Vpn-provider NordVPN heeft een kwetsbaarheid in de eigen website verholpen waardoor gegevens van klanten hadden kunnen lekken. Alleen het versturen van een HTTP POST request zonder authenticatie naar join.nordvpn.com was voldoende om van gebruikers e-mailadressen, betaalmethode, valuta, bedrag en aangeschafte producten te achterhalen.
De onderzoeker die het beveiligingslek ontdekte meldde dit op 4 december vorig jaar bij het beloningsplatform HackerOne. Twee dagen later rolde NordVPN een update uit en beloonde de onderzoeker met 1000 dollar voor zijn bugmelding.
Een woordvoerder laat tegenover The Register weten dat het hier om een geïsoleerd geval gaat dat alleen een handvol gebruikers had kunnen raken, vanwege de rate-limiting die was geïmplementeerd. "In theorie waren alleen e-mailadressen voor een derde partij zichtbaar geweest", aldus de woordvoerder.
Rond dezelfde tijd rapporteerde een andere onderzoeker dat NordVPN geen rate limiting bij het opvragen van wachtwoorden toepaste. Dit probleem verhielp NordVPN op 11 december.
Alles bij de bron; Security
Virgin Media heeft door een verkeerd geconfigureerde database de gegevens van 900.000 klanten gelekt. De database werd gebruikt voor het beheer van de gegevens van voormalige en huidige klanten in relatie tot bepaalde marketingactiviteiten.
Het ging om namen, adresgegevens, e-mailadressen, telefoonnummers, technische en productinformatie, waaronder verzoeken die klanten via webformulieren hadden verstuurd. In bepaalde gevallen ging het ook om geboortedatums.
De telecomprovider gaat alle getroffen klanten waarschuwen en heeft het datalek bij de Britse privacytoezichthouder ICO gemeld.
Alles bij de bron; Security
Gegevens van reizigers die gebruik maakten van gratis wifi op een aantal treinstations in het Verenigd Koninkrijk waren online in te zien via een onbeveiligde database. Dat meldt de BBC.
Het gaat in ieder geval om de treinstations Harlow Mill, Chelmsford, Colchester, Waltham Cross, Burnham, Norwich en London Bridge. In de database stonden de e-mailadressen van zo'n 10.000 verschillende gebruikers en nog 146 miljoen andere gegevens.
Wifi-provider C3UK heeft de database inmiddels offline gehaald.
Alles bij de bron; NU
Clearview is opnieuw in opspraak geraakt. Ditmaal wegens het lekken van klantgegevens. Volgens een brief die klanten van Clearview hebben ontvangen, heeft een ongeautoriseerde persoon toegang gekregen tot de door het bedrijf verzamelde data.
Het bedrijf struint het internet af op zoek naar afbeeldingen en persoonsgegevens en legt deze vast in een enorme database. Deze zou inmiddels al ruim drie miljard profielen bevatten. De meeste informatie komt van sociale media. Er zijn geen technische methodes waarmee de sociale media het ‘scrapen’ van informatie van gebruikers kunnen tegengaan.
Het bedrijf benadrukt dat er geen gegevens uit de database zijn gelekt. De ongeautoriseerde persoon kreeg alleen toegang tot een lijst met klanten, het aantal zoekopdrachten per klant en het aantal accounts per klant.
Alles bij de bron; BeveiligingsNieuws
Decathlon heeft te kampen met een enorm datalek, die gegevens van 123 miljoen gebruikers en werknemers blootlegt. Volgens onderzoekers van vpnMentor, is er meer dan 9GB aan data gelekt van een onbeveiligde ElasticSearch server.
De gelekte informatie, die met name betrekking heeft op het Spaanse deel van het bedrijf, werd op 12 februari ontdekt, op 16 februari werd Decathlon hierover geïnformeerd. Het bedrijf liet weten dat er de volgende dag een oplossing kwam en dat de server gerepareerd was.
De gelekte bestanden bevatten informatie over de werknemers, zoals hun gebruikersnamen, niet gecodeerde wachtwoorden, officiële e-mailadressen, contractinformatie, API logs en API toegangsgegevens. Maar ook persoonlijke, identificeerbare informatie zoals burgerservicenummers, nationaliteiten, mobiele telefoonnummers, volledige adressen en geboortedata van de werknemers. Niet gecodeerde logingegevens en privé IP-adressen die van de klanten zijn, kunnen ook worden gevonden in de gelekte database.
Alles bij de bron; TechRadar
Onderzoekers waarschuwen voor een beveiligingslek in een babyfoon van fabrikant iBaby waardoor een aanvaller toegang tot de camera kan krijgen en zo op afstand kan meekijken, opnames kan maken of muziek kan afspelen. Het probleem is aanwezig in de iBaby Monitor M6S, die ook in Nederland werd verkocht, en een beveiligingsupdate is niet beschikbaar.
De camera en achterliggende infrastructuur blijken verschillende kwetsbaarheden te bevatten Het eerste probleem wordt veroorzaakt door de manier waarop de iBabyCloud, waar gemaakte beelden worden opgeslagen, is geconfigureerd. Met de sleutel van één camera is het mogelijk om toegang tot opgeslagen beelden van alle andere camera's te krijgen. Een tweede probleem speelt bij de communicatieserver. Ook die is niet goed geconfigureerd waardoor een aanvaller informatie kan achterhalen waarmee hij toegang tot andere camera's kan krijgen.
Als laatste werd er een Indirect Object Reference (IDOR) kwetsbaarheid ontdekt waarmee een aanvaller gegevens van gebruikers kan achterhalen, zoals e-mailadressen, namen, locatie, profielfoto en loggegevens. De details zijn nu openbaar gemaakt (pdf).
Alles bij de bron; Security
Persoonlijke gegevens van zeker tachtigduizend passagiers van Transavia zijn mogelijk gestolen bij een datalek. Inbrekers hadden toegang tot een mailbox van het bedrijf. Daarin zat een bestand met de gegevens van 80.000 passagiers.
Het gaat om voor & achternamen en geboortedatums van passagiers die tussen 21 en 31 januari 2015 met de maatschappij hebben gevlogen.
De inbrekers zijn binnengekomen door een e-mailadres dat ergens is gelekt, in combinatie met een zwak wachtwoord, zegt een woordvoerder van het bedrijf. Volgens haar zijn er aanwijzingen dat de gegevens ook daadwerkelijk uit de mailbox zijn gestolen, en is er niet enkel toegang geweest.
Alles bij de bron; Tweakers
Een inlogportal die zes Nederlandse gemeenten gebruikten om burgers toegang te geven tot gemeentelijke belastingdocumenten, bleek vatbaar voor sql-injectie. Via de kwetsbaarheid waren onder andere BSN's te raadplegen. Het lek is inmiddels gedicht.
Een Tweaker wilde zijn aanslagen voor de gemeentelijke belasting vast inzien, en merkte daarbij op dat hij bij de portal waar de gemeentesite van Oldambt naar verwees, kon inloggen met alleen zijn burgerservicenummer en geboortedatum. Een burgerservicenummer wordt algemeen niet als betrouwbare inlog beschouwd omdat dit nummer niet vertrouwelijk genoeg is...
...Een medetweaker constateerde naar aanleiding van de posting naast deze slordigheid een nog kwalijker euvel: de portal bleek ook kwetsbaar voor sql-injectie. Via deze kwetsbaarheid was het mogelijk bij de database achter de portal te komen en zo de betreffende documenten te benaderen. Ook bleek het mogelijk om een tabel met burgerservicenummers te raadplegen.
Het lek zat dus niet in gemeentesites zelf, maar in een externe site waar gemeenten naar verwijzen op hun pagina voor inwoners die hun documenten in willen zien.
De tweaker lichtte Data B Mailservice in over de kwetsbaarheid, het bedrijf dat verantwoordelijk is voor het portaal. Dat bedrijf is gespecialiseerd in fysieke en digitale documentstromen. "Na contact met de ontwikkelaar hebben zij adequaat gehandeld, het lek binnen enkele uren gedicht en de portalen uitgeschakeld".
Alles bij de bron; Tweakers
Door een fout in de app van het programma Het Jachtseizoen, zijn mogelijk namen, profielfoto's en de locatie van gebruikers op straat komen te liggen, maakt Talpa vrijdag bekend op zijn website.
Nadat het mediabedrijf de bug ontdekte, is de app offline gehaald. Ook is het bedrijf een onderzoek gestart om vast te stellen welke persoonsgegevens mogelijk toegankelijk waren en of de gegevens daadwerkelijk door derden zijn ingezien.
In Het Jachtseizoen gaan de presentatoren op zoek naar een bekende Nederlander. Het trio heeft vier uur de tijd om de persoon op te sporen. De bijbehorende app is in 2017 uitgebracht en stelt kijkers in staat om het spel na te spelen, waarbij de GPS-locatie van het doelwit wordt gedeeld met de jagende spelers.
Alles bij de bron; NU
Een commerciële spyware-app KidsGuard gericht op ouders, werkgevers en wantrouwende partners heeft de data van duizenden slachtoffers via een verkeerd geconfigureerde server gelekt. De app maakt het mogelijk om de locatie te volgen, telefoongegevens en socialmediagebruik te controleren, berichten van allerlei chat-apps te lezen, screenshots en foto's te maken, gesprekken op te nemen en de surfgeschiedenis te bekijken.
Ook is het mogelijk om een keyloggerfunctie in te schakelen, alsmede alle bestanden op de telefoon te benaderen, zoals foto's en video's die het slachtoffer heeft gemaakt. Om de app op het toestel van een slachtoffer te installeren is het niet nodig om het toestel te jailbreaken of rooten. Eenmaal geïnstalleerd doet de spyware zich op Android voor als een "system update" app en laat geen icoon zien, zodat het slachtoffer niet weet dat de spyware is geïnstalleerd.
Beveiligingsonderzoeker Till Kottmann ontdekte dat de app gegevens in een cloudbucket van internetgigant Alibaba opsloeg. De bucket, waar bedrijven allerlei data in kunnen opslaan, stond op openbaar en was die niet met een wachtwoord beveiligd.
Alles bij de bron; Security