LiteBit datalek

[3raser]

Ik ontving vanmorgen een e-mail met onderstaande melding.

LiteBit heeft informatie ontvangen dat er van een aantal LiteBit gebruikers persoonsgegevens zouden kunnen zijn buitgemaakt. Het betreft persoonsgegevens die voor december 2019 zijn verstrekt. Wij nemen deze informatie zeer serieus en hebben direct actie ondernomen om dit incident zo goed mogelijk te analyseren en de risico's te beperken.

Let op: wachtwoorden, ID-documenten en tegoeden op LiteBit hebben nooit risico gelopen.

....

Wat is er gebeurd?

Zaterdag 27 februari hebben we een bericht ontvangen waarin werd aangegeven dat persoonsgegevens van LiteBit gebruikers in handen zijn van derden. Er is gedreigd om deze persoonsgegevens openbaar te maken als LiteBit niet zou betalen voor deze data. Ons standpunt is dat wij op geen enkele wijze willen bijdragen aan het in stand houden van dit soort criminele activiteiten. Betalen voor de data past niet in ons beleid. Na een diepgaande analyse gebaseerd op een voorbeeld van de buitgemaakte data dat bij het bericht zat, hebben wij kunnen concluderen dat het gaat om oude persoonsgegevens die voor december 2019 zijn verstrekt.

Wij zijn dit incident momenteel verder aan het onderzoeken met zowel LiteBit experts als experts van gerenommeerde IT-beveiligingsbedrijven. Daarnaast heeft LiteBit dit incident ook aan de relevante autoriteiten gemeld, waaronder de Autoriteit Persoonsgegevens (AP) en aangifte gedaan bij de politie.

...

Betrouwbaarheid is een van de kernwaarden van LiteBit. Daarom vinden wij het belangrijk om de beschikbare informatie ook met jou te delen:

- We hebben indicaties dat de data van sommige gebruikers gelekt is. Het gaat hierbij om naam, e-mailadres, telefoonnummer en IBAN die in handen zijn van een ongeautoriseerde partij die gedreigd heeft deze data publiekelijk te maken.

- Gebaseerd op het intensieve onderzoek, kunnen we concluderen dat dit incident gaat om oude data van 2019 en daarvoor.

- We kunnen ons voorstellen dat je zorgen maakt. Om zo duidelijk mogelijk te zijn: tegoeden op LiteBit, wachtwoorden en ID-documenten hebben nooit risico gelopen.

Ik heb ondertussen mijn wachtwoord en 2FA aangepast maar ik ben erg benieuwd welke gegevens er dan precies zijn buitgemaakt. LiteBit weet zo ongeveer alles van me aangezien je je daar met zeer persoonlijke gegevens moet valideren.

[Voor 16% gewijzigd door 3raser op 03-03-2021 09:23. Reden: Meer informatie over welke mogelijke gegevens er zijn uitgelekt]

[Inverted_World]

Vreemd.Ik heb mijn gegevens daar al ruim voor 2019, maar geen mail ontvangen.

Ik zat gisteren al in de mailing van Ticketcounter (dierentuin abonnement), dus dit kan er ook nog wel bij

[3raser]

Ik vind het vooral bijzonder dat ze dit "oude data" noemen. Net alsof mijn e-mailadres, telefoonnummer en IBAN jaarlijks wijzigen. Dit zijn extreem gevoelige data die zeer belangrijk zijn voor spear fishing.

[Hasse]

Dat is wel ernstig. Ik zag het bericht net ook. Ik denk dat mensen die 2FA via telefoon (SMS) hebben lopen zo snel mogelijk 2FA via Authenticatie App moeten instellen. 2FA via telefoon (SMS) is onveilig, zeker gezien het feit dat criminelen dan toegang kunnen krijgen tot je online wallets. De moeite daarvoor is dan namelijk de moeite waard....

Ook 2FA via Authenticatie App kun je opnieuw instellen. Omdat het onduidelijk is wat er precies gestolen is, kun je dat ook maar beter even doen! Als je inlogt bij Litebit dan vragen ze daar momenteel naar. In je Authenticatie App kun je gewoon een nieuwe toevoegen en hij ziet dan dat je een oude wilt updaten. Gaat heel makkelijk! En als je dan toch ingelogd bent, update je wachtwoord dan gelijk even en maak deze extra moeilijk (>10 characters, letter, cijfers, tekens, hoofdletters, geen woord/random).


Prima overigens dat ze niet betalen aan criminelen maar gaan ze getroffen mensen dan wel betalen?

[Voor 38% gewijzigd door Hasse op 03-03-2021 09:49]

[AMARONE]

3raser schreef op woensdag 3 maart 2021 @ 09:25:
Ik vind het vooral bijzonder dat ze dit "oude data" noemen. Net alsof mijn e-mailadres, telefoonnummer en IBAN jaarlijks wijzigen. Dit zijn extreem gevoelige data die zeer belangrijk zijn voor spear fishing.

Ik vind dit ook een heel apart bericht inderdaad. Oude data, nou en...het is gewoon persoonlijke informatie van mensen die 5 jaar terug en over 10 jaar nog hetzelfde is.

Het is relevante data.

[Voor 3% gewijzigd door AMARONE op 03-03-2021 11:58]

[Bramtweakers]

Ik kan nergens een nieuwsbericht terugvinden, is deze lek eigenlijk al oud nieuws of moeten de nieuwssites hier nog achter komen?

[Melkunie]

@Bramtweakers, echt van deze ochtend, nieuwsartikelen moeten nog gemaakt worden:
https://support.litebit.eu/hc/nl/articles/360019976200

Deze url bevindt zich al in de tip-queue bij Tweakers Daar is het nieuwbericht
nieuws: Cryptocurrencyhandelaar LiteBit meldt datalek van Nederlandse persoon...

[ansichtkaart]

AMARONE schreef op woensdag 3 maart 2021 @ 11:57:
[...]


Ik vind dit ook een heel apart bericht inderdaad. Oude data, nou en...het is gewoon persoonlijke informatie van mensen die 5 jaar terug en over 10 jaar nog hetzelfde is.

Het is relevante data.

precies en dat vind ik nog wel het grootste probleem eigenlijk.
de informatie zo brengen van oepsie joh maakt niet uit

[3raser]

ansichtkaart schreef op woensdag 3 maart 2021 @ 12:16:
[...]


precies en dat vind ik nog wel het grootste probleem eigenlijk.
de informatie zo brengen van oepsie joh maakt niet uit

Zie dit blog dan. De kop zegt nog net niet dat je dat je niet moet zeiken over dit lek omdat het allemaal niet relevant is.

[Hasse]

Ik heb ze op grond van artikel 12 en 15 van AVG verzocht mij een kopie te sturen van de persoonsgegevens die gelekt zijn.
Antwoord: "Ze zijn het nog aan het onderzoeken" omdat ze slechts een sample van de data bij het bericht hebben kunnen analyseren. Het betreft in ieder geval: naam, e-mailadres, telefoonnummer en IBAN. En klanten die voor dec. 2019 geregistreerd zijn. Dat laatste roept bij mij het gevoel op dat het met een backup te maken heeft.... Verder hebben ze kennelijk dus geen idee nog. Ik vraag me dan wel of hoe ze weten dat het klanten van voor dec 2019 zijn terwijl ze niet precies weten welke data het bevat...

[Ruud2001]

Hier ook de mail ontvangen.

Is het mogelijk om je account te verwijderen en daarnaast te eisen dat ze alle historie die aan mij gekoppeld is te verwijderen uit hun systemen (recht op vergetelheid)?

[Hasse]

Ruud2001 schreef op woensdag 3 maart 2021 @ 12:29:
Hier ook de mail ontvangen.

Is het mogelijk om je account te verwijderen en daarnaast te eisen dat ze alle historie die aan mij gekoppeld is te verwijderen uit hun systemen (recht op vergetelheid)?

Ja, dat zijn ze verplicht vanuit de AVG / GDPR. Die de website van de autoriteit persoonsgegevens voor meer info en voorbeeld verzoeken. https://autoriteitpersoonsgegevens.nl/

[Voor 4% gewijzigd door Hasse op 03-03-2021 12:31]

[PeacekeeperNL]

Dat mag je inderdaad verzoeken. Zullen wel enkele gegevens zijn die ze verplicht bepaalde tijd moeten bewaren (omdat het nu onder een financiële instelling valt dacht ik zo). Maar de meeste gegevens dienen ze op je verzoek te wissen inderdaad.

[Christoxz]

PeacekeeperNL schreef op woensdag 3 maart 2021 @ 12:32:
Dat mag je inderdaad verzoeken. Zullen wel enkele gegevens zijn die ze verplicht bepaalde tijd moeten bewaren (omdat het nu onder een financiële instelling valt dacht ik zo). Maar de meeste gegevens dienen ze op je verzoek te wissen inderdaad.

Lijkt mij ook dat ze niet alles direct mogen wissen, ivm de anti fraude en wit was wet.

Zelf ook de mail ontvangen maar mijn account is daar niet meer geactiveerd. Wil ik wel, maar moet daarvoor mijn passpoort opsturen en mijn verificatie wordt geweigerd als ik mijn BSN afscherm.
Op vragen waarom ze deze exact nodig hebben wordt niet gereageerd.
Ik wordt er op internet ook niet echt wijzer van, of deze partij deze mag vragen en mag verwerken.

[Voor 29% gewijzigd door Christoxz op 03-03-2021 12:35]

[Hasse]

Christoxz schreef op woensdag 3 maart 2021 @ 12:33:
[...]

Lijkt mij ook dat ze niet alle mogen wissen, ivm de anti fraude en wit was wet.

Ook als wetgeving boven de AVG gaat, dan nog heeft die wetgeving een maximale bewaartermijn en moeten jouw gegevens daarna alsnog gewist worden.

[Mustardboy]

Dit is twee keer eerder voorgekomen bij hun als ik dit zo lees?

nieuws: Cryptocurrency-handelaar LiteBit meldt inbraak op servers

nieuws: Cryptocurrency-handelaar LiteBit meldt nieuwe inbraak op server

Wat mij betreft wordt het tijd dat dit afgestraft wordt, je bent altijd verantwoordelijk maar na twee pogingen moet je als bedrijf toch wel echt komen met een verzoening in my honest opinion.

[PeacekeeperNL]

Christoxz schreef op woensdag 3 maart 2021 @ 12:33:
[...]

Lijkt mij ook dat ze niet alles direct mogen wissen, ivm de anti fraude en wit was wet.

Zelf ook de mail ontvangen maar mijn account is daar niet meer geactiveerd. Wil ik wel, maar moet daarvoor mijn passpoort opsturen en mijn verificatie wordt geweigerd als ik mijn BSN afscherm.
Op vragen waarom ze deze exact nodig hebben wordt niet gereageerd.
Ik wordt er op internet ook niet echt wijzer van, of deze partij deze mag vragen en mag verwerken.

Aangaande BSN afschermen hebben ze dan verschillende richtlijnen. Ik ben geverifieerd aldaar, maar heb gewoon met een plakkertje mijn BSN afgeschermd van mijn paspoort. Eerste keer geweigerd, de tweede keer kwam ik er gewoon door.

[aretardedpotato]

Ik had in november 2019 een mail gestuurd dat ik mijn account wilde verwijderen. Ze hadden gereageerd met jammer dat je gaat bla bla bla. Als ik nu in probeer te loggen zegt de site dat ik mijn account weer moet activeren. Ze hebben mijn account helemaal niet verwijderd maar gedeactiveerd. klojos...

[Ruud2001]

https://support.litebit.e...elete-my-LiteBit-account-

How can I delete my LiteBit account?
Answer: By contacting Customer Support by email.

Too bad you want to delete your account! Are you sure we cannot help you? Maybe you just want to change your email or password?

The moment you request LiteBit to delete your account, we will deactivate your account. This means that your account is closed and can no longer be used. Logging in or trading will no longer be possible.

For this reason, we can only process requests for empty accounts. If there are still funds or credits in the account, we cannot honor your request.

You can submit a new request to us as soon as you have cleared your account. LiteBit has a legal obligation to retain personal data used for identification, verification, research activities and notifications to the FIU for a period of 5 years after the business relationship has been ended (art 33 (3) Wwft, art 34 Wwft). Data regarding transactions will be kept by LiteBit for a period of 7 years after the latest relevant calendar year.


If you have any questions about transferring cryptos or credits, please contact Customer Support on [phone] or start a chat conversation.

If you would like your personal data deleted earlier, please contact Customer Support. You can always ask us to delete your personal data. However, we cannot always honor this request, for example if we are required to keep your personal data for a longer period of time due to a legal obligations.

Ik ga ze maar eens een mail sturen. Heb het in 2017 ooit gebruik als instap in de wondere wereld van crypto. Sindsdien niet meer naar omgekeken, maar aangezien dit niet de eerste keer is dat het mis gaat maar eens zien of het allemaal asap kan worden verwijderd.

[Ruud2001]

aretardedpotato schreef op woensdag 3 maart 2021 @ 12:42:
Ik had in november 2019 een mail gestuurd dat ik mijn account wilde verwijderen. Ze hadden gereageerd met jammer dat je gaat bla bla bla. Als ik nu in probeer te loggen zegt de site dat ik mijn account weer moet activeren. Ze hebben mijn account helemaal niet verwijderd maar gedeactiveerd. klojos...

Dat is ook wat er op hun website staat. Zie mijn post hierboven, maar je kunt dus wel proberen meer info te laten verwijderen alleen is het niet zeker dat ze het honoreren.

[enverlin]

aretardedpotato schreef op woensdag 3 maart 2021 @ 12:42:
Ik had in november 2019 een mail gestuurd dat ik mijn account wilde verwijderen. Ze hadden gereageerd met jammer dat je gaat bla bla bla. Als ik nu in probeer te loggen zegt de site dat ik mijn account weer moet activeren. Ze hebben mijn account helemaal niet verwijderd maar gedeactiveerd. klojos...

Idem hier.

Ik vertrouwde erop dat ik was verwijderd. Niet dus?!
Verwijderen en "sluiten van je account" zijn twee verschillende dingen.

[Voor 7% gewijzigd door enverlin op 03-03-2021 13:02]

[Christoxz]

PeacekeeperNL schreef op woensdag 3 maart 2021 @ 12:36:
[...]


Aangaande BSN afschermen hebben ze dan verschillende richtlijnen. Ik ben geverifieerd aldaar, maar heb gewoon met een plakkertje mijn BSN afgeschermd van mijn paspoort. Eerste keer geweigerd, de tweede keer kwam ik er gewoon door.

Ben nu al twee keer geweigerd, en reactie geven ho maar.
Thanks, ik ga het dan nog is proberen.
Ging je verificatie toen rechtstreeks via Litebit, of via Onfido?

[Mustardboy]

enverlin schreef op woensdag 3 maart 2021 @ 13:01:
[...]

Idem hier.

Ik vertrouwde erop dat ik was verwijderd. Niet dus?!
Verwijderen en "sluiten van je account" zijn twee verschillende dingen.

Lijkt er op dat zij een definitie hanteren van verwijderen die anders is dan normaal, waarbij hun het toegang tot het account verwijderen maar de gegevens behouden.

Enigszins begrijpelijk gezien hun in de financiële wereld opereren en in gevallen van fraude onderzoek toch nog behoefte is aan die oude gegevens maar in scenario's zoals deze kan ik begrijpen dat het, zacht uitgedrukt, zeer storend is.

[3raser]

Hoe kan ik mijn account verwijderen?

Op het moment dat je bij ons een verzoek indient tot het verwijderen van je account, deactiveren wij jouw account. Dit houdt in dat je account wordt gesloten en niet werkend kan blijven bestaan. Inloggen of handelen is dan niet meer mogelijk.

...

De bewaartermijn die LiteBit hanteert voor persoonsgegevens die zijn verwerkt in het kader van het wettelijk verplichte cliëntenonderzoek (Wet ter voorkoming van witwassen en terrorismefinanciering; art 33 lid 3 Wwft), is 5 jaar. De bewaartermijn die LiteBit hanteert voor gegevens met betrekking tot transacties is 7 jaar.

[marapuru]

Bloedirritant weer dit. De volgende die zaken bewaard die er niet meer toe doen.
Ik heb in 2018 een account aangemaakt, maar ben nooit verder de verificatie doorgestapt. Tussentijds is er geen mogelijkheid je account te verwijderen.

Iemand een advies wat te doen?

[Aarebe1]

Ik vind dat hier schadevergoedingen tegenover moeten komen te staan.
LiteBit, Ledger, Universiteiten, GGD's.
Wat hebben deze partijen een boter op het hoofd.

Als ik hun prive gegevens lek krijg ik ook een zaak aan me broek.

[Pelox]

Heb zojuist een mail verzonden met daarin het verzoek mijn account en al mijn gegevens per direct te verwijderen uit de systemen en ik verwacht hiervan een bevestiging in de mail te ontvangen.

[PeacekeeperNL]

Christoxz schreef op woensdag 3 maart 2021 @ 13:11:
[...]


Ben nu al twee keer geweigerd, en reactie geven ho maar.
Thanks, ik ga het dan nog is proberen.
Ging je verificatie toen rechtstreeks via Litebit, of via Onfido?

Volgens mij rechtstreeks via LiteBit. Had een plakkertje/stukje postit over de BSN geplakt (even uit het hoofd, x2 omdat ie ook nog onderin in de hele tekst staat)

[Ruud2001]

Pelox schreef op woensdag 3 maart 2021 @ 15:07:
Heb zojuist een mail verzonden met daarin het verzoek mijn account en al mijn gegevens per direct te verwijderen uit de systemen en ik verwacht hiervan een bevestiging in de mail te ontvangen.

Hier is de mail ook de deur uit. Zo klaar met deze partij

[Amras]

Ook opgezegd, stelletje beunhazen.

Volgens mij had ik mijn account nog niet geverifieerd in 2019 en er staan geen telefoonnummer of IBAN in m'n account. Ik denk dus dat ze alleen mijn e-mailadres hebben. Nog steeds vervelend natuurlijk en niet goed voor het vertrouwen in deze partij.

[Ruud2001]

Ruud2001 schreef op woensdag 3 maart 2021 @ 15:14:
[...]


Hier is de mail ook de deur uit. Zo klaar met deze partij

Inmiddels reactie van Litebit ontvangen en m'n account wordt gedeactiveerd.

Ik zet een reminder in m'n agenda om ze in 2026 opnieuw te contacteren om m'n gegevens te verwijderen

[Agent725]

Balen voor een ieder die daar gevoelige data had opgeslagen.

[Pelox]

Hierbij het antwoord vanuit Litebit op mijn verzoek:

Hi,

Bedankt voor je bericht en verzoek. Wij hanteren een bewaarbeleid waarin staat hoe lang wij je gegevens bewaren. Zie voor meer informatie hierover art. 3 van onze privacy verklaring op de website. In de meeste gevallen bewaren we je gegevens minimaal vijf jaar na de laatste actieve handeling op je LiteBit account. Eerder kunnen wij je gegevens niet wissen, omdat wij vanwege wettelijke verplichtingen je gegevens moeten bewaren.

Daarnaast zijn er ook andere redenen om klantgegevens langer te bewaren. Bijvoorbeeld voor ons risicomanagement, om veiligheidsredenen of om goed te kunnen omgaan met claims, onderzoeken of rechtszaken.

Helaas kunnen wij je verzoek dus niet honoreren. Op grond van de wet (Wet ter voorkoming van witwassen en financieren van terrorisme) zijn wij namelijk verplicht je persoonsgegevens langer te bewaren. Uiteraard kunnen wij je account wel sluiten. Je kunt dan niet meer inloggen of handelen en zult geen e-mails meer van ons ontvangen.

Graag ontvangen wij een bevestiging als je wilt dat wij het account deactiveren.

Ik hoop je hiermee van voldoende informatie te hebben voorzien. Mocht je nog vragen hebben naar aanleiding van het bovenstaande, stel deze gerust.

Wij wensen je een prettige dag toe.
Met vriendelijke groet,

Camiel - Support
2525 Ventures BV / LiteBit.eu

[3raser]

Ik vraag me af of ze de gegevens van gedeactiveerde accounts wel "online" bewaren. Het lijkt me dat die data prima in offline opslag kan worden bewaard wat voor de belanghebbenden natuurlijk veel veiliger is. Maar de vraag stellen is hem waarschijnlijk beantwoorden.

[3raser]

Ik wordt ondertussen actief lastig gevallen via e-mail op het mailadres welke ik specifiek voor Litebit gebruik. Dit datalek is blijkbaar openbaar geworden.

[datisgaaf]

3raser schreef op woensdag 26 januari 2022 @ 20:04:
Ik wordt ondertussen actief lastig gevallen via e-mail op het mailadres welke ik specifiek voor Litebit gebruik. Dit datalek is blijkbaar openbaar geworden.

Yup, ik sinds vandaag ook.
Zogenaamd van MetaMask. Maar op mijn, enkel bij litebit gebruikte e-mailadres.

[Red Boll]

Kreeg net deze van "LiteBit"

---

After check of your waIIet account we have detected
missing KYC settings that needs to be updated.
‎‎Edit your account data, or your account will be Iocked. ‎‏‏‎ ‎

Follow link below to continue:

https://wallet.litebit.eu/account/verification-id7841/login

Happy Trading!
Team LiteBit

Questions or criticism?
Contact Customer Support.

© Litebit.eu
Weena 740 Rotterdam, Netherlands

---

Onderliggende URL gaat naar/via bit.ly
email = maillit.ebit.tea.m.286+****@gmail.com (**** zijn 4 getallen)

[Voor 11% gewijzigd door Red Boll op 08-08-2022 14:49]

[3raser]

Red Boll schreef op maandag 8 augustus 2022 @ 14:46:
Kreeg net deze van "LiteBit"

---

After check of your waIIet account we have detected
missing KYC settings that needs to be updated.
‎‎Edit your account data, or your account will be Iocked. ‎‏‏‎ ‎

Follow link below to continue:

https://wallet.litebit.eu/account/verification-id7841/login

Happy Trading!
Team LiteBit

Questions or criticism?
Contact Customer Support.

© Litebit.eu
Weena 740 Rotterdam, Netherlands

---

Onderliggende URL gaat naar/via bit.ly
email = maillit.ebit.tea.m.286+****@gmail.com (**** zijn 4 getallen)

Die heb ik ook gekregen. Dat LiteBit datalek wordt enorm veel misbruikt. Ik krijg regelmatig spam via dat lek.
De link verwijst in de email overigens naar een bit.ly url. Wallet.bitly.eu is dus fake ([edit] ik bedoel dat de link wel het officiële URL toont maar de URL href verwijst naar bit.ly).

Google trapte hier overigens gewoon in en markeerde de mail niet als spam. Ondertussen misschien wel omdat ik de e-mail vorige week al als phishing heb gemarkeerd.

[Voor 4% gewijzigd door 3raser op 08-08-2022 15:08]

[Red Boll]

3raser schreef op maandag 8 augustus 2022 @ 15:05:
[...]
De link verwijst in de email overigens naar een bit.ly url.

Dat was inderdaad wel een weggevertje dat het 100% fake moest zijn, net als het email adres.
Was voor mij de eerste mail die ik bijna zeker kon toewijzen aan het lek bij LiteBit

3raser schreef op maandag 8 augustus 2022 @ 15:05:
[...]
Google trapte hier overigens gewoon in en markeerde de mail niet als spam.

Zelfde hier, valt wel een beetje tegen.