Basic-Fit Datalek?

[Zalmanman]

Zojuist ontving ik een e-mail met het volgende bericht:

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

Nu vind ik het op zich al bijzonder dat er melding gedaan wordt bij de AP voor een uniek gevalletje credential stuffing. Daarnaast wordt dit e-mailadres echt super weinig gebruikt en is het nog in geen enkel lek terecht gekomen.

De URL om je wachtwoord te herstellen is dan ook bijzonder:

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

code:

utm_campaign=NL_nl_SS_Info_Membership_DataBreachMyBasicFit_20212411

springt er wel echt uit. Dat zou impliceren dat de breach op 2021-24-11 (YYYY-DD-MM? WHY?!) plaatsgevonden zou hebben.

Goed, nu zie ik misschien dingen die er niet zijn, maar het is toch wat maf allemaal. Zijn er meer Tweakers hier met dat mailtje? Ik heb allemaal unieke wachtwoorden hiervoor, dus ik maak me niet zo veel zorgen om het inloggen bij de Basic Fit, wel vind ik de melding naar de AP én de URL een beetje twijfelachtig.

[Hatsjoe]

Ik denk dat je er teveel achter zoekt. Kans is groot dat het bijvoorbeeld iemand is geweest met een email adres dat heel erg op de jouwe lijkt. Een typo in die persoon zijn email, probeerde in te loggen dat niet lukte, waarna de systemen van Basic Fit dit als brute-forcing zagen en hiervan melding maakte bij jou. Of heb je recentelijk zelf ingelogd op je Basic Fit account? Het kan ook heel goed zijn dat je IP adres of provider ineens anders is dan vorige keer en de systemen van Basic Fit hierop aanslaan.

Het staat Basic Fit vrij dit te melden bij de AP, maar ik vind dit ook wel heel overdreven. Wat betreft de "utm_campaign" GET parameter, dit is gewoon iets dat gebruikt wordt voor tracking en analytics en hoef je al helemaal niks achter te zoeken.

[bvdbos]

Hatsjoe schreef op woensdag 24 november 2021 @ 18:20:
Ik denk dat je er teveel achter zoekt. Kans is groot dat het bijvoorbeeld iemand is geweest met een email adres dat heel erg op de jouwe lijkt. Een typo in die persoon zijn email, probeerde in te loggen dat niet lukte, waarna de systemen van Basic Fit dit als brute-forcing zagen en hiervan melding maakte bij jou. Of heb je recentelijk zelf ingelogd op je Basic Fit account? Het kan ook heel goed zijn dat je IP adres of provider ineens anders is dan vorige keer en de systemen van Basic Fit hierop aanslaan.

Het staat Basic Fit vrij dit te melden bij de AP, maar ik vind dit ook wel heel overdreven. Wat betreft de "utm_campaign" GET parameter, dit is gewoon iets dat gebruikt wordt voor tracking en analytics en hoef je al helemaal niks achter te zoeken.

Ik denk ook dat er niet veel aan de hand is maar dat iemand wel de lijst met mailadressen van Basis Fit in handen heeft. Maar dat zal makkelijk blijken als meer mensen deze mail gehad hebben. Dan is een melding AP wel terecht en is de actie (resetten wachtwoord en wijzen op belang unieke wachtwoorden) goed.

[kodak]

Een melding van een datalek moet je onder de huidige wetgeving al snel doen. Denk bijvoorbeeld aan een situatie dat er bij de aanval op meerdere accounts kon worden ingelogd, zonder dat duidelijk is waar die inlog-gegevens vandaan komen. Dan kun je niet zomaar stellen dat je geen last van een datalek hebt.

Daarbij lijkt het waarschuwen van klanten bedoeld om verdere (grotere) problemen te voorkomen voor klanten en het bedrijf. Kennelijk zijn inlog-gegevens ergens gelekt, en mogelijk zijn die gegevens ook voor andere accounts in gebruik. Ik verwacht dat klanten liever willen weten dat criminelen hun (al dan niet oude) gegevens gebruiken.

Dat er bij utm_campaign een datum van vandaag staat wil niet zomaar zeggend dat het lek vandaag zou hebben plaatsgevonden. utm_campaign is onderdeel van de mail-campagne. Dus als iemand gisteren of vandaag een campagne aanmaakt met daarin een datum wil dat niet zomaar zeggen dat die datum hoort bij het moment van het lek of zelfs maar een datum is die bij de campagne klopt.

[DJMaze]

Iedereen kan vanalles in de utm_campaign plakken.
Zo kopieer ik altijd links en pas ze aan zodat hun campaigns vertroebelen.

Niet leuk als je als basic-fit opeens een campagne hebt

code:

utm_campaign=xhamsterx_hidden_showers_cam

De vraag is dus eerder wie "databreach" bedacht zonder na te denken over potentiële vragen.
Het "SS_Login" was voldoende als melding

[ Voor 24% gewijzigd door DJMaze op 24-11-2021 19:35 ]

[Zalmanman]

Dank allen voor de reacties!

Zó erg ben ik inderdaad niet bekend met dit soort campagnes, dus het is goed om te horen dat het waarschijnlijk geen (ernstig) data-lek is. Desalniettemin is de campagne raar genoemd, en klinkt het toch écht alsof er een datalek geweest is. Nu vermoed ik dat nog altijd, omdat dit e-mailaders zó sporadisch gebruikt is. We wachten verdere berichtgeving (if any) dan wel af.

Ik heb recent niet echt ingelogd in mijn account. Wel met de app, maar dat is om de een of andere bijzondere reden weer een ander account dan degene van de website... Mogelijk ligt het daaraan. Ik heb ze gevraagd om de IP adressen. Ik zal wel niks krijgen, want klantenservice, maar goed. Je weet maar nooit

@DJMaze dat is eigenlijk wel een hilarische om wat te klooien met campagnes, daarvan ga ik gebruik maken

[c4_rr]

Ik heb exact dezelfde mail gehad op woensdag om 17:31. Kortom; geen toeval. Lijkt idd op een datalek.

[Zalmanman]

Die is leuk - ik probeer net gewoon het originele wachtwoord en dat werkt nog gewoon om mee in te loggen. Hebben ze dan überhaupt iets gedaan? @c4_rr, is jouw wachtwoord wel gereset?