Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Door , , 43 reacties

De hackers die onlangs inbraken op het e-mailaccount van CIA-directeur John Brennan hebben meer gegevens buitgemaakt dan aanvankelijk bleek. Zo is er ingebroken op een portal van de Amerikaanse autoriteiten waarop gegevens staan van arrestanten, en informatie over terrorisme.

Digitale spionHet gaat om de hackersgroep 'Crackas With Attitude', zo meldt Wired. De site heeft contact gehad met een van de hackers van de groep, die bewijs aanvoerde voor de inbraak. Volgens deze persoon, die bekendstaat onder het pseudoniem 'Cracka', heeft zijn groep toegang weten te verkrijgen tot een dataportal die gebruikt wordt door Amerikaanse autoriteiten, waaronder de politie en de FBI. Via deze portal, met de naam Joint Automated Booking System, is het mogelijk om informatie op te zoeken over personen die door de politie zijn gearresteerd.

In deze database zit ook informatie van personen die nog voor de rechter moeten verschijnen. Van deze mensen waren 'alle persoonlijke gegevens' beschikbaar, zo meldden de hackers. Als informatie over hun arrestatie vrijkomt kan dat voor hen schadelijk zijn. Ook worden er problemen voorzien voor de misdaadbestrijding, omdat arrestanten soms worden ingezet als informanten voor de politie. Criminelen kunnen er zo bijvoorbeeld achter komen dat de politie hen op het spoor is.

De hackersgroep kreeg via de genoemde portal ook toegang tot informatie over schietpartijen en mogelijke terroristische activiteiten. Verder bevat de portal nog allerlei tools, zoals een chatdienst voor personeel en bestandsuitwisseling. Ook is er toegang tot allerlei software voor het bestrijden van hackers en digitale aanvallen.

Vooralsnog is niet duideiljk hoe de hackers toegang tot de dataportal hebben gekregen; omdat zij nog bezig zijn met het vergaren van informatie uit de servers wordt de gebruikte kwetsbaarheid voorlopig nog niet vrijgegeven. Onduidelijk is of de Amerikaanse autoriteiten op de hoogte zijn en het lek al hebben gedicht.

De hackersgroep 'Crackas With Attitude' brak eerder in op de privémailbox van CIA-directeur John Brennan. Ze zouden in totaal veertig e-mails met bijlagen in handen hebben gekregen. Naar eigen zeggen bestaat de groep uit minderjarigen.

Moderatie-faq Wijzig weergave

Reacties (43)

Je hackt niet zomaar de grootste binnenlandse en buitenlandse inlichtingenorganisatie van de wereld. Dit gaat hen heel zuur opbreken, ze beseffen het alleen nog niet.

Wat Snowden deed, daar kunnen veel mensen/landen achter staan omdat het doordacht en met een duidelijk ethisch doel was. Geniet je meteen een stuk meer bescherming. Wat hier gebeurt is zomaar wat doen omdat het kan. Daar krijg je weinig sympathie voor. En weinig bescherming...
Hier zal inderdaad ongetwijfeld een staartje aan komen voor de hackers. Maar ik heb liever dat dit soort groeperingen de overheid 'pentesten', dan kwaadwillende regimes. En we zijn het er allemaal over eens dat er geen betere motivatie is om de beveiliging aan te scherpen en meer budget vrij te maken dan het slachtoffer worden van een inbraak.

[Reactie gewijzigd door densoN op 7 november 2015 12:17]

Klopt deels. Geen van beide is eigenlijk goed. Als je weet dat deze groepering (aanvankelijk) vooral uit tieners bestaat, weet je dat wat ze doen, heel impulsief kan zijn en onvoorspelbaar.
Als ze even beslissen alles gewoon publiekelijk naar buiten te gooien, heb je een probleem.

Terwijl bij 'kwaadwillende' regimes, je weet dat ze het waarschijnlijk gewoon gaan gebruiken als informatiebron voor hun eigen tactieken etc, maar niks 'impulsief'.

Het beste blijft nog steeds professionele pen-testers of vrijwillige die het gewoon aangeven maar verder niks 'kwaadaardigs' doen.
Maar ik heb liever dat dit soort groeperingen de overheid 'pentesten', dan kwaadwillende regimes.
Uiteraard. Ik maak me meer zorgen dat dit soort informatie sowieso te benaderen is door onbevoegden. Die crack-kiddies gaan er mee bluffen waardoor we het weten, vijandige organisaties zullen het stil houden en misbruiken.
Inderdaad een hack kan ten goede komen van bescherming en veiligheid maar hackers hebben vaak wel het technische inzicht maar geen inzicht over het algemeen belang.

De straf moet dan ook gepast naar de gevolgen zijn en een hacker kan niet zeggen "ik wist de gevolgen niet" want daarom is het ook een Hack en ze weten donders goed wat dat betekend.
De vraag die de USA moet stellen is waarom deze directeur toegang had tot deze portal. Hij is immers geen opsporingsbevoegde.
Waar staat dat ze toegang hebben verkregen via de directeur? Misschien hebben ze inderdaad gewoon log-in gegevens gevonden in een van de mails. Maar ze willen niks over de 'kwetsbaarheid' kwijt. Dus we weten niet hoe ze hieraankomen, en dus ook niet dat het via de directeur was.
Misschien snap ik het niet maar hoe kunnen er tegenwoordig zoveel hacks zijn bij partijen waarvan je mag verwachten dat ze hun beveiliging op orde hebben

Soms denk ik dat het express gebeurt om weer een reden te hebben om weer een cyber oorlog te beginnen of dergelijke.

Nog erger onze privacy word blijkbaar door Amerika / Nederland niet gewaarborgd, en de overheid kan de gegevens zelf niet eens veilig bewaren.
Wat veel mensen niet snappen is dat, ongeacht de sterkte van de beveiliging, de mens altijd de zwakste schakel zal zijn.

Dit betekend dus dat je een organisatie als de CIA kan beveiligen tot je een ons weegt, als de procedures rondom deze beveiliging niet gevolgd worden, is de beveiliging uiteindelijk gatenkaas.

Nu zou je kunnen zeggen dat je bij de CIA verwacht dat mensen de procedures rondom beveiliging volgen. Er zijn echter altijd een aantal individuen die deze procedures of niet volgen, of half-half uitvoeren.

Een paar jaar geleden was er een artikel (kan de link niet meer vinden helaas) over social engineering bij fortune500 bedrijven. Bij het overgrote deel van de bedrijven, was een hacker in staat om gewoon naar binnen te lopen en een router in te prikken om vervolgens zo toegang te krijgen tot het netwerk en zijn informatie.

Dit zijn bedrijven waarvan je verwacht dat ze hun geheimen wel degelijk goed beveiligen (soms nog beter dan organisaties van de overheid).

Mijn punt is dus, dat beveiliging alleen maar zo goed is als je zwakste schakel, wat in 90% van de gevallen altijd de mens is. Ga maar eens na hoeveel mensen in je bedrijf het wachtwoord ergens op een papiertje hebben opgeschreven, of hem nog in hun mailbox hebben staan en nooit veranderd hebben.
Dit soort dingen zijn allemaal te voorkomen met two factor authentication. Dat maakt een gestolen of geraden wachtwoord alsnog onbruikbaar. Waarom is dat niet verplicht voor zulke systemen of mensen die werkzaam zijn een overheidsinstantie?
Ligt er maar net aan welke versie van tfa er gebruikt word.
Als het is dmv sms verificatie is die simpel te omzeilen door iemand zijn telefoon te hacken en de sms'en onderscheppen. Door iemand zijn telefoon te hacken kan je achter zoveel meer dingen komen. Het kan ook via spearfishing zijn gedaan. Dus tfa is niet zaligmakend.
Geen enkele oplossing is zaligmakend maar iedere stap is wel een extra obstakel.
Dat geen enkele oplossing zaligmakend is meteen ook de reden waarom we voorzichtig moeten zijn met data. Maak data benaderbaar met in het achterhoofd dat het systeem gehackt zal worden. Dit noopt vervolgens tot voorzichtigheid.
Bij sms tfa had OOK zijn telefoon gehacked/gestolen moeten worden, wat precies het idee is van tfa.

Nergens wordt gezegd dat tfa zaligmakend is,er bestaat per definitie geen perfecte/zaligmakende securiy. Er is altijd een tradeof tussen usability en security.
Dit soort dingen zijn allemaal te voorkomen met two factor authentication. Dat maakt een gestolen of geraden wachtwoord alsnog onbruikbaar. Waarom is dat niet verplicht voor zulke systemen of mensen die werkzaam zijn een overheidsinstantie?
Wie zegt dat dit niet al gebeurt ?
Heb jij inzicht / inzage in de dagelijkse bedrijfsprocessen van de CIA, of enig ander overheidsdienst ?
Dat je zo nu en dan leest over een misstap, of hackersgroep die zichzelf tot legende's wil verklaren, wil niet zeggen dat het A Juiste info betreft, of dat ze nog steeds toegang hebben.

De rode lap 'oveheid - ICT fail' is geen allesbedekkende mantel, er gaat 99% gewoon goed elke dag.
Net zoals dat er op een opleidingsinstituut weleens een slecht cijfer gegeven worden ten onrechte, gaat er in het echte leven ook wel eens wat mis.
De overdheid staat alleen wat sneller in het 'mediaoverzicht'
Er gaat 99% van de keren altijd goed omdat niet iedreeen aan het "hacken" is of bezig is met informatie vergaring, als iedreen met pc en internet verbinding zou hacken wil ik wel zien hoe veilig allez is.
Alhoewel ik me enorm sympathiseer met de (naar mijn mening white hat) hackers, omdat natuurlijk te dom voor woorden is dat de baas van de CIA een privé e-mail gebruikt, vrees ik toch dat deze hackers een flinke gevangenis straf tegemoet kunnen zien als ze gepakt worden. Ik zie het niet gebeuren dat John Brennan ook maar enigszins het boetekleed aan zal trekken.
De mails dateren van een moment dat deze man niet voor de CIA werkte maar een eigen beveiligingsbedrijf runde. Daar is dus al niet veel mis mee.
De mails dateren van een moment dat deze man niet voor de CIA werkte

Ik snap wat je wilt zeggen, maar wat moet een "particulier" dan met overheidsgegevens?
Niet allemaal hoor. Deze hackers-groepering bestaat (naar eigen zeggen) voor het grootste deel uit tieners op de middelbare school. Natuurlijk is het in Amerika mogelijk om een vonnis met als uitkomst gevangenis te krijgen als minderjarige, maar de kans is natuurlijk wel kleiner.

Ik ben ervan overtuigd dat de minderjarige van deze groepering een zware straf krijgen, maar ik betwijfel of ze effectief gevangenisstraf gaan krijgen.

Buiten dat, komen er toch een paar twijfels in mij naar boven. 1) Hebben ze het wel effectief gehacked? 2) Zijn zij de eigenlijke hackers?

1) De foto die ze hebben opgestuurd als bewijs, ziet er volgens mij vrij legitiem uit; alhoewel iedereen met basis HTML kennis, dit zou kunnen namaken, er een screenshot van kunnen trekken, en zeggen dat ze het gehacked hebben. Ook willen ze geen extra informatie vrijgeven, over hoe ze het gehacked hebben, wat ook een aanwijzing zou kunnen zijn dat het misschien bluf is.

Buiten een paar gegevens van zogenaamde werknemers daar (die iedereen met een beetje zoeken op het dark web kan terugvinden van vorige breaches), en de sketchy foto, hebben ze geen bewijs.

2) Dat ze eerst via social-engineering het privé-mailadres van de CIA-baas hebben 'gehacked' kon ik nog geloven. Maar dat ze een portaal van de FBI hebben gehacked, lijkt me al wat straffer; en doet me toch denken dat er misschien meerderjarige in het spel zijn met meer ervaring. Maar ze het gewoon slim spelen en de 'eer' (maar dus ook de sanctie) op deze jongeren afschuiven. Natuurlijk is het mogelijk dat ze het inderdaad effectief gehacked hebben (het portaal is ook al oud), maar het lijkt me straf.

Ik vraag me dus af, of deze jongeren effectief het wel hebben gehacked, of dat ze gewoon de eerstrijkers, spreekbuis, en in de toekomst klappenvanger van een andere groepering zijn. Of misschien is er iets diepers aan de gang. Of dat ze gewoon een paar random gegevens van werknemers gelekt bij oudere breaches hebben gezocht op het internet, om nu te gebruiken als bewijs voor hun nieuwe neppe 'hack'.

Wat ook zou kunnen natuurlijk, is dat ze gewoon log-in gegevens in een van de mails gevonden hebben (van hun vorige mail-hack) en zo wel authenticatie hebben kunnen verkrijgen. Dit zou ook verklaren waarom ze niks kwijt willen van de hoe-en-wat, gewoon authenticatiegegevens aflezen is namelijk minder 'cool' dan het te hacken.

Afwachten tot wat de autoriteiten hierover te zeggen hebben.

[Reactie gewijzigd door ONiel op 7 november 2015 15:08]

Deze hackers-groepering bestaat (naar eigen zeggen) voor het grootste deel uit tieners op de middelbare school. Natuurlijk is het in Amerika mogelijk om een vonnis met als uitkomst gevangenis te krijgen als minderjarige, maar de kans is natuurlijk wel kleiner.
Minderjarig zijn is bepaald geen vrijbrief om alles te kunnen doen wat je wilt en er zomaar mee weg te komen.

Voor een misdaad die je op je twaalfde begaat kun je levenslang-zonder-kans-op-vervroegde-vrijlating krijgen: Lionel Tate.
Zelfs de doodstraf is mogelijk voor minderjarigen: geëxecuteerde minderjarige criminelen.

Het probleem voor de daders is vooral dat ze met een beetje pech aangeklaagd kunnen worden voor terrorisme; ze hebben immers de overheid "aangevallen"...

[Reactie gewijzigd door robvanwijk op 7 november 2015 22:16]

Als je toegang hebt tot een mailbox, is een password reset voor dat systeem behorend bij dat mailadres ook zo aangevraagd. Zit wellicht dus geen tweestaps authenticatie in.
Login gegevens kun je ook krijgen als je toegang tot een mailaccount hebt.
Je kan denken aan password reset van het portaal, reset komt dan naar je mailbox waar je toegang toe hebt en zie daar je hebt toegang.
Hacken blijft een misdrijf ongeacht de informatie en bedoelingen maar deze informatie is zeer gevoelig van burgers tot terroristen van bekeuringen tot aanslagen.

Als Crackas deze lijst deelt dan kunnen ze hun eigen namen eraan toevoegen en de gevolgen onder ogen zien of vluchten.

Hoe zou jij het vinden als je ouders een crimineel lijst lezen waar hun zoon of dochter lief bij staat.. laat staan ongewenst contact van bepaalde figuren.

Als Crackas deze informatie gaat delen dan mag de wereld ook weten uit wie Crackas bestaat en hopelijk zullen hun zich dan melden bij de overheid voordat die kans ontnomen wordt.
ik denk dat er met zo'n lijst wel veel ergere dingen kunnen gebeuren dan dat papa en mama weten dat je eens bent gearresteerd omdat je stond te wilplassen of teveel hebt gedronken.
Inderdaad gevolgen voor familie en relatie is er één daar kan werk en aanzien nog bijkomen en het eind gevolg kan zijn dat mensen juist naar criminaliteit getrokken worden.

Als de gemeenschap jou als crimineel ziet en de criminele wereld ziet het ook zo dan zit je er midden in en dat is juist vaak de reden waarom criminelen weinig tot niks kunnen veranderen want de keuze is beperkt door verschillende systemen.
Het kan inderdaad ook gevolgen hebben in de criminele wereld van nationaal tot internationaal waarbij regeringen en burgers bij betrokken zijn of worden.

Als deze informatie schade veroorzaakt in welke vorm dan ook dan zal Crackas mede verantwoordelijk zijn ongeacht hun leeftijd en bedoelingen.
Gevolgen?

Wat als ze al gehacked zijn? Dat er gegevens vrij zijn gekomen is nu pas bekend, dat het niet eerder gebeurd zou zijn is je kop onder het zand steken.

De grap is dat het uitgerekend een leidinggevende moet zijn.
Hoeveel schade er is en hoeveel schade nog beperkt kan worden moet nog blijken.

Het lijkt mij dat hoe minder openbaar wordt gemaakt des te beter en wie voor wat verantwoordelijk is aan de betrokken partijen.
Mijn inzicht over Hacken is vrij beperkt vooral het techische en wettelijke gedeelte dus misschien is het beter voor de kwaliteit van deze Topics dat ik het aan mij voorbij laat gaan.

Maar elke boeren snikkel kan begrijpen dat dit verhaal gevolgen heeft in negatieve zin dus daarom toch mijn mening over deze Hack hoe zinloos het ook is en Hacken in het algemeen.

Als er onrechtmatig ingelogd wordt dan kan er al schade zijn aan bijvoorbeeld de overeenkomst tussen het bedrijf en de beveiligings firma als er dan ook nog informatie gestolen wordt dan heeft het zeker gevolgen voor het bedrijf of firma.

Hackers kunnen dan wel contact opnemen met het bedrijf of firma om een oplossing voor te stellen maar dat gaat tijd en geld gaat kosten en deze oplossing is maar tijdelijk tot de volgende Hack.

Als het bedrijf of firma niet wil samenwerken met deze Hacker dan is er kans dat deze informatie naar buiten komt met wat voor gevolgen voor klanten en het bedrijf en firma moet nog blijken maar dat er schade is aan vertrouwen en financien en privacy is duidelijk.

Hoe het wettelijk in details is weet deze boer niet maar het lijkt mij op Diefstal en mogelijk Chantage onder het mom van een betere beveiliging en inderdaad van vele instanties verwacht je meer en beter.

Hacks blijven gebeuren ongeacht de preventies maar het verschil is in de informatie en intentie met Snowden als voorbeeld daar heb ik wel sympathie voor.

[Reactie gewijzigd door JehannesWeggen op 9 november 2015 13:57]

Even off-topic: het lijkt de laatste Homeland wel, ook daar wordt de CIA gehackt :)
Je mag toch verwachten (hoewel...) dat die portal over allerlei (heuristische) beveiliingen beschikt die het zoekgedrag bewaakt, waarmee en vanaf waar geconnect wordt, hoe vaak/hoe laat, etc. en dan ergens alarmbellen laat afgaan.
iets met potten en zwarte ketels, het graven van kuilen loontjes en boontjes en iets met kaatsen van een bal...
Iets met tang en varken...
Wat zij deden (als het waar is) vereist meer 'moed' of 'durf' dan op straat komen en een snoepzakje uit het Kruidvat stelen.

Natuurlijk is er een grote kans dat ze de risico's (zéér) fout inschatten, of dat ze een vals gevoel van veiligheid hebben (de groepering volstaat vooral uit tieners), maar als ze iets van besef hebben en weten waar ze mee bezig zijn, hebben ze ook redelijk veel durf.

Ik zou ze niet direct afschrijven als' "LOIC-DoS'ers", of "Darkcomet-hackers" wat die 'hackers' zijn wel mensen zoals jij ze beschrijft. Maar ik denk dat degene waar we nu over spreken van een iets hoger niveau zijn dan LOIC/Darkcomet.

[Reactie gewijzigd door ONiel op 7 november 2015 14:43]

Op dit item kan niet meer gereageerd worden.



Apple iOS 10 Google Pixel Apple iPhone 7 Sony PlayStation VR AMD Radeon RX 480 4GB Battlefield 1 Google Android Nougat Watch Dogs 2

© 1998 - 2016 de Persgroep Online Services B.V. Tweakers vormt samen met o.a. Autotrack en Carsom.nl de Persgroep Online Services B.V. Hosting door True