Sites van Belgische banken ING en Dexia gehackt

Een Roemeense hacker is erin geslaagd sites van de Belgische banken Dexia en ING binnen te dringen door middel van een sql-injectie. Ook sites van de bank HSBC France en de Italiaanse nationale postdienst bleken vatbaar voor sql-injecties.

Een Roemeense hacker die zichzelf 'Unu' noemt, heeft inmiddels al heel wat sites kunnen binnendringen met sql-injecties. Onder andere sites van het Britse parlement, Orange en Yahoo bleken kwetsbaar. Unu heeft nu Dexia, ING, HSBC France en Poste Italiana aan dit rijtje toegevoegd. Van de hacks is die van HSBC France het omvangrijkst: Unu claimt dat hij volledige toegang kreeg tot de Microsoft SQL-server van de bank en dat de wachtwoorden van de beheerders in platte tekst te vinden waren. Bovendien werd op mails naar de beheerder, naar abuse en naar security gereageerd met standaardmails die meldden dat de betreffende personen op vakantie waren. 

De hack van ING Belgie betreft de site van de Gift Shop. De url toont aan dat hiermee toegang is verkregen tot de ING-server, zij het beperkt. Volgens Unu moet verdere toegang niet moeilijk zijn en ook hier waren de wachtwoorden van de beheerder onversleuteld opgeslagen. Ook kon hij klantgegevens inzien, inclusief wachtwoorden. "Dit betekent dat er een gebrek aan veiligheid was", erkent Ilse De Muyer, woordvoerster van ING tegenover VTM Nieuws, die overigens beweert dat er geen link is met bankgegevens van klanten.

Niet alleen kreeg de Roemeen toegang tot de Dexia-database, ook kwam hij erachter dat load_file execution mogelijk was, waarmee hij nagenoeg volledig beheer kon verkrijgen over de Ubuntu-server van Dexia na het injecteren van kwaadaardige code in een beschrijfbare map. Volgens Dexia ging de oorspronkelijke hack om een site met koersinformatie die werd beheerd door een externe partij en zou deze site geen link hebben met de bankgegevens van klanten. De laatste hack die Unu op zijn site meldt, is die van de site van Poste Italiane, waarbij hij toegang verkreeg tot de Oracle-backend. De hacker zou geen gegevens buitgemaakt of gepubliceerd hebben en de banken enkel op de beveiligingsproblemen hebben willen wijzen.