Databeveiliging & Dataverlies

Een beveiligingslek in de webwinkelsoftware Magento zorgde ervoor dat mislukte inlogpogingen van klanten in plaintext in de database werden opgeslagen. Hoewel het probleem inmiddels is verholpen zijn de opgeslagen gebruikersnamen en verkeerde wachtwoorden nooit verwijderd.

Een aanvaller met toegang tot de database zou op deze manier het juiste wachtwoord van gebruikers kunnen afleiden.

De beveiligingsupdate zorgde ervoor dat Magento mislukte inlogpogingen niet meer in plaintext bewaarde. Al opgeslagen inlogpogingen bleven echter gewoon in de database achter. Daarvoor is nu een hotfix verschenen, die al deze inlogpogingen verwijdert. "... raden we aan om de update zo snel als mogelijk te installeren", aldus het Magento Security Team.

Alles bij de bron; Security


 

Een Brits securitybedrijf dat bedrijven voor datalekken waarschuwt heeft via een onbeveiligde server meer dan 5 miljard records gelekt die van andere datalekken afkomstig waren.

...Het bedrijf biedt "Data Leakage Monitoring" en "Darkweb Digging" waarbij het klanten waarschuwt als hun gegevens in een datalek voorkomen. Het bleek ook een eigen database te hebben met gegevens van datalekken. Deze database was door een fout zonder wachtwoord toegankelijk en was door de zoekmachine BinaryEdge geïndexeerd. Vervolgens werd die gevonden door onderzoeker Bob Diachenko van Security Discovery.

De database bevatte meer dan 5 miljard records, met wachtwoorden, wachtwoordhashes, e-mailadressen, oorsprong van het datalek en jaar van het datalek.

Alles bij de bron; Security


 

Twee Amerikaanse kredietverstrekkers hebben via een database die voor iedereen op internet toegankelijk was 425 gigabyte aan vertrouwelijke data gelekt. De gegevens van beide bedrijven werden in een onbeveiligde Amazon S3-bucket aangetroffen. 

Het gaat onder andere om meer dan een half miljoen gevoelige juridische en financiële documenten, zoals bankafschriften, kredietoverzichten, contracten, kopieën van rijbewijzen, belastingpapieren, bankgegevens, aankoopbewijzen, afschriften van creditcards en andere informatie.

De database was van de bedrijven Advantage Capital Funding en Argus Capital Funding, die kredieten en kortlopende leningen aan het mkb verstrekken. Nadat onderzoekers van vpnMentor de S3-bucket vonden hadden ze in eerste instantie geen idee wie de eigenaar was. Uiteindelijk kwamen ze uit bij Advantage en Argus. Beide bedrijven werden op 30 december gewaarschuwd, maar gaven geen reactie. Daarop werd Amazon zelf op 7 januari ingelicht, waarna de S3-bucket twee dagen later was beveiligd.

Alles bij de bron; Security


 

Een softwarebedrijf dat een app levert voor aanbieders op Amazon UK, eBay en Shopify heeft via een onbeveiligde database acht miljoen records met persoonlijke informatie van online shoppers gelekt. 

De database was verkeerd door de beheerder geconfigureerd. In de database stonden onder andere klantnamen, e-mailadressen, afleveradressen, telefoonnummers, aankopen, betalingen, transactienummers en laatste vier cijfers van creditcardnummers. Het zou met name om data van Britse online shoppers gaan. 

Na te zijn ingelicht werd de database binnen een uur gesloten. De naam van het bedrijf is niet bekendgemaakt.

Alles bij de bron; Security


 

Vpn-provider NordVPN heeft een kwetsbaarheid in de eigen website verholpen waardoor gegevens van klanten hadden kunnen lekken. Alleen het versturen van een HTTP POST request zonder authenticatie naar join.nordvpn.com was voldoende om van gebruikers e-mailadressen, betaalmethode, valuta, bedrag en aangeschafte producten te achterhalen.

De onderzoeker die het beveiligingslek ontdekte meldde dit op 4 december vorig jaar bij het beloningsplatform HackerOne. Twee dagen later rolde NordVPN een update uit en beloonde de onderzoeker met 1000 dollar voor zijn bugmelding.

Een woordvoerder laat tegenover The Register weten dat het hier om een geïsoleerd geval gaat dat alleen een handvol gebruikers had kunnen raken, vanwege de rate-limiting die was geïmplementeerd. "In theorie waren alleen e-mailadressen voor een derde partij zichtbaar geweest", aldus de woordvoerder.

Rond dezelfde tijd rapporteerde een andere onderzoeker dat NordVPN geen rate limiting bij het opvragen van wachtwoorden toepaste. Dit probleem verhielp NordVPN op 11 december.

Alles bij de bron; Security


 

Virgin Media heeft door een verkeerd geconfigureerde database de gegevens van 900.000 klanten gelekt. De database werd gebruikt voor het beheer van de gegevens van voormalige en huidige klanten in relatie tot bepaalde marketingactiviteiten.

Het ging om namen, adresgegevens, e-mailadressen, telefoonnummers, technische en productinformatie, waaronder verzoeken die klanten via webformulieren hadden verstuurd. In bepaalde gevallen ging het ook om geboortedatums. 

De telecomprovider gaat alle getroffen klanten waarschuwen en heeft het datalek bij de Britse privacytoezichthouder ICO gemeld. 

Alles bij de bron; Security


 

Gegevens van reizigers die gebruik maakten van gratis wifi op een aantal treinstations in het Verenigd Koninkrijk waren online in te zien via een onbeveiligde database. Dat meldt de BBC.

Het gaat in ieder geval om de treinstations Harlow Mill, Chelmsford, Colchester, Waltham Cross, Burnham, Norwich en London Bridge. In de database stonden de e-mailadressen van zo'n 10.000 verschillende gebruikers en nog 146 miljoen andere gegevens.

Wifi-provider C3UK heeft de database inmiddels offline gehaald.

Alles bij de bron; NU


 

Clearview is opnieuw in opspraak geraakt. Ditmaal wegens het lekken van klantgegevens. Volgens een brief die klanten van Clearview hebben ontvangen, heeft een ongeautoriseerde persoon toegang gekregen tot de door het bedrijf verzamelde data.

Het bedrijf struint het internet af op zoek naar afbeeldingen en persoonsgegevens en legt deze vast in een enorme database. Deze zou inmiddels al ruim drie miljard profielen bevatten. De meeste informatie komt van sociale media. Er zijn geen technische methodes waarmee de sociale media het ‘scrapen’ van informatie van gebruikers kunnen tegengaan.

Het bedrijf benadrukt dat er geen gegevens uit de database zijn gelekt. De ongeautoriseerde persoon kreeg alleen toegang tot een lijst met klanten, het aantal zoekopdrachten per klant en het aantal accounts per klant. 

Alles bij de bron; BeveiligingsNieuws


 

Abonneer je nu op onze wekelijkse nieuwsbrief!
captcha