Hacker had T-Mobile netwerk jaar onder controle

Een eenentwintigjarige man heeft zeker een jaar lang toegang gehad tot de servers van T-Mobile, zo lezen we op SecurityFocus. Via de servers heeft hij toegang gehad tot persoonlijke informatie van T-Mobile-klanten, waaronder foto’s, sofi-nummers en zelfs e-mail van de Amerikaanse geheime dienst. Nicolas Jacobsen had op deze wijze toegang tot persoonlijke gegevens zoals geboortedata, voicemail-, web- en e-mailwachtwoorden. Er wordt expliciet gesteld dat hij geen toegang heeft gehad tot creditcardgegevens. Behalve persoonsgegevens van Amerikaanse burgers wist Jacobsen ook privé-foto’s te bemachtigen van onder andere Ashton Kutcher en Paris Hilton, die in het bezit zijn van een T-Mobile-account.

De hacker werd opgespoord tijdens operatie Firewall, een project van de Amerikaanse geheime dienst waarbij negentien mensen zijn opgepakt voor het verhandelen van gestolen persoonlijke gegevens en creditcardnummers. Het lek in de systemen van T-Mobile kwam in maart 2004 onder de aandacht van de geheime dienst, toen iemand onder de nickname Ethics op een criminele online marktplaats de gegevens aanbood. In juli werd het lek door de telecomgigant bevestigd. Ondertussen raakte via een verklikker bekend dat een onbekende met de nickname Myth vertrouwelijke gerechtsdocumenten van de geheime dienst aanbood via een irc-kanaal. De informant zocht contact met Myth, die onthulde dat achter deze nick dezelfde man schuilging die ook onder de bijnaam Ethics opereerde.

Op vijf augustus vroeg Ethics de informant om een proxyserver. Later zal blijken dat dit een fout is: natuurlijk wordt hiervoor een bak van de geheime dienst gebruikt. Zo kunnen de opsporingsagenten meekijken hoe de hacker gebruikmaakt van het account van een van hun collega’s, Peter Cavicchia. Deze maakte gebruik van de T-Mobile server om zijn e-mail en documenten te bewaren en via dit account kon de hacker zijn handen leggen op vertrouwelijke documenten. Inmiddels had men de man achter de nickname weten te identificeren: via zijn icq-nummer was zijn e-mail te achterhalen, via zijn ip-adres bleek dat hij woonachtig was in een hotel in New York. Op deze wijze werd onthuld dat Ethics en Nicolas Jacobsen een en dezelfde man waren.

Op 27 oktober werd de man gearresteerd. T-Mobile heeft geen publieke waarschuwing uitgegeven, ondanks dat dit volgens de Californische wetgeving wel zo spoedig mogelijk zou moeten gebeuren. De wet voorziet echter in een uitzondering wanneer justitie vindt dat bekendmaking van het lekken van persoonsgegevens de vervolging van de datadief in de weg staat. De geheime dienst heeft Jacobsen een regeling aangeboden waarbij de aanklacht tegen hem minder ernstig zal worden gesteld, in ruil voor zijn hulp bij het opsporen van andere cybercriminelen.