dichtbij plaintext encryptie is.
Als dit het geval is hoop ik dat zij een mega boete krijgen en de deur kunnen sluiten.

Wachtwoorden worden over het algemeen niet 'encrypted' maar gehashed. Dat is eenrichtingsversleuteling. Je kunt ze dus niet ontsleutelen. Dat betekent dat ze alleen te vergelijken zijn door ze opnieuw te hashen.

Om de hash iets veiliger te maken, wordt een random 'salt' string toegevoegd aan het wachtwoord voordat deze gehashed wordt. Echter is dus blijkbaar de salt ook gestolen en is dus het wachtwoord samen met de salt te halen uit zogenaamde rainbow tables dan wel relatief goedkoop te 'brute forcen', tegenwoordig. MD5 is niet sterk genoeg meer.

[Joao]

Rannasha schreef op vrijdag 16 april 2021 @ 13:03:
[...]

MD5. Eigenlijk dus min of meer plain text.

Wat is dan niet begrijp, als zij wisten dat die hash outdated is. Waarom dan niet ervoor zorgen dat de DB geupdate wordt met een nieuwe hash zodra een klant inlogt met MD5 hashed password, je zou dan een mass email kunnen uitsturen dat het systeem geupdate is en dat er een nieuw wachtwoord gekozen moet worden...

Dan heb je al die MD5's niet meer in je DB en klanten forceren om een nieuw wachtwoord te maken en vervolgens opnieuw hashen.

[Hasse]

Ik had ze vorig jaar al verteld dat ze vermoedelijk gehacked waren omdat ik spam ontving op een uniek email adres welke ik alleen bij hun gebruik.

Ze vroegen me om een screenshot daarvan en die heb ik gestuurd.

Daarna kwam de volgende reactie:

Op basis van uw melding zijn we op onderzoek uitgegaan en gelukkig hebben we geen lek kunnen ontdekken binnen onze eigen systemen.

Wel hebben we geconstateerd dat we de e-mailadressen van onze klanten delen met onze partners zonder verdere encryptie. Denk hierbij aan PostNL en review partners.
We hebben dan ook een project gedefinieerd waardoor we vanaf maart 2021 de e-mailadressen van onze klanten niet meer zonder encryptie zullen delen met onze partners. Op deze manier willen we een mogelijk datalek buiten onze eigen systemen ook voorkomen.

Zodra de nieuwe gecrypte e-mail database online is gegaan, zullen we u een bericht sturen.

Een beetje vreemde reactie dus. Te meer omdat ze eigenlijk zeggen dat postnl gehacked zou zijn... nou dan had ik heel wat meer spam moeten krijgen ljikt me. Dus ik weer in de pen met het volgende bericht:

Het blijft natuurlijk vreemd dat mijn unieke mail adres "[e-mail]" phishing mail ontvangt. Omdat ik overal unieke mailadressen gebruik zou het mij opvallen als ik dezelfde spam/phishing op meerdere verschillende email addressen ontvang. Dan zit het lek bij mij zelf. Dat was hier niet het geval. Dus dan is het veel waarschijnlijker dat het lek extern zit. Mijn spam filter ving de phishing wel af, dus derhalve zou het goed kunnen dat jullie niet meer klachten ontvangen hebben. Een lek bij postnl vind ik ook wel een dingetje en zie ik ook niet terug in vergelijkbare phishing mailtjes. Ik zou dan ook van andere bedrijven waar ik bestel met postnl ongewenste mail moeten krijgen. Dat is ook niet het geval. Het encryptie van een verbinding is alleen relevant als deze afgeluisterd zou worden.... m.a.w. als ik een beetje aan kansrekening doe, dan zou ik als ik jullie was echt heel goed kijken of het niet bij jullie zit!!!

Gratis tip: zet een uniek mail adres van jezelf in jullie database (op alle plekken waar klant email adressen staan, incl de backups, unieke mailaddressen per plek is nog slimmer) dan zie je zelf (in spam) wanneer er iets mis gaat.

Daarna geen reactie meer......

[MerijnB]

Room42 schreef op vrijdag 16 april 2021 @ 13:09:
[...]

Wachtwoorden worden over het algemeen niet 'encrypted' maar gehashed. Dat is eenrichtingsversleuteling. Je kunt ze dus niet ontsleutelen. Dat betekent dat ze alleen te vergelijken zijn door ze opnieuw te hashen.

Om de opslag iets veiliger te maken, wordt een random 'salt' string toegevoegd aan het wachtwoord voordat deze gehashed wordt. Echter is dus blijkbaar de salt ook gestolen en is dus het wachtwoord samen met de salt te halen uit zogenaamde rainbow tables dan wel relatief goedkoop te 'brute forcen', tegenwoordig. MD5 is niet sterk genoeg meer.

Toch snap ik dit niet helemaal. Rainbow tables gaat tot 8 karakters, de gelekte salt (allekabels.2005) is al langer dan 8. De hashes zijn dus nooit in een een rainbowtable te vinden, dus waarom is het zo erg dat in dit geval de salt ook naar buiten is gekomen?

[Room42]

MerijnB schreef op vrijdag 16 april 2021 @ 13:13:
[...]


Toch snap ik dit niet helemaal. Rainbow tables gaat tot 8 karakters, de gelekte salt (allekabels.2005) is al langer dan 8. De hashes zijn dus nooit in een een rainbowtable te vinden, dus waarom is het zo erg dat in dit geval de salt ook naar buiten is gekomen?

Met een paar stevige AWS instances is het niet zo moeilijk en duur om de wachtwoorden even opnieuw te brute-forcen, denk ik.

[MerijnB]

Room42 schreef op vrijdag 16 april 2021 @ 13:15:
[...]

Met een paar stevige AWS instances is het niet zo moeilijk en duur om de wachtwoorden even opnieuw te brute-forcen, denk ik.

Ik denk dat je dit heel zwaar onderschat.

Als dat zo makkelijk is, waarom gaan de rainbow tables dan niet verder dan 8 karakters?

Of is de conclusie dat je dan nieuwe rainbowtables gaat genereren waar je deze salt meeneemt?
Iemand een idee hoe lang dat duurt?

Dan zou je moeten concluderen dat als je wachtwoord al langer dan 8 karakters was het nog steeds niet op straat ligt.

[Voor 38% gewijzigd door MerijnB op 16-04-2021 13:19]

[Anoniem: 736981]

Oon schreef op vrijdag 16 april 2021 @ 12:45:
[...]

Ik heb een tijdje geleden sub-addressing mogelijk gemaakt op mijn eigen mailserver en zo langzamerhand dus mijn emailadressen ook aan het aanpassen op verschillende websites. In veel gevallen bijvoorbeeld <naam>+tweakers2021@<domein>, zodat ik ook meteen weet om welk jaar het gaat. Die zal ik zeker niet ieder jaar aanpassen, maar dat biedt wel weer wat extra info over hoe oud de gegevens zijn die gelekt zijn.

Nu alleen op zoek naar een manier om dat ook makkelijk te beheren. Ben nog steeds bezig met hele oude wachtwoorden vervangen (zijn er 1421 die volgens LastPass 'at-risk' zijn), en dan maar eens over naar Bitwarden. Nog heel wat opruimwerk te gaan, maar met al die datalekken tegenwoordig zeker wel de moeite waard.

Ik moet zeggen dat mijn LastPass bijna perfect staat , alles uniek en volgens de voorwaarden.
Alleen gebruik ik altijd 2 dezelfde email adressen en dat wil ik nu ook wel aanpakken.

Eigen mailserver etc hoeft nu ook wel niet, ik zat gewoon aan een domein te denken via GoDaddy met een office licentie in, dan kan ik 400 aliassen maken en dit is ruim voldoende maar eigenlijk weet ik niet zo goed wat de beste aanpak hiervoor is

[Kevin Mol]

MerijnB schreef op vrijdag 16 april 2021 @ 13:16:
[...]

Ik denk dat je dit heel zwaar onderschat.

Als dat zo makkelijk is, waarom gaan de rainbow tables dan niet verder dan 8 karakters?

Of is de conclusie dat je dan nieuwe rainbowtables gaat genereren waar je deze salt meeneemt?
Iemand een idee hoe lang dat duurt?

Dan zou je moeten concluderen dat als je wachtwoord al langer dan 8 karakters was het nog steeds niet op straat ligt.

OT vraag, is het niet makkelijker om bij een gigantische DB zoals dit is om de salt proberen te bruteforcen? de resultaten scannen op 'logische' woorden zoals maanden / namen e.d.

Het is totaal niet mijn vakgebied, ben gewoon benieuwd of dit mogelijk is.

[Rannasha]

Anoniem: 736981 schreef op vrijdag 16 april 2021 @ 13:21:
[...]
Eigen mailserver etc hoeft nu ook wel niet, ik zat gewoon aan een domein te denken via GoDaddy met een office licentie in, dan kan ik 400 aliassen maken en dit is ruim voldoende maar eigenlijk weet ik niet zo goed wat de beste aanpak hiervoor is

Een hosting provider pakken waar je een catch-all email kunt instellen. Daarmee gaat alle mail naar @domein.tld (behalve eventuele aliassen die je hebt ingesteld) naar 1 specifiek emailadres. Zo kun je al deze mail automatisch op een punt ontvangen zonder dat je voor iedere registratie bij een nieuw bedrijf opnieuw naar je control panel moet om een nieuwe alias aan te maken.

[MerijnB]

Kevin Mol schreef op vrijdag 16 april 2021 @ 13:23:
[...]


OT vraag, is het niet makkelijker om bij een gigantische DB zoals dit is om de salt proberen te bruteforcen? de resultaten scannen op 'logische' woorden zoals maanden / namen e.d.

Het is totaal niet mijn vakgebied, ben gewoon benieuwd of dit mogelijk is.

Wat bedoel je met de salt brufeforcen? Hoe zie je dat voor je met de data die op straat ligt?

[Anoniem: 736981]

Rannasha schreef op vrijdag 16 april 2021 @ 13:24:
[...]

Een hosting provider pakken waar je een catch-all email kunt instellen. Daarmee gaat alle mail naar @domein.tld (behalve eventuele aliassen die je hebt ingesteld) naar 1 specifiek emailadres. Zo kun je al deze mail automatisch op een punt ontvangen zonder dat je voor iedere registratie bij een nieuw bedrijf opnieuw naar je control panel moet om een nieuwe alias aan te maken.

top tip

[Kevin Mol]

MerijnB schreef op vrijdag 16 april 2021 @ 13:26:
[...]


Wat bedoel je met de salt brufeforcen? Hoe zie je dat voor je met de data die op straat ligt?

Ik dacht dat een salt bijvoorbeeld altijd 10 tekens is. In een DB van 2 mil wachtwoorden is het best 'aannemelijk' dat er een match zit op eerdere leks (mensen veranderen niet het ww)

Stel user 1 heeft email [e-mail] het wachtwoord konijn123! bij datalek X
Ook user 1 komt in dit lek (lek Y) voor met [e-mail].

Kan je niet konijn123! +random salt 'bruteforcen' tot je op dezelfde value komt als de value in lek Y?

Of is dit hoe normaal salts worden 'gehacked'?

[MerijnB]

Kevin Mol schreef op vrijdag 16 april 2021 @ 13:36:
[...]


Ik dacht dat een salt bijvoorbeeld altijd 10 tekens is. In een DB van 2 mil wachtwoorden is het best 'aannemelijk' dat er een match zit op eerdere leks (mensen veranderen niet het ww)

Stel user 1 heeft email [e-mail] het wachtwoord konijn123! bij datalek X
Ook user 1 komt in dit lek (lek Y) voor met [e-mail].

Kan je niet konijn123! +random salt 'bruteforcen' tot je op dezelfde value komt als de value in lek Y?

Of is dit hoe normaal salts worden 'gehacked'?

Als de salt bekend is, en er is al een wachtwoord van je bekend uit een vorig lek (lek X), en je hebt op de site van het nieuwe lek (lek Y) hetzelfde wachtwoord gebruikt, zou je op deze manier kunnen bevestigen dat deze ditzelfde wachtwoord ook in lek Y voorkomt.

[Kevin Mol]

MerijnB schreef op vrijdag 16 april 2021 @ 13:44:
[...]


Als de salt bekend is, en er is al een wachtwoord van je bekend uit een vorig lek (lek X), en je hebt op de site van het nieuwe lek (lek Y) hetzelfde wachtwoord gebruikt, zou je op deze manier kunnen bevestigen dat deze ditzelfde wachtwoord ook in lek Y voorkomt.

Ah je kan dus niet proberen om konijn123! + xxxxxxxxx = SHA256 value te matchen met de SHA256 value die al encrypted hebt van lek Y?

Waarbij xxxxxxxxx dus steeds 1 getal / letter aangepast wordt? Of duurt deze manier van brute forcen gewoon te lang omdat er te veel opties zijn?

[MerijnB]

Kevin Mol schreef op vrijdag 16 april 2021 @ 13:53:
[...]


Ah je kan dus niet proberen om konijn123! + xxxxxxxxx = SHA256 value te matchen met de SHA256 value die al encrypted hebt van lek Y?

Waarbij xxxxxxxxx dus steeds 1 getal / letter aangepast wordt? Of duurt deze manier van brute forcen gewoon te lang omdat er te veel opties zijn?

Dit is een (soort van) realistisch scenario mits de salt korter is dan 9 karakters.

[Herko_ter_Horst]

Zojuist een mail van AlleKabels ontvangen met de volgende titel: "Wij hebben onmiddellijk maatregelen genomen om u als klant te beschermen". Lol, wie denken ze hiermee voor de gek te houden?

[Webgnome]

Herko_ter_Horst schreef op vrijdag 16 april 2021 @ 14:08:
Zojuist een mail van AlleKabels ontvangen met de volgende titel: "Wij hebben onmiddellijk maatregelen genomen om u als klant te beschermen". Lol, wie denken ze hiermee voor de gek te houden?

De mensen die niet alles rondom dit lek volgen. Ik ken er genoeg helaas. Heb zelf ook die mail gehad en zit te twijfelen of ik ze een mail zal terug sturen met 'Onmiddelijk is bij mij niet een aantal maanden later'

[gigi71]

Rannasha schreef op vrijdag 16 april 2021 @ 13:24:
[...]

Een hosting provider pakken waar je een catch-all email kunt instellen. Daarmee gaat alle mail naar @domein.tld (behalve eventuele aliassen die je hebt ingesteld) naar 1 specifiek emailadres. Zo kun je al deze mail automatisch op een punt ontvangen zonder dat je voor iedere registratie bij een nieuw bedrijf opnieuw naar je control panel moet om een nieuwe alias aan te maken.

Been there. Done that. Zo had ik het ook. Alles wat naar een niet bestaand emailadres @mijndomein.net gestuurd werd kwam in een aparte mailbox terecht. Op een dag werden er spammailtjes verstuurd die van <willekeurig iets>@mijndomein.net leken te komen (wat uiteraard niet zo was). Die avond had ik tig duizend mailtjes in mijn mailbox over mail die niet afgeleverd kon worden omdat de gebruiker op die mailserver niet bekend was en "do not spam me")

[Herko_ter_Horst]

Ze bedoelen natuurlijk "Onmiddellijk" nadat we betrapt zijn. Echt zum kotsen, dit gedrag.

[2Dutch]

Die mail..krijg je hoofdpijn van als je em leest. Met de halve zinnen en tegenstrijdigheden. Mag je nog een ticket aanmaken ook om je account verwijderd te krijgen. Ben je in ieder geval de volgende keer niet meer de lul Klaar mee.

[sverzijl]

Anoniem: 736981 schreef op vrijdag 16 april 2021 @ 13:21:
[...]


Eigen mailserver etc hoeft nu ook wel niet, ik zat gewoon aan een domein te denken via GoDaddy met een office licentie in, dan kan ik 400 aliassen maken en dit is ruim voldoende maar eigenlijk weet ik niet zo goed wat de beste aanpak hiervoor is

Ik heb zowel prive als zakelijk een Google G-suite (vanuit de tijd dat het nog gratis was, is nu alleen nog maar betaald dacht ik). Dan heb je op je eigen domein een catch-all. Ik gebruik per webshop dan ook een naam met daarin de website, zoals [e-mail]. Zolang ik geen echte mailbox op dat email adres heb aangemaakt, krijg ik die gewoon in mijn main-email-box.

Ik begin me wel af te vragen waarom ik me ueberhaupt nog registreer op webshops. Voortaan maar gewoon als guest afrekenen. Maar dan zullen mijn gegevens ook nog wel op straat komen te liggen. Zal niet alleen om wachtwoorden gaan vermoed ik.

[The Zep Man]

sverzijl schreef op vrijdag 16 april 2021 @ 14:59:
Ik begin me wel af te vragen waarom ik me ueberhaupt nog registreer op webshops. Voortaan maar gewoon als guest afrekenen. Maar dan zullen mijn gegevens ook nog wel op straat komen te liggen. Zal niet alleen om wachtwoorden gaan vermoed ik.

Grapjas. Alsof dat bij elke webshop kan.

Spoiler: dat kan maar bij sommige webshops, en is eerder uitzondering dan regel.

[sverzijl]

The Zep Man schreef op vrijdag 16 april 2021 @ 15:27:
[...]
Grapjas. Alsof dat bij elke webshop kan.

Spoiler: dat kan maar bij sommige webshops, en is eerder uitzondering dan regel.

Bij de meeste kan dat, dat is geen spoiler hoor Account aanmaken is in de meeste gevallen optioneel (zoals bij allekabels zelf ook overigens)

[Voor 5% gewijzigd door sverzijl op 16-04-2021 15:29]

[martijn946]

En dan nog. Je gegevens staan alsnog in de database. Zonder gebruikersnaam en wachtwoord weliswaar, maar de rest wel.

[sverzijl]

martijn946 schreef op vrijdag 16 april 2021 @ 15:43:
En dan nog. Je gegevens staan alsnog in de database. Zonder gebruikersnaam en wachtwoord weliswaar, maar de rest wel.

ja klopt, dat zei ik al. Hebben ze alleen het password niet. Dus zal niet veel uitmaken.

[downtime]

sverzijl schreef op vrijdag 16 april 2021 @ 15:47:
[...]

ja klopt, dat zei ik al. Hebben ze alleen het password niet. Dus zal niet veel uitmaken.

En dat is alleen een probleem als je overal hetzelfde password gebruikt. Anders is het gewoon betekenisloze tekst die gerust gestolen mag worden.

[slaay]

Gisteren meteen verzoek gestuurd om mijn account verwijderen. Kreeg daarop tweemaal bericht dat ze mijn account gaan verwijderen. Daarbij viel op dat ze een pixel laden via een http verbinding..

code:

*knip
Beste,<br />
<br />
Bedankt voor uw bericht.<br />
<br />
Wij zullen uw account laten verwijderen door onze IT afdeling.<br />
Wij willen u adviseren alle facturen goed te bewaren ten behoeve van garantie, deze kunnen wij na het verwijderen niet meer inzien.<br />
<br />
Wij hopen u hiermee van dienst te zijn geweest.<img src="http://mail.allekabels.nl/ticket_pix.php?id=19259xx&aid=5xx" width="0" height="0"><br />
<br />
Met vriendelijke groet,<br />
Teun<br />
<br />
Heeft u nog vragen naar aanleiding van dit antwoord? Wij helpen u graag verder, houd daarvoor uw ticketnummer bij de hand: xxxxxx<br />
<br />
U kunt ook in uw <a href="https://www.allekabels.nl/member/ticketHistory.php">persoonlijke account</a> uw bestellingen en eerder gestelde vragen gemakkelijk terugvinden. <br />
<br />
<br />
*knip

xx=uniek nummer

[TBK001]

slaay schreef op vrijdag 16 april 2021 @ 16:10:
Gisteren meteen verzoek gestuurd om mijn account verwijderen. Kreeg daarop tweemaal bericht dat ze mijn account gaan verwijderen. Daarbij viel op dat ze een pixel laden via een http verbinding..

code:

*knip
Beste,<br />
<br />
Bedankt voor uw bericht.<br />
<br />
Wij zullen uw account laten verwijderen door onze IT afdeling.<br />
Wij willen u adviseren alle facturen goed te bewaren ten behoeve van garantie, deze kunnen wij na het verwijderen niet meer inzien.<br />
<br />
Wij hopen u hiermee van dienst te zijn geweest.<img src="http://mail.allekabels.nl/ticket_pix.php?id=19259xx&aid=5xx" width="0" height="0"><br />
<br />
Met vriendelijke groet,<br />
Teun<br />
<br />
Heeft u nog vragen naar aanleiding van dit antwoord? Wij helpen u graag verder, houd daarvoor uw ticketnummer bij de hand: xxxxxx<br />
<br />
U kunt ook in uw <a href="https://www.allekabels.nl/member/ticketHistory.php">persoonlijke account</a> uw bestellingen en eerder gestelde vragen gemakkelijk terugvinden. <br />
<br />
<br />
*knip

xx=uniek nummer

Dit is toch wel een dikke trap na richting alle gedupeerden.
Privacy excluded by design.

[-PassY-]

Ze moeten nu toch wel door hebben dat ze even moeten inbinden nu. Eerst alle shit met communicatie (als je het communicatie kan noemen), nu weer een tracking pixel die boven komt drijven.


Wees gewoon open nu, ook al moet je een domme actie/beslissing naar buiten brengen. Want dit overstijgt inmiddels het babara streissand effect

[Basxt]

Wat een pauperbedrijf, zelfs een mail niet zonder spelfouten kunnen versturen. Mijn god.

Overigens klopt er weer geen snars van, ik heb een oud account dat in 2013 is gemaakt. die heeft geen mail ontvangen dat ik tussen de gehackte gegevens zou staan.

Heeft iemand al een tool gemaakt om te controleren of en welke gegevens er in staan van mij?

[CrashOne]

Het lijkt erop dat Allekabels weer selectief aan het mailen is. Ik heb geen mail gehad, maar heb wel een account waarvan ik vanuit de gelekte data weet dat er zowel IBAN als MD5 hash in staat. Waarom mailen ze niet iedereen? Ik lees hier dat veel mensen wel gemaild zijn en binnen mijn kring zijn (n=4) er ook 3 gemaild.

Ga gewoon met de billen bloot naar al je klanten. Verlang van allemaal een wachtwoord reset. Zo moeilijk kan het toch niet zijn? Die belachelijke communicatie dat ze direct stappen hebben genomen is te triest voor woorden nadat ze het zelf in de doofpot hebben willen stoppen en nu wel claimen dat je toen al een melding hebt gedaan bij het AP.

[CyPh]

Aangezien het hier om 2,6 miljoen klantgegevens gaat, moet je wss gewoon geduld hebben. Die sturen geen 2,6 miljoen emails in 1 batch eruit, dan worden ze ook nog geblacklist. Ik heb hem ook pas half uur geleden ontvangen

[martijn946]

Het is inderdaad supertriest, knullig en weer een reden tot wantrouwen jegens dit soort bedrijven.

Maar laten we eerlijk zijn: nu is het allekabels.nl, morgen is het weer iemand anders. Wie zegt dat ome Bol, Wehkamp of Ebay het allemaal zo goed hebben geregeld? Ondanks dat je misschien wel 60 audits per jaar hebt, gecertificeerd bent van hier tot aan de keukendeur, 28 miljoen privacy policies hebt: de mens blijft in deze toch de zwakste schakel. En misschien wel aan beide kanten van het lijntje.

[Groentjuh]

Oh wat leuk!

Op hetzelfde mailadres ontving ik de mail zoals in deze post staat als deze andere variant daarop:

Beste klant van Allekabels,

Laten we beginnen om onze welgemeende excuses aan te bieden voor
eventuele overlast welke gepaard gaat met dit datalek en het feit dat
dit nu pas duidelijk is geworden. Gelukkig is uw wachtwoord NIET gelekt!

Ons bedrijf is op 23 augustus 2020 slachtoffer geworden van een hack
door cybercriminelen en heeft daar meteen melding van gemaakt bij de
Autoriteit Persoonsgegevens en de technologische beveiliging maximaal
opgeschroefd. Ondanks het feit dat de wachtwoorden van de klanten
zijn versleuteld werd hedenmorgen in de media melding gemaakt dat
er wachtwoorden van klanten zijn gekraakt. Uit intern onderzoek van
Allekabels is komen vast te staan dat het om een minderheid van de
klanten gaat. Alleen de wachtwoorden van klanten die zich voor 1
september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is
het belangrijk om te weten dat het NIET om uw wachtwoord gaat.

Om de belangen van u als klant maximaal te beschermen heeft Allekabels
besloten om onmiddellijk de wachtwoorden van deze klanten te wissen.
Deze klanten zijn inmiddels van deze maatregelen op de hoogte gesteld,
maar dat geldt dus niet voor u.

Het is denkbaar dat u de komende periode oneigenlijk wordt benaderd met
bijvoorbeeld phishing e-mail. Allekabels roept u dan ook op om extra
waakzaam te zijn, hetgeen in deze tijd sowieso verstandig is.

Indien u hier aanvullende vragen over heeft verwijzen wij u graag naar
onze website https://www.allekabels.nl/faq-1504.php. Op een speciaal
ingerichte informatiepagina zullen wij onze websitebezoekers up-to-date
houden omtrent dit datalek.

Wij zijn bijzonder geschrokken van deze cyberhack en zal de kwestie
diepgaand onderzoeken en alle noodzakelijke maatregelen nemen. We
stellen alles in het werk om de belangen van u als klant optimaal te
beschermen.
--
Met vriendelijke groet,
Constantijn Souren

Mijn wachtwoord is inderdaad niet meer te gebruiken en zal wel gelekt zijn. Het was toch al een willekeurig door Keepass gegenereerd wachtwoord, dus daar maak ik mij geen zorgen om. Tijd voor de "verwijdering" van het "allekabels"-mailaccount en maar eens ombouwen naar iets anders. Alle mail dat nu naar dat oude account wordt verstuurd is ingesteld als herkenning van spam voor de spamfilter!

[Voor 16% gewijzigd door Groentjuh op 16-04-2021 17:19]

[Aapenootjes]

Gisteren had ik mijn wachtwoord even gewijzigd omdat ik allekabels nou niet bepaald meer vertrouwde.

Nu krijg ik zojuist een email van allekabels dat mijn wachtwoord niet gelekt zou zijn. Echter was mijn account en oude wachtwoord uit 2013.

Het zou mij dus niets verbazen dat mensen die hun wachtwoord onlangs hebben gewijzigd nu te horen krijgen dat hun wachtwoord niet is buitgemaakt. En dat klopt misschien, behalve dan dat het oude wachtwoord wel degelijk is buitgemaakt.

[Hameaux]

Hier ook vanmiddag de mail ontvangen dat mijn gegevens geen onderdeel zijn van de Datalek.

Nog geen 10 min later een schimmige e-mail met bol.com logo of ik nog even verzendkosten wil betalen, gericht aan hificorner-mijncatchall-domein.nl.

[Killjoy]

Hier nog iemand zonder mail. Had trouwens sinds begin 2018 niets meer besteld. Wel een 'meevaller'. Het emailadres en wachtwoord dat ik bij allekabels gebruikte, waren al eerder bij een datalek betrokken. Jeuh...

[dutchnltweaker]

De ironie..

[SinergyX]

Uw wachtwoord is gelekt bij een datalek en hebben wij om deze reden
gewist.

Dus ze hebben zelfs data van 2013 er nog gewoon instaan

Letterlijk uur voordat dat mailtje kwam, eerste inlogpoging op Spotify al gehad.

[Voor 22% gewijzigd door SinergyX op 16-04-2021 17:44]

[Weltschmerz]

slaay schreef op vrijdag 16 april 2021 @ 16:10:
Gisteren meteen verzoek gestuurd om mijn account verwijderen. Kreeg daarop tweemaal bericht dat ze mijn account gaan verwijderen. Daarbij viel op dat ze een pixel laden via een http verbinding..

code:

*knip
Beste,<br />
<br />
Bedankt voor uw bericht.<br />
<br />
Wij zullen uw account laten verwijderen door onze IT afdeling.<br />
Wij willen u adviseren alle facturen goed te bewaren ten behoeve van garantie, deze kunnen wij na het verwijderen niet meer inzien.<br />
<br />
Wij hopen u hiermee van dienst te zijn geweest.<img src="http://mail.allekabels.nl/ticket_pix.php?id=19259xx&aid=5xx" width="0" height="0"><br />
<br />
Met vriendelijke groet,<br />
Teun<br />
<br />
Heeft u nog vragen naar aanleiding van dit antwoord? Wij helpen u graag verder, houd daarvoor uw ticketnummer bij de hand: xxxxxx<br />
<br />
U kunt ook in uw <a href="https://www.allekabels.nl/member/ticketHistory.php">persoonlijke account</a> uw bestellingen en eerder gestelde vragen gemakkelijk terugvinden. <br />
<br />
<br />
*knip

xx=uniek nummer

Ik ben niet zo bekend met wat dit betekent. Ze kunnen via die pixel je tracken? Zou je dat meer toe kunnen lichten?

[SinergyX]

Weltschmerz schreef op vrijdag 16 april 2021 @ 17:45:
[...]


Ik ben niet zo bekend met wat dit betekent. Ze kunnen via die pixel je tracken? Zou je dat meer toe kunnen lichten?

In de basis is het een vrij simpele manier om te zien of je bericht is gelezen, maar genoeg info die via een http request ook simpel is op te slaan.

Humor trouwens hoe in 2013 hun 'wachtwoordbeleid' was, plaintext via email versturen


Een voordeel, het was een random wachtwoord dus hoef me ook weinig druk te maken dat ze daarmee elders nog iets kunnen doen.

[Voor 34% gewijzigd door SinergyX op 16-04-2021 17:49]

[dutchnltweaker]

dutchnltweaker schreef op vrijdag 16 april 2021 @ 09:19:
Ik snap iets niet, ik heb net een mail ontvangen van allekabels.nl over de datalek. Ik kon me niet herinneren dat ik daar ooit wat besteld had behalve bij kabelshop.nl . Ik dus net gecheckt maar kan helemaal 0,0 vinden in me mail betreft het aanmelden bij deze toko of iets te hebben besteld.

Hoe komen ze aan mijn mail en waarom krijg ik deze mail is de vraag?

Edit: nogmaals gecheckt maar heb daadwerkelijk geen account bij deze toko, hoe komen ze erbij om mij te mailen ?

Ben er achter gekomen dat ik toch via een heel oud bol.com account hier waarschijnlijk toch besteld heb of wel via de site (kon er geen aankopen in vinden). In iedergeval waren mijn gegevens er wel ingevuld. Heb ze een contact bericht gestuurd met het verzoek mijn account zsm te verwijderen.

Edit: verzoek binnengekregen met ticket tot verwijdering, beetje een principe kwestie. Ook was ik zelf geschrokken dat ik daar een account had, heb ook helemaal geen mail ooit gehad in het verleden.

[Voor 9% gewijzigd door dutchnltweaker op 16-04-2021 18:04]

[Raven]

torretje2012 schreef op vrijdag 16 april 2021 @ 09:06:
Vanacht zijn deze mails eindelijk verzonden:

Euh, niet naar iedereen.

edit: Mijn ww blijkt wel gereset te zijn, de ww vergeten/reset mail komt echter niet aan.

[Voor 20% gewijzigd door Raven op 16-04-2021 19:22]

[aawe mwan]

Ik heb vannacht de mail gekregen dat ik niet betroffen ben.

Dat zal niet kloppen. Ik heb namelijk mijn wachtwoord pas veranderd, toen enkele Tweakers schreven dat het leek dat allekabels gehackt was. Daarvoor had ik bijna 10 jaar hetzelfde wachtwoord bij Allekabels.

Vanochtend kon ik nog gewoon inloggen met mijn wachtwoord uit 2019, maar op dit moment krijg ik bij een inlogpoging de melding "De combinatie van e-mailadres en wachtwoord komen niet voor in ons systeem."

[Voor 6% gewijzigd door aawe mwan op 16-04-2021 22:02]

[dcm360]

Zojuist ook even geprobeerd om mijn wachtwoord opnieuw in te stellen, maar echt vloeiend gaat dat ook nog niet. Ik was blijkbaar nog ingelogd (beetje raar als mijn wachtwoord gereset zou zijn, maar goed), en bij een poging zo mijn wachtwoord aan te passen heb ik mezelf buitengesloten (ik kan niet inloggen met het nieuwe wachtwoord). Maar een paar pageviews verder was ik nog wel ingelogd

In ieder geval, de reset-email kwam bij mij niet ongeschonden door het spamfilter, de SPF-check lukt niet (en Thunderbird is het niet eens met de DKIM-signature, al is de mailserver daar niet op aangeslagen).

[Webgnome]

Vanmorgen dus een mail gehad dat ik niet getroffen ben .. en nu dus een mail gehad dat ze het wachtwoord hebben gewist. Dat is dis maar een klein deel van het probleem... Het wachtwoord..

Ze geven nog steeds aan dat het gaat over account aangemaakt voor een datum in 2018. Dit klopt echter niet . Mijn account is van december 2020...

[Voor 28% gewijzigd door Webgnome op 16-04-2021 21:11]

[Jazzy]

Modbreak:

Het delen van de persoonsgegevens van de medewerkers van allekabels.nl is uiteraard niet de bedoeling. Hetzelfde geldt voor het resetten van wachtwoorden van andere gebruikers. Een aantal mensen kunnen een PM verwachten.

[djdg]

Ik ben vanavond al twee keer vanuit Namibië gebeld. Nummers meteen geblokkeerd. Zal wel geen toeval zijn.

[MerijnB]

djdg schreef op vrijdag 16 april 2021 @ 21:59:
Ik ben vanavond al twee keer vanuit Namibië gebeld. Nummers meteen geblokkeerd. Zal wel geen toeval zijn.

Aangezien deze hack ondertussen meer dan een half jaar geleden is geweest is het ws wél toeval.

[Osxy]

Jazzy schreef op vrijdag 16 april 2021 @ 21:47:
[modbreak]Het delen van de persoonsgegevens van de medewerkers van allekabels.nl is uiteraard niet de bedoeling. Hetzelfde geldt voor het resetten van wachtwoorden van andere gebruikers. Een aantal mensen kunnen een PM verwachten.[/]

Dit snap ik echter is het online hebben van betreffende pagina al best zorgwekkend, geeft een beeld van de release straat van hun platform. Geen goed beeld...

[CrystalViriS]

Nou ik heb een mail gekregen dat ik er dus wél bij zit.

[Jazzy]

Osxy schreef op vrijdag 16 april 2021 @ 22:39:
[...]


Dit snap ik echter is het online hebben van betreffende pagina al best zorgwekkend, geeft een beeld van de release straat van hun platform. Geen goed beeld...

En daar mag ook best over gesproken worden, maar wel binnen de grenzen van de wet het Het algemeen beleid.

[sapphire]

SinergyX schreef op vrijdag 16 april 2021 @ 17:44:
[...]

Dus ze hebben zelfs data van 2013 er nog gewoon instaan

Letterlijk uur voordat dat mailtje kwam, eerste inlogpoging op Spotify al gehad.

Hier was ik ook verbaasd over waarom zou je zulke oude accounts bewaren? Dan is het toch netjes om op een gegeven moment toestemming te vragen voor het bewaren van de gegevens. Mijn account is ondertussen ook al ruim ouder dan de verplichte bewaartermijn van de belastingdienst dis die vlieger gaat ook al niet meer op.

Binnenkort maar eens vragen of ze mijn account willen verwijderen, ga hier toch niets meer bestellen.

[MJV]

Vannacht heb ik onderstaande mail ontvangen, bijzonder is het onderscheid tussen voor en na 1 sept 2018.

Zo te zien in 2013 dat ooit een account gemaakt, en zo te zien in de tussentijd nooit meer iets besteld.

---edit: ik zie dat deze mail al eerder is verstuurd en ook hier is vermeld.

[Voor 123% gewijzigd door MJV op 17-04-2021 06:52]

[Kedav]

Heb vannacht ook de mail ontvangen dat mijn ww gelekt zou zijn maar was zelf in de veronderstelling dat ik nooit een account heb aangemaakt, wel 3x wat besteld maar dan gewoon als guest.

[hk12nl]

Ik kreeg gisterochtend een mail dat ik er niet bij zat en gistermiddag een mail dat ik er wel bij zat

Ik zag in 1password dat ik geen account van ze heb dus ik vermoed dat ik alleen als ‘guest’ iets besteld heb een keer. Bijzondere situatie..

[Miyamoto]

Besloten mijn gegevens te laten verwijderen en hiervan netjes een bevestiging gekregen, krijg ik een aantal uur later wederom de "excuus" mail....

Tenenkrommend de inhoud. Alsof het door een stel tieners wordt gerund.

[Paul!]

Ook ik heb mail gehad, dat mijn wachtwoord gelekt is. Geen probleem, want was een uniek wachtwoord. Echter lees ik hier dat ook de naw gegevens gelekt zijn, daarover wordt in de mail geen woord over gerept.

[Goemies]

Hier vannacht om 01:55 deze mail ontvangen:

Beste klant van Allekabels,

Uw wachtwoord is gelekt bij een datalek en hebben wij om deze reden
gewist. Laten we beginnen om onze welgemeende excuses aan te bieden voor
eventuele overlast welke gepaard gaat met dit datalek en het feit dat
dit nu pas duidelijk is geworden.

Ons bedrijf is op 23 augustus 2020 slachtoffer geworden van een hack
door cybercriminelen en heeft daar meteen melding van gemaakt bij de
Autoriteit Persoonsgegevens en de technologische beveiliging maximaal
opgeschroefd. Ondanks het feit dat de wachtwoorden van de klanten
zijn versleuteld werd hedenmorgen in de media melding gemaakt dat
er wachtwoorden van klanten zijn gekraakt. Uit intern onderzoek van
Allekabels is komen vast te staan dat het om een minderheid van de
klanten gaat. Alleen de wachtwoorden van klanten die zich voor 1
september 2018 geregistreerd hebben, kunnen worden gekraak Voor u is
het belangrijk te weten dat dit ook om uw gegevens gaat.

Om de belangen van u als klant maximaal te beschermen heeft Allekabels
besloten om onmiddellijk de wachtwoorden van deze klanten te wissen. Dat
geldt dus ook voor uw wachtwoord. U zult bij uw eerste bezoek aan onze
website een nieuw wachtwoord moeten kiezen.

Het is denkbaar dat u de komende periode oneigenlijk wordt benaderd met
bijvoorbeeld phishing e-mail. Allekabels roept u dan ook op om extra
waakzaam te zijn, hetgeen in deze tijd sowieso verstandig is. Heeft u
hetzelfde wachtwoord elders gebruikt? Dan wordt dringend geadviseerd om
direct en overal een ander wachtwoord te kiezen.

Indien u hier aanvullende vragen over heeft verwijzen wij u graag naar
onze website https://www.allekabels.nl/faq-1504.php

. Op een speciaal
ingerichte informatiepagina zullen wij onze websitebezoekers up-to-date
houden omtrent dit datalek.

Wij zijn bijzonder geschrokken van deze cyberhack en zal de kwestie
diepgaand onderzoeken en alle noodzakelijke maatregelen nemen. We
stellen alles in het werk om de belangen van u als klant optimaal te
beschermen.
--
Met vriendelijke groet,
<NAAM>

Geen enkel woord over andere gegevens dan enkel het dat het wachtwoord is gelekt. De doelgroep van allekabels lijkt me toch net iets technischer onderlegt dan een gemiddelde nederlander. Snap niet waarom ze nou alles zo willen verbloemen en doen alsof alleen het wachtwoord buitgemaakt is..

[knakworst]

Mijn account zelfde verhaal. Ik ben blij dat ik lastpass gebruik. Nu ga ik mij verdiepen in hoe ik voor alle accounts verschillende e-mail adressen kan gebruiken.

[TumTum]

Hameaux schreef op vrijdag 16 april 2021 @ 17:13:
Hier ook vanmiddag de mail ontvangen dat mijn gegevens geen onderdeel zijn van de Datalek.

Nog geen 10 min later een schimmige e-mail met bol.com logo of ik nog even verzendkosten wil betalen, gericht aan hificorner-mijncatchall-domein.nl.

Wacht even. Ze geven alleen in de mail aan dat het wachtwoord niet is gelekt. Dat zegt niets over de rest.

[Zalmanman]

Ook eindelijk de mail gekregen, met bericht dat mijn wachtwoord niet gelekt is.
Ja, omdat ik 'm maandag heb aangepast. Dat kunnen ze dus niet zien. Sinds 2017 heb ik daar mijn wachtwoord niet veranderd tot verleden maandag. Zucht.

[Will_M]

Goemies schreef op zaterdag 17 april 2021 @ 08:33:
Hier vannacht om 01:55 deze mail ontvangen:


[...]


Geen enkel woord over andere gegevens dan enkel het dat het wachtwoord is gelekt. De doelgroep van allekabels lijkt me toch net iets technischer onderlegt dan een gemiddelde nederlander. Snap niet waarom ze nou alles zo willen verbloemen en doen alsof alleen het wachtwoord buitgemaakt is..

Dat zelfde bulk-mailtje kreeg ik vannacht / vanochtend om 05:38 uur. Géén adres in het 'TO' veld dus ze hebben volgens mij ALLE daar bekende mailadressen maar even in de 'BCC' opgenomen en vervolgens batchgewijs de spullen verzonden

[JoeZuCK]

Krijg nu ook mailtje van Allekabels. Ze hebben mijn wachtwoord verwijderd. Is er een manier om te achterhalen wat überhaupt mijn wachtwoord was? Ergens in 2017 wat besteld, maar zou niet weten wat mijn WW was.

[Anoniem: 1441478]

x

[Voor 100% gewijzigd door Anoniem: 1441478 op 17-04-2021 10:01]

[MerijnB]

JoeZuCK schreef op zaterdag 17 april 2021 @ 09:50:
Krijg nu ook mailtje van Allekabels. Ze hebben mijn wachtwoord verwijderd. Is er een manier om te achterhalen wat überhaupt mijn wachtwoord was? Ergens in 2017 wat besteld, maar zou niet weten wat mijn WW was.

Als je het zelf niet hebt genoteerd, nee. Allekabels blundert hier aan alle kanten, maar het is (lijkt) gelukkig niet zo erg dat ze je wachtwoord kunnen inzien.

[JoeZuCK]

MerijnB schreef op zaterdag 17 april 2021 @ 10:41:
[...]

Als je het zelf niet hebt genoteerd, nee. Allekabels blundert hier aan alle kanten, maar het is (lijkt) gelukkig niet zo erg dat ze je wachtwoord kunnen inzien.

Thx, ik had het idee dat ik als guest wat gekocht had bij hen (kon ook al voor 2018?) zonder een account aangemaakt te hebben. Denk dus niet dat ik een wachtwoord heb gebruikt, maar krijg dus wel dit mailtje. Toch gek? Of niet.

[Bor]

Kedav schreef op zaterdag 17 april 2021 @ 07:01:
Heb vannacht ook de mail ontvangen dat mijn ww gelekt zou zijn maar was zelf in de veronderstelling dat ik nooit een account heb aangemaakt, wel 3x wat besteld maar dan gewoon als guest.

Ik heb ook een mail ontvangen maar kan geen account vinden. Password reset mailtjes komen niet aan en mijn vraag aan AlleKabels of er een account op mijn naam geregistreerd staat wordt genegeerd lijkt het.

[sig69]

Meest onprofessionele email ontvangen zojuist. Man man man. Ze maken het alleen maar erger.
Ik hoef 'm hier niet te posten denk ik want waarschijnlijk heeft iedereen 'm. "Cyberhack"

[Voor 33% gewijzigd door sig69 op 17-04-2021 12:27]

[Freeaqingme]

Eerder had ik 't in dit draadje over de datakluis.

Wellicht dat ze iets als dit bedoelen? https://datakluis-systeem.nl/