Hoofdcategorieën
Device Settings

[RSS] [quick] Index » Nieuws » Pro » Maatschappij » Privacy & beveiliging » Hackers bemachtigen privégegevens 114.000 iPad-kopers

Hackers bemachtigen privégegevens 114.000 iPad-kopers

Door Bauke Schievink, donderdag 10 juni 2010 10:39
Submitter: FvdM, views: 27.222

Gegevens van 114.000 mensen die een iPad 3G hebben gekocht zijn in handen van hackers gevallen. De hackers verkregen de gegevens door een beveiligingslek bij telecomprovider AT&T. De provider heeft het voorval bevestigd.

Bij de 114.000 bestellingen waarvan de gegevens werden buitgemaakt zitten orders van Amerikaanse politici, militaire organisaties en ceo's van bedrijven, zo meldt Gawker. De hackers, een groep die zichzelf Goatse Security noemt, verkregen e-mailadressen met daaraan gekoppeld een zogenaamd ICC-id, waarmee de bestelde iPad zich op het netwerk van AT&T kan identificeren. Op een http-request, met daarin een ICC-id en een user agent-profiel van de iPad, stuurde de server van AT&T het bijbehorende e-mailadres terug. Met behulp van een php-script werd het versturen van requests naar de server geautomatiseerd, waarna gegevens van meer dan honderdduizend iPad-orders in handen van de hack-groep vielen.

AT&T heeft inmiddels het beveilingslek verholpen. Aan Gawker meldt de provider zich voor de hack te verontschuldigen. AT&T gaat klanten waarvan het ICC-id en het e-mailadres zijn buitgemaakt op de hoogte stellen. Waarschijnlijk kunnen de hackers niet veel met het ICC-id; het is wellicht mogelijk om er een apparaat mee te spoofen om zo data te onderscheppen, maar de encryptie op dataverbindingen zou ervoor moeten zorgen dat dit niet zomaar mogelijk is.

iPad-order leak iPad-order leak
Volgende 11:12 Intel introduceert towerkoeler voor socket LGA1156
Vorige 10:06 'HTC werkt aan HD2 met fysiek qwerty-toetsenbord'
Advertentie

Lees meer over

Gerelateerde content

Reacties

Flat modeFlat mode Sorteer aflopendSorteer aflopend Moderatie FAQModfaq
Niveaufilter: -1 Ongewenst: 77 reacties zichtbaar770 Off-topic / Irrelevant: 70 reacties zichtbaar70+1 On-topic: 28 reacties zichtbaar28+2 Informatief: 3 reacties zichtbaar3+3 Spotlight: 0 reacties zichtbaar0
«  1  2  3  »

Door T-men, donderdag 10 juni 2010 10:55

Score: 1
Tjone-jonge wat een lol...

Dit soort hacks zijn nooit leuk. De gegevens vallen bijna per definitie in handen van de verkeerde personen.
Waarschijnlijk kunnen de hackers niet veel met het ICC-id;
Dat lijkt me een erg snelle conclusie. Waarom zouden de hackers al de moeite doen om zo veel gegevens te pakken kunnen krijgen ? Dat wekt alleen maar de aandacht van de systeembeheerders. Houdt het dan even bij een paar gegevens (proof of concept) en sla je slag wanneer je echt beet hebt.

Door lunanoko, donderdag 10 juni 2010 11:07

Score: 0
SanneVs reactie gaat dan ook over de naam van de hackersgroep, niet om de hack op zich. Ik moet zeggen dat ik het ook een leuke naam vond :)

Door DickCAH, donderdag 10 juni 2010 11:19

Score: 1
Het ICC-id hadden ze al, of om het anders te zeggen: Het ICC-id hebben ze gegokt. Daarmee hebben ze vervolgens een request gedaan.
Aan een gegokt ICC-id heb je waarschijnlijk niets, omdat je niet weet of het in gebruik is. Echter als er een email adres terug komt van AT&T, dan zal het ICC-id dus wel in gebruik zijn.

Omdat email adressen vaak best duidelijk aangeven wie en wat nu de echte persoon is, is je privacy daarmee aardig aangetast.

Maar op zich zijn er niet veel gegevens buitgemaakt. Hoewel die gegevens dan wel weer veel weggeven over de persoon.

Door croc, donderdag 10 juni 2010 12:42

Score: 0
114000 actieve mailadressen zal op de zwarte markt toch ook iets waard zijn lijkt me...

Door -krekel-, donderdag 10 juni 2010 13:21

Score: 0
Het zal nog wel leuk worden, krijgen ze eerst een mailtje van AT&T met "pas op voor de hackers", krijgen ze daarna weer een mailtje "pas op voor AT&T" en daarna een shitload aan onzin.

Door darkfader, donderdag 10 juni 2010 13:29

Score: 1
Een nep-email sturen van AT&T wat vraag om een bepaalde handeling uit te voeren om zo zogenaam het ICC-id te wijzigen zou een optie zijn.
Het zou me niets verbazen als dit id nog ergens te gebruiken valt.

Door Abomination, donderdag 10 juni 2010 12:54

Score: 0
Jep, Backdoor Security . . .

Door Topener, donderdag 10 juni 2010 10:42

Score: 1
Wow dat is toch wel een vrij vors lek. Ook de aantallen zijn erg groot gezien het aantal verkochte iPads.
Gelukkig opgelost, maar dit zou toch niet moeten kunnen?

ps: Was al even bang, heb zelf een reguliere iPad, en had al zoiets van hoe kunnen ze dat nou onderscheppen. Was ff de 3G vergeten

Door kmf, donderdag 10 juni 2010 10:52

Score: 1
De fout ligt dus helemaal puur bij AT&T. Het is niet zo dat de 3G-ipads gehacked zijn of zo.

En wat hebben ze daarna? Een lijstje met emailadresssen...

In principe hetzelfde mogelijke "lek" als een bepaalde nieuwsgroepenprovider die een klantnummer als username en de postcode als wachtwoord heeft.
Dus als je weet dat op een postcode iemand een abbo heeft, kan je gewoon een hoop nummers uitproberen om in te loggen. Niet dat ik dat geprobeerd heb of zo hoor.

Door D4NG3R, donderdag 10 juni 2010 10:44

Score: 0
Goatse Security? Errrrrr...

---

Beetje vreemd dat er zo'n groot lek is. Gelukkig koop ik nooit spullen van Apple (heb er behalve de prijs niks tegen nee ;) )

Door Torrentus, donderdag 10 juni 2010 10:49

Score: 1
Heeft alleen niet erg veel met Apple te maken. De fout ligt hier imho toch echt bij AT&T :)

Weer een lading Spam voor de founders/CEO's/Presidents en de andere 150.000 adressen :/

Edit: Goatse :X

[Reactie gewijzigd door Torrentus op donderdag 10 juni 2010 10:49]

Door Laudor, donderdag 10 juni 2010 10:50

Score: 1
Het is geen lek van Apple maar van AT&T (heb veel tegen Apple, maar dit is ze niet aan te rekenen).

Door mae-t.net, donderdag 10 juni 2010 14:49

Score: 0
Dat zegt Laudor om aan te geven dat hij ondanks eventuele vooroordelen inziet dat Apple zelf hier niet het probleem was. Dat is een valide statement om zijn uitspraak wat kracht bij te zetten.

Door edwingr, donderdag 10 juni 2010 15:59

Score: 0
Ja, neemt niet weg dat het jammer is dat je voor sommige mensen hier pas geloofwaardig bent als je zegt dat je een hekel aan Apple hebt.

Door blorf, donderdag 10 juni 2010 16:55

Score: 0
Als je het mij vraagt ben je volgens de meesten pas geloofwaardig als je niet de hele tijd loopt te raaskallen over merken, gebruiksvriendelijkheid en kwaliteit omdat je toevallig iets duurs hebt gekocht wat je om onduidelijke reden moet recht praten, maar waar je alleen maar mee speelt en er verder de ballen verstand van hebt.

Door mae-t.net, vrijdag 11 juni 2010 17:23

Score: 0
Misschien, maar daar doelde ik niet op. Door aan te geven dat je over het algemeen kritisch bent op het product maar niet op dit punt, heeft zo'n uitspraak meer nuance en geloofwaardigheid. Dat heeft niets met fanboyism te maken dat jij er nu bij betrekt.

Zo zal je mij zelf niet snel een Apple zien kopen; het concept sluit absoluut niet aan bij wat ik van een dergelijk product verwacht en de prijs/kwaliteitsverhouding ook niet. Desalniettemin erken ik dat het een mooi doortimmerd concept is en goed aansluit bij de behoefte van anderen. Zeg nu zelf, dat komt toch veel geloofwaardiger over dan dat ik me in het anti-kamp zou scharen omdat ik het zelf toevallig kul-producten vindt waarvoor betere alternatieven bestaan voorzover nodig.

Altijd maar dat eeuwige fanboy en anti-fanboy gedoe. Het lijken wel religies.

Door jeroen_loeffen, donderdag 10 juni 2010 10:50

Score: 1
Ik heb ook niks tegen Apple behalve de prijs, maar gelukkig heeft dit lek niets met Apple te maken, maar met de beveiliging van AT&T

Door Mr_gadget, donderdag 10 juni 2010 10:56

Score: 1
Het was volgens mij eerder een fout van AT&T dan van Apple.

Ik vraag me af of ze alle mogeljke id's zijn afgegaan of dat ze er al een aantal hadden?

Door mrprozac, donderdag 10 juni 2010 11:08

Score: 1
Aangezien de hackers gebruik hebben gemaakt van PHP om aanvragen te doen met een HTTP request zou de ICC-id's crosschecken met de logboeken van de servers die zijn misbruikt.

Door Rick2910, donderdag 10 juni 2010 10:47

Score: 2
Dit zie je in de praktijk wel vaker gebeuren, puur omdat de programmeurs geen rekening houden met 'kwade bedoelingen', oftewel dat hun interface ook gebruikt kan worden voor zaken die niet gewenst zijn. Daarbij heeft ook het netwerkbeheer bij AT&T gefaald, want zo'n automatisch script (zonder detection evasion) moet toch flink wat verkeer genereren (114.000 requests van één IP adres doet bij menig bank de alarmbellen rinkelen).
Security by design, dat hebben we nodig, plus gedegen security kennis bij de bouwers van dit soort code.
@mat.hi.as, zo simpel is het niet af te doen. Waarschijnlijk heeft iemand een iPad besteld en in het proces gezien dat een e-mail adres wordt terug gegeven bij invoer van een serienummer (oid). Dat is een interface die nooit naar buiten open had mogen staan, alleen al omdat het e-mail adres (en deels ook het serienummer) privé data is. Dit is geen 'klein foutje' maar het gevolg van een slecht doordacht (of niet aanwezig) applicatieplan.
En dit gebeurt vaker, log maar eens in op wat grotere sites terwijl je een HTTP sniffer open hebt staan (HttpFox, Live HTTP Header e.d.) en je zult schrikken hoeveel unencrypted data er verstuurd wordt, zelfs bij grote gerenomeerde bedrijven, om nog maar te zwijgen van bedrijven die wachtwoorden in plain text opslaan.

[Reactie gewijzigd door Rick2910 op donderdag 10 juni 2010 11:01]

Door mat.hi.as, donderdag 10 juni 2010 10:49

Score: 1
Ik neem aan dat ze daar wel rekening mee houden hoor, alleen kan het inderdaad dat er een foutje ontstaat, en dat hackers die vinden.

Door YopY, donderdag 10 juni 2010 11:53

Score: 1
het e-mail adres (en deels ook het serienummer) privé data is.
Discutabel. E-mail adressen kun je raden, en zelfs als je een emailadres hebt, weet je daarmee niks van de persoon achter het email adres. tenzij je toegang verkrijgt tot de inhoud van de bijbehorende mailbox. Mijn huisadres is ook geen privédata, dat staat gewoon in het telefoonboek (als ik een vaste telefoon had).

Door Rick2910, donderdag 10 juni 2010 12:24

Score: 2
Jouw huisadres is wel privé data wanneer deze gekoppeld is aan de aankoop van een iPad (het dievengilde zou dolgraag weten wat ergens te halen valt voordat ze een inbraak plegen). Dat is nou juist het hele punt: losse gegevens zijn niet zo spannend, het is 'het profiel' wat je krijgt als je data gaat koppelen.

Door madmaxnl, donderdag 10 juni 2010 16:49

Score: 1
Inderdaad maar iemand die een iPad überhaupt heeft aangeschaft kun je wel van uitgaan dat bij zo iemand wel wat te halen valt. Want als ook maar enigszins goed met geld omgaat omdat je er niet veel van heb koop je geen iPad maar een 13" notebook van 400 euro. Dit zal natuurlijk wel weer discutabel zijn maar het feit blijft dat je meer kunt met een 13" notebook dan een iPad. Ik zie de iPad dan ook als een leuke gadget om mee te reizen want in huis kun je je zelf veel beter toegang tot het internet verschaffen zoals internet op de TV en PC/MAC. Als je ook wilt werken en niet alleen vermaak wilt hebben bij het reizen ben je weer beter uit met de 13" notebook.
Dus ja iPad luxe artikel en kun je dat dus associëren met de rijkere huishoudens waar voor inbrekers wel wat te halen valt.

Door swartzkip, vrijdag 11 juni 2010 12:02

Score: 0
tja maar sommige mensen kiezen voor een paar kwalitatief goede en dus dure spullen, maar hebben dan 2 spijkerbroeken in plaats van 4.

Door Rizon, donderdag 10 juni 2010 14:10

Score: 0
Yey alle software oneindig lang blijven ontwikkelen door overbetaalde beveiligingsexperts. Resultaat is een office van €10 000, een browser voor €1 000 en internet abbo's vanaf €500/maand.

Mensen moeten eens leren dat hun leven niemand interesseert. In een wereld waar niemand waarde hecht aan die gegevens, zal ook niemand interesse hebben om ze te hebben.

Door mae-t.net, donderdag 10 juni 2010 14:53

Score: 1
Haha dat vind ik toch wat naief. Omdat iemand het (vooraf in theorie) niet erg vindt dat zijn gegevens worden misbruikt, zouden misbruikers er geen moeite voor doen? Jij denkt dat het een beetje stalken en pesten is inplaats van een multi-miljoenen-business met erg schadelijke gevolgen?

En zo moeilijk en duur is security niet hoor, er moet alleen wat meer aandacht aan besteed worden in de opleidingen en bij de softwaremakers (binnen een bedrijf 1 enkel mannetje aannemen met kennis van security kan al voldoende zijn om de rest op het rechte pad te houden).

Door Rick2910, donderdag 10 juni 2010 15:21

Score: 1
Twee dingen: 1) security is niet direct moeilijk, zeker niet als er al in het ontwerp rekening mee is gehouden en 2) het kost pas veel geld als het er achteraf ingebouwd moet worden. Dus als dergelijke bedrijven goede plannen maken voor systemen of interfaces, is het grootste obstakel al overwonnen.
Het probleem steekt vaak de kop op als externen onder tijdsdruk iets op moeten leveren. Het feit dat het hier om iPads gaat (zulke pagina's hebben vaak een keiharde deadline (is vaak haastwerk zonder testen), zeker bij zo'n high-impact product) zal er zeker mee te maken hebben.
Mensen moeten eens leren dat hun leven niemand interesseert. In een wereld waar niemand waarde hecht aan die gegevens, zal ook niemand interesse hebben om ze te hebben.
Nou in dat geval zou ik heel graag jouw BSN, volledige naam, adres, geboortedatum, geboorteplaats, bankrekeningnummer, e-mail adres, telefoonnummer en meisjesnaam van je moeder ontvangen. Want wie is daar nou in geïnteresseerd toch? Ik bijvoorbeeld, die daarmee een creditcard op jouw naam aan kan vragen. De reden dat je hier nu nog vrij weinig van ziet gebeuren (identity theft that is) is puur omdat er weinig misbruik van gemaakt wordt, niet dat er geen misbruik kàn plaatsvinden of dat men niet geïnteresseerd is.

[Reactie gewijzigd door Rick2910 op donderdag 10 juni 2010 15:32]

Door Macchillie, donderdag 10 juni 2010 10:48

Score: 0
Dat doen ze vrij netjes als ik dat zo mag omschrijven...
Mooi dat ze (waarschijnlijk) niks met die codes kunnen doen, maar wel met die mailadressen natuurlijk.. }>

Door sebasmac, donderdag 10 juni 2010 10:55

Score: 0
Zelf een apple fan, maar dit kan natuurlijk nooit apple zijn fout zijn :D
Heb ook een ipad maar dan wel de wifi versie

Door GuidoKuitE, donderdag 10 juni 2010 10:58

Score: 0
Als T.net de zwarte balken in de 2 screenshots hebben verzorgd, mag dat wel wat netter gebeuren. Cijfers zijn soms nog te lezen en je hoeft geen Einstein te zijn om van <xxxxxxxx>@bloomberg.com >micheal<@bloomberg.com te maken.

[Reactie gewijzigd door GuidoKuitE op donderdag 10 juni 2010 10:59]

Door sundace, donderdag 10 juni 2010 11:08

Score: 0
het zou ook nog mbloomberg, m.bloomberg, michael.b etc. kunnen zijn :)
overigens zijn de meeste adressen uit het 2de screenshot toch wel algemeen bekend.

Door Steffannnn, donderdag 10 juni 2010 11:08

Score: 1
Dan moet je toch beter kijken volgens mij, want ik zie blij die bloomberg toch echt een letter onder het zwarte deel uit komen. Zal dus eerder iets zijn als m.bloomberg@....
Daarnaast wil ik weleens weten of jij de exacte cijfers kan achterhalen met behulp van de afbeelding, mij lukt het niet.

Door kmf, donderdag 10 juni 2010 11:09

Score: 0
alsof <voornaam>@<bedrijf>.<ext> al niet volop aanwezig is in alle spamlijsten :)

Door Rutix, donderdag 10 juni 2010 12:02

Score: 1
De pictures komen zo te zien van Gawker af en dus heeft T.net de zwarte balken niet verzorgt.

Door sundace, donderdag 10 juni 2010 11:06

Score: 0
met het ID kunnen ze mss niet zo veel doen...
maar met het emailadres vast wel.

Door John1488, donderdag 10 juni 2010 11:06

Score: 0
Wel raar dat er zo'n lek is ontstaan. Ik koop ook nooit spullen van Apple mij te duur ^^. Maar ik ben wel blij voor de mensen dat het is verholpen.

Door KimG, donderdag 10 juni 2010 11:21

Score: 0
De hackers verkregen de gegevens door een beveiligingslek bij telecomprovider AT&T.
De fout zit dan ook niet bij Apple maar bij AT&T. Het had net zo goed een Nokia, HTC, Blackberry of Palm, ... kunnen zijn. Maar goede reclame is het natuurlijk niet, weer een zaak waaruit blijkt dat onze privacy & persoonlijke gegevens door nalatigheid & slechte beveiliging te grabbel liggen op het internet. Niet alleen is er dus nog veel werk voor de overheid maar ook voor bedrijven blijkbaar :)

[Reactie gewijzigd door KimG op donderdag 10 juni 2010 11:21]

Door johnkeates, donderdag 10 juni 2010 11:38

Score: 0
Dan koop je dus spullen van hardware fabrikant X en dan zet je d'r Microsoft software op en dan wordt je gehackt.. da's ook niet echt de oplossing he :)

En verder heeft het niks met apple te maken, behalve dat de abbo's bij AT&T toevallig op de iPad gebruikt worden.


Verder heeft zeiken dat "Apple duur is" totaal geen zin, als je kwaliteit koopt is dat nou eenmaal waardevollder dan goedkope plastic rommel.

Je gaat toch ook niet klagen als je een BMW koopt dat ie duur is? Of dat je Toyota Aygo zo goed is en beter is dan al het andere om dat het 'Niet zo duur is als [betere auto x]'

Door Rizon, donderdag 10 juni 2010 14:15

Score: 0
Zeiken dat Apple betere/andere hardware gebruikt dan de rest heeft ook niet veel zin.
Als BMW een Aygo verkoopt met hun eigen merknaam erop, gaan mensen het ook niet slikken dat hij veel duurder is.

Door arjankoole, donderdag 10 juni 2010 14:53

Score: 0
Inderdaad, en helemaal terecht, omdat het dan Aygo hardware is, en niet BMW hardware.

Door Bazilfunk, donderdag 10 juni 2010 13:05

Score: 0
Heeft niks met Apple spullen te maken. AT&T klanten hebben hier last van.

Door R.plas, donderdag 10 juni 2010 11:13

Score: 0
Dit is overduidelijk een fout van de AT&T.
Dit heeft dus niks met apple te maken
«  1  2  3  »

Op dit item kan niet meer gereageerd worden.

Volgende 11:12 Intel introduceert towerkoeler voor socket LGA1156
Vorige 10:06 'HTC werkt aan HD2 met fysiek qwerty-toetsenbord'
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011