Hoofdcategorieën
Device Settings

Justitie VS lost recordkraak persoonsgegevens op

Door Arie Jan Stapel, dinsdag 18 augustus 2009 10:43, views: 11.689

Justitie in de Verenigde Staten heeft drie hackers aangeklaagd vanwege de diefstal van gegevens van meer dan 130 miljoen credit- en debitcards. Volgens de aanklagers werden niet eerder op deze schaal persoonsgegevens gestolen.

CreditcardDe 28-jarige Albert Gonzalez werd maandag, samen met twee niet bij naam genoemde Russische medeplichtigen, aangeklaagd wegens samenzwering tot computerinbraak en datadiefstal. Volgens justitie gebruikten de drie sql-injectie om toegang te krijgen tot de netwerken van onder andere Heartland Payment Systems, een bedrijf dat betalingen verwerkt, 7-Eleven, een nationale winkelketen, en Hannaford Brothers, een supermarktketen in de staat Maine.

Volgens de aanklacht begonnen de hackers in oktober 2006 met een onderzoek naar de netwerken van hun slachtoffers. Ze gebruikten computers in de VS, Letland, Nederland en de Oekraïne om aanvallen te lanceren en de gestolen kaartnummers te ontvangen. In augustus 2007 brak het drietal in op het netwerk van 7-Eleven, in november op dat van Hannaford Brothers en in december bij Heartland. Ook de netwerken van enkele niet bij naam genoemde bedrijven werden gekraakt. In totaal maakten ze de gegevens van meer dan 130 miljoen credit- en debitcards buit.

Gonzalez zit momenteel al in de gevangenis. Volgens The Miami Herald ontliep hij in 2003 een veroordeling wegens computercriminaliteit door als informant voor de U.S. Secret Service te gaan werken. In 2007 ontdekte de FBI echter dat hij in de tussentijd de gegevens van ruim 40 miljoen creditcards had weten te bemachtigen, wat de grootste creditcarddiefstal tot dan toe zou zijn. Op grond daarvan werd hij gearresteerd; die zaak komt in september van dit jaar voor de rechter.

De nieuwe aanklacht wordt in 2010 behandeld. Als Gonzalez wordt veroordeeld, kan hij twintig jaar gevangenisstraf krijgen voor telecommunicatiefraude en nog eens vijf jaar voor de samenzwering. Bovendien kan hij voor elk van beide delicten 250.000 dollar boete krijgen, zo meldt het Amerikaanse ministerie van Justitie. De beide Russen zijn nog voortvluchtig.

Volgende 11:13 Lenovo werkt aan nettops en homeserver
Vorige 10:16 Ontwikkelaar port Ubuntu naar Windows Mobile-smartphone Omnia
Advertentie

Reacties

«  1  2  »



Ze kunnen misschien wel alles opvragen maar dan moeten ze wel weten wat er op te vragen valt.
Is er uberhaupt wel een plaats in de VS waar er informatie is over alle CC's van alle amerikanen. Als je als opsporingsinstatie weet van welke maatschappij iemand een CC heeft kun je vast met een bevelschrift of andere rechtsmiddel de informatie opvragen bij de betreffende CC maatschappij.

Bovendien zijn dergelijke opvragingen mogelijk justitieel inzichtelijk zodat er mensen buiten de geheime onderzoeken kunnen zien wie of wat er onderzocht wordt.

[Reactie gewijzigd door hAl op dinsdag 18 augustus 2009 11:49]


Is er uberhaupt wel een plaats in de VS waar er informatie is over alle CC's van alle amerikanen.
Als ze de gegevens opvragen bij Mastercard, Visa, American Express en Dinners Club zullen ze de meeste wel hebben. Zoveel CC aanbieders zijn er nu ook weer niet.

informanten hebben geen directe toegang tot NSA systemen hoor

Tenzij hij het natuurlijk heeft gekraakt. :P

Eerder tijd om bepaalde 'samenzwerings-'theorieen waarin de overheid zélf een (gemene) rol zou spelen betreffende persoonsgegevens terzijde te leggen en te concentreren op daar waar het gevaar wél ligt.

Een 'samenzwering' is een heel bewust crimineel handelen op bepaalde illegale doelstellingen te behalen.
Laat de overheid nu net weinig te winnen hebbeen bij illegaal verwerken van persoonsgegevens (deels omdat ze weinig illegaals 'hoeven' te doen, zij kunnen nu net de wetten zo vormgeven dat ze ook veel zouden mogen inzien of verzamelen).

Mààr.. wat veel belangrijker is, wat de overheid nu net niet direkt nodig heeft, hebben private criminele groepen nu net wel heel erg nodig en een overheid die bijvoorbeeld zich sterk mengt in persoonsgegevens verzamelen en koppelen kan wel degelijk de voorwaarden scheppen dat criminele samenzweringen die buiten hen omgaan des te succesvoller kunnen zijn...

Voor de Overheid is het heel belangrijk te realiseren dat deze nu net weinig te winnen hebben aan het misbruiken van persoonsgegevens (en ook niet aan het inhuren van zulke informanten) ....
maar dat de overheid door bepaalde initiatieven (zoals het opbouwen en koppelen van veel persoonsgegevens-databanken, het inhuren van zulke types door slecht controleerbare inlichtingendiensten) en het ontbreken van goede wetgeving voor het controleren van de zorgvuldigheid hiervan (en ook bv aansprakelijkheid bij misbruik neerlegt bij de beheerders van zulke databanken en niet de betroffen personen wiens persoonsgegevns misbruikt kunnen worden) wel een sterk 'indirekte' rol kan en zal spelen.

Ik kan me regelmatig rot ergeren aan het domme gejamme van de typische aluminium-hoedjes met hun complottehorieen die juist in zulke thema's met hun doorgeslagen waan-ideeen en paranoia veel meer kwaad doen dan goed.... het is namelijk wél een belangrijke discussie waar vooral de Overheid een duidelijke rol speelt ... maar dat soort figuren lijkt van die discussie een soort van fantasie-verhaaltje te willen maken met een hoog cartoon-niveau

[Reactie gewijzigd door RM-rf op dinsdag 18 augustus 2009 11:58]


Wat kan je met creditcardgegevens doen? Als je op je afrekening een betaling ziet die jij niet hebt goedgekeurd kan je die toch blokkeren? Of rekenen ze erop dat mensen het niet zien/de moeite niet nemen?

Dat laatste inderdaad. Als je gewoon kleine bedragen afschrijft zal het niet veel mensen opvallen. Ook is het lastig terug te zoeken voor de FBI / Credit card bedrijven.

Ja, klein bedrag is al genoeg.
Als hij van elke kaart 1 dollar laat afschrijven naar een of andere vage bankrekening op een vaag eiland, heeft hij al 130 miljoen dollar binnen.

ja, maar de crimineel heeft dan wel het product ontvangen of dienst geleverd gekregen. Het is dus een financiele strop voor de credicardmaatschappij.

Niet iedere creditcard maatschappij vergoed de schade en de creditcard maatschappij zelf draait voor de schade op.

Als Pietje een TV koopt op jou kaart, dan kun je de betaling wel blokkeren, maar de aangeschafte goederen vliegen niet vanzelf terug de winkel in. Die zijn nog steeds "eigendom" van Pietje.

Iemands gedrag traceren bijvoorbeeld.

Als je op je afrekening een betaling ziet die jij niet hebt goedgekeurd kan je die toch blokkeren?
Klopt, creditcard maatschappijen zijn daar vrij soepel mee.

Maar dan heeft degene die die gegevens misbruikt heeft het item al wel in huis natuurlijk. Dan ben jij, als legitieme eigenaar van die card, weliswaar schadeloos gesteld, maar de winkel/creditcard-maatschappij zijn er wel de dupe van.

En ook al krijg je de schade vergoed, je hebt er wel weer een heel goed mee, want je moet weer van alles regelen (aangifte doen, telefoontjes plegen naar winkel/creditcard-maatschappij etc).

Als je 130 miljoen creditcard gegevens hebt. Dan kan je daar flink wat schade mee aanrichten. Tegen de tijd dat iemand erachter komt is de limiet al gehaald en heb je de creditcard gegevens van die persoon niet meer nodig. X 130 miljoen....... reken uit je winst

Dat soort dingen wordt meestal gebruikt om dingen van te kopen. Want als je het doorsluist naar een andere rekening is het natuurlijk makkelijk te achterhalen en terug te halen

Niet als je het doorsluist naar een bankrekening in een land waar ze daadwerkelijk nog het bank geheim hebben. Om naar een bankrekening en dan direct het geld eraf halen in contanten. Er zijn natuurlijk ook tientallen witwas scenarios te bedenken

Eerst nog een paar keer overmaken, en dan door katvangers laten opsturen met Western Union. Die katvangers worden dan vaak weer geworven met spamberichten waarin ze je een "baan" beloven als financieel medewerker: je mag 5 tot 10% houden, en de rest doorsturen.

Dat is hem juist. De betaling is al gemaakt dus de dieven hebben hun geld / spullen al. In de meeste gevallen krijg je gewoon je geld terug en er zijn natuurlijk ook mensen die zoveel krediet hebben en betalingen maken op hun CC dat ze het soms niet zou merken. Maar de CC maatschapijen liggen ook niet te slapen hoor. Mijn zus werkte voor CapitalOne in Engeland en wat zei had verteld was dat er een hele afdeling voor was om dit soort zaken op te sporen.

Bepaalde betalingen springen eruit omdat het buiten de normale uitgaaf patroon van die persoon is enzovoort. Dan nemen ze aktie, of ze de klant gaan bellen of ze de kaart gaan tijdelijk blokkeren voor verdere onderzoek.

De gestolen gegevens worden gebruikt op een manier waarop de kaarthouder geen direct nadeel heeft. De transacties zelf worden weliswaar teruggedraaid maar de winkeliers en creditkaart maatschappijen draaien op voor de kosten. Indirect worden deze kosten door de kaarthouders en andere consumenten betaald in de vorm van hogere prijzen en kaartkosten dan wel rentes. Andere indirecte kosten betreffen het vervangen van de kaart en het doen van een aangifte van een gestolen kaart. Een kaarthouder is al snel twee weken kwijt voordat er een nieuwe kaart gebruikt kan worden.

Als je op je afrekening een betaling ziet die jij niet hebt goedgekeurd kan je die toch blokkeren?
Ja, dat kan je laten storneren / blokkeren. Maar de CC maatschappij draagt dan het verlies. Dit verlies wordt natuurlijk wel doorberekend naar de klant. Onder andere d.m.v. vrij hoge rentes die op het krediet worden berekend (15-20% is heel normaal).

Uiteindelijk betaal je er zelf voor de fraude die gepleegd wordt.

Electronisch bankieren en betalen, lekker veilig... 8)7

Creditcard hebben niets met elektronisch bankieren te maken, dat gaat op hele andere manieren (dingen als TAN-codes, e-identifiers, RandomReaders etc), en daar heb je altijd interactie tussen server en gebruiker voor nodig. Bij een betaling met CC is dat niet het geval, je tikt het één keer in, en dat is het dan. Geen controle verder (ja, of de card geldig is, maar niet of jij de legitieme eigenaar ervan bent).

Een creditcard kan ook misbruikt worden als je het niet via internet gebruikt, dus in de winkel enzo. Daarom moet je je creditcard als het even kan ook altijd in het oog houden als je ermee betaalt in een winkel.

Dit is dus geen argument tegen elektronisch bankieren

Betalingen controleren aan de hand van een onleesbaar krabbeltje inkt wat iedereen kan hebben gezet, dat is veilig!

Vroeger (en nu nog steeds) werd er met cheque's en contracten er ook op los gefraudeerd.

Daarom worden de nieuwe creditcards vervangen met een met een chip erop.
Dan werkt het gewoon met een PIN-code.

Het duurt natuurlijk wel even voordat dit over de hele aardkloot is doorgevoerd.
Investering van jewelste. aanpassingen van ATM's, etc.

Op het internet valideren met een krabbeltje? Denk het niet,,,

Dat word gedaan door een bepaald bedrag van iemands rekening af te proberen schrijven, lukt dit, is ie echt je hebt ook beveiligings codes enz. Maar het afschrift van dat ene bedrag komt niet omdat ze het niet echt doorzetten met afschrijven.

En bovendien word een creditcard gecontroleerd op bestaan dmv het Luhn algorithme (Luhn heette het toch? Maar in ieder geval een algorithme).

Maar met al die beveiliging, al is de kaart valide, en klopt de beveiligings code, dat wil niet zeggen dat jij de rechtmatige eigenaar bent. Dit valt tijdens online aankopen niet te controleren, of ze moeten je gegevens opvragen (die de CC maatschapij niet geeft..) en per post validatie sturen...

Kortom heel omslachtig, wel knap om het te doen overigens als je in de secret service zit

Ben ik alleen benieuwd, waar die gegevens nu zijn. Zijn de gegevens veilig gesteld of zwerven ze inmiddels rond op het internet?

Men kan nooit garanderen dat alles veiliggesteld is, wie weet is (een deel van) de zaak wel doorverkocht.

Ik neem aan dat de betreffende creditcard gewoon geblokkeerd zijn om verder is misbruik te voorkomen, daarmee is dat probleem dus ook opgelost.

OP het moment dat jij die betaling ziet en actie onderneemt, dan is het toch al te laat. Als klant wordt je goed beschermd door de creditcardmaatschappijen, maar zij zijn de klos.

2 x 250.000 dollar boete? Je kunt dus beter 130 miljoen credit card gegevens jatten dan 24 mp3tjes delen op internet. Dat kost je 1.92 miljoen dollar. Alhoewel je dan weer niet de gevangenis in hoeft.

belachelijk niet waar zoals het gaat vandaag de dag.

Bij justitie moet grondig een reorganisatie plaatsvinden.
Misdaad loont helaas nog steeds.

Een boete is wat anders dan een schadevergoeding. Als de man schuldig blijkt kunnen de creditcardmaatschappijen hun schade ook op hem proberen te verhalen. Het vervangen van 130 miljoen creditcards zal aardig in de papieren lopen... Maar goed, net als in het geval van die Jamie Thomas-zaak maakt het niet zoveel uit. De kans dat het ooit betaald wordt is nihil.

DAT hangt er dan weer van af wat hij met gegevens van 130 miljoen credit/debet cards heeft gedaan... 1 cent per kaart en hij heeft na de boete alsnog 8 ton winst...

ja gevaar zit m in kleine bedragen .
40 miljoen kaarhouders .
als je van elke kaarthoude 1 euro binnen krijgt is dat toch 40 miljoen ..

Was het CVC-nummer (op de achterkant van de credit card) niet de oplossing voor dit soort problemen? Dat controlenummer wordt júist gebruikt om te controleren of degene die de betaling/opdracht uitvoert de kaart ook in z'n handen heeft.

Ik neem ook aan dat deze CVC-nummers niet bekend zijn bij toko's als 7-Eleven e.d., aangezien het uit den boze is (of zou moeten zijn) om CVC-nummers op te slaan.

Ergo, het zou onmogelijk moeten zijn om producten aan te schaffen met de gestolen gegevens, of zie ik iets over het hoofd?

Was het CVC-nummer (op de achterkant van de credit card) niet de oplossing voor dit soort problemen? Dat controlenummer wordt júist gebruikt om te controleren of degene die de betaling/opdracht uitvoert de kaart ook in z'n handen heeft.
Dat klopt, maar je weet dan als winkel nog niet of degenen die die kaart in handen heeft ook daadwerkelijk de legitieme eigenaar is, op wiens naam die card staat. Een dief die de fysieke kaart heeft, heeft immers de CVC-code ook.

Daarnaast heeft toch nog niet elke card zo'n code, vooral de oudere cards? Afaik is het ook pas sinds 2001 verplicht om deze code bij een transactie te controleren?

Het punt is juist dat ze geen fysieke kaarten gestolen hebben, maar alleen gegevens. Hierbij zouden de CVC-nummers dus moeten ontbreken.

Het zou kunnen dat het een te nieuwe ontwikkeling is om in dit geval alle getroffenen te beschermen en daarbij zou je inderdaad wel gewoon transacties kunnen doen op plaatsen waar het CVC-nummer niet wordt gecontroleerd. Als die websites/winkels nu nog bestaan dan lijkt het me trouwens wel zaak dat daar *pronto* iets met CVC-nummers gedaan gaat worden.

Zo'n code bestaat ook maar uit 3 cijfers, ofwel 1000 mogelijkheden. Op 130 miljoen kaarten moet je er dan toch minsten 130 duizend in 1 keer goed kunnen hebben.

Probleem is alleen dat veel payment providers deze code ook gewoon opslaan. Immers de payment provider moet het cc-nummer + de CVC code controleren bij de creditcard maatschappij. De CVC code maakt het alleen iets moeilijker om (bestaande) creditcard nummers te genereren..

Echter websites en/o payment providers slaan de combinatie inclusief NAW gegevens op in hun database. Je moet voor de grap trouwens eens kijken in een beter restaurant hoeveel klanten hun creditcard gewoon aan de ober meegeven en zelfs de pincode vertellen..

Volgens justitie gebruikten de drie sql-injectie om toegang te krijgen tot de netwerken
En wanneer gaan ze de verantwoordelijke programmeurs/leveranciers hiervoor aansprakelijk stellen? SQL-injection is toch niets wat pas in 2006 is uitgevonden, dat was ook toen al een zeer bekende truc om applicaties te hacken om in achterliggende databases de data op te vragen . Prutswerk van de bouwers, de hackers hebben hier dankbaar misbruik van gemaakt.

Is het gebruik van prepared statements of het veilig escapen van data nu écht zo moeilijk? En het toekennen van de juiste rechten aan de verschillende databaserollen, is dat nu echt teveel gevraagd? Bedrijven die zo slordig omgaan met data, die verdienen het gewoon om te worden gehackt. Alleen jammer dat de consument hier het slachtoffer van wordt, deze bedrijven verdienen het om slachtoffer te worden. Ze vragen er tenslotte zelf om.

|:(

Ik denk dat je hierbij een beetje te kort door de bocht gaat. Natuurlijk is het onhandig of zelfs onprofessioneel dat er zulke lekker zijn, maar niemand heeft de hackers gevraagd om er misbruik van te maken. Ze hadden het ook gewoon even kunnen melden en er verder niks mee doen.

Daarbij, lees het boek "Release It!" van Nygard eens, dan zul je zien dat zelfs de grootste, duurste en best ontwikkelde enterprise-systemen per definitie bugs bevatten.

Sorry, maar het bevatten van bugs en zoiets simpels als SQL injection, dat zijn toch wel twee verschillende dingen. Van een auto mag je ook verwachten dat het stuur vastzit, of kom jij met enige regelmaat auto's tegen waarvan zomaar het stuur loslaat?

SQL injection is eenvoudig te voorkomen door een vaste structuur te gebruiken voor de interactie met de database, net zoals dat de autofabrikanten hebben uitgevonden hoe je op een veilige manier de stuurkolom moet monteren.

Dit is gewoon de overtreffende trap van "dom", dat mag je echt niet afdoen met de dooddoener dat iedere applicatie bugs bevat. Auto's zijn ook niet zonder gebreken, maar stuurkolommen die zomaar loslaten, dat komt gelukkig niet voor. Zeker niet met de regelmaat zoals SQL-injection plaatsvindt! Dit zegt iets over de ontwikkelaars (en hun werkgevers!) en het totaal gebrek aan structuur en kwaliteit. En het is zó simpel te voorkomen... Maar ja, men wil het gewoon niet voorkomen. Dan ook niet achteraf gaan janken dat iemand er misbruik van heeft gemaakt, dat had je vooraf kunnen bedenken.

En nee, ik wil het niet goedpraten, maar dit is toch wel een gevalletje eigen schuld dikke bult. Met als grootste probleem dat de consumenten slachtoffer zijn geworden en niet diegene die het probleem heeft veroorzaakt.

SQL injection is een keuze.

Okay, ik ben het wel met je eens. Maar het blijft wel zo dat niemand die hackers heeft gedwongen om daadwerkelijk misbruik te maken van het lek.

Klopt helemaal, niemand heeft ze gedwongen. Maar er is ook niemand die anderen dwingt om fietsen te stelen. Toch gebeurt dat dagelijks en zet iedereen zijn fiets op slot om diefstal lastiger te maken.

Je weet dat er cybercriminaliteit is, dus neem maatregelen om diefstal van gegevens tegen te gaan. Gelukkig is dat niet zo moeilijk, databases en programmeertalen zijn hierop voorbereid, alleen jammer dat men dit willens en wetens negeert.

Bedrijven vinden dat security geen belangrijk issue is en kennen hier onvoldoende budget aan toe (bv. voor testen, auditten, opleidingen), programmeurs die de deuren openzetten voor SQL injection en DBA's die applicaties (of eigenlijk: databaserollen) met teveel rechten laten werken waardoor er toegang is tot de (gevoelige) data. Wanneer je hier vanaf het begin rekening mee houdt, krijg je een eenvoudiger en vooral veiliger systeem. Waarschijnlijk is het zelfs goedkoper (beheer, onderhoud, risico's), zeker wanneer je vanaf het begin rekening houdt met beveiliging.

Dat is ook zo ja. Het is niet voor niets dat deze XKCD-prent (http://xkcd.com/327/) hier op m'n werk uitgeprint hangt ;-).

Toch vind ik dat Cariolive hier wel een goed punt heeft. Pas als de beheerders van de gegevens (of dat nu creditcards of medische gegevens zijn) (hoofdelijk) aansprakelijk kunnen worden gesteld voor het verlies van gegevens zal de beveiliging veel beter worden. Tot die tijd blijft dit gebeuren.

Dus de gegevens stelen van 130 miljoen mensen = 250.000$ (en 20 jaar)
Een paar nummertjes uploaden = gemakkelijk meer dan 1 miljoen $ en soms nog eens een gevangenisstraf (het zal er nog van komen)

Ik vraag mij echt af waar ze met hun gedachten zitten
«  1  2  »

Op dit item kan niet meer gereageerd worden.

Volgende 11:13 Lenovo werkt aan nettops en homeserver
Vorige 10:16 Ontwikkelaar port Ubuntu naar Windows Mobile-smartphone Omnia
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011