Verizon bevestigt dat gegevens van zes miljoen klanten online te vinden waren

De Amerikaanse provider Verizon heeft bevestigd dat gegevens van zes miljoen klanten in een publiekelijk toegankelijke database stonden. Het bericht volgt op de ontdekking van de gegevens door onderzoeker Chris Vickery van beveiligingsbedrijf UpGuard.

Verizon doet de uitspraken tegenover CNN en claimt dat de gegevens niet zijn gestolen of uitgelekt. Het zou gaan om data van klanten, waaronder telefoonnummers, namen en pincodes die dienen ter identificatie bij de provider. Het beveiligingsbedrijf zegt tegen CNN dat de gegevens daarmee interessant zijn voor scammers om zo toegang te krijgen tot een Verizon-account en andere accounts, ook al zijn die voorzien van tweetrapsauthenticatie.

Vickery deelde zijn ontdekking in eerste instantie met ZDNet. Hij zegt dat het gaat om gegevens van veertien miljoen klanten die de Amerikaanse provider in de afgelopen zes maanden via de klantenservice hebben gecontacteerd. Hij vond de data op een onbeveiligde Amazon S3-server met 'een eenvoudig te raden adres'. De server behoort toe aan het Israëlische bedrijf Nice Systems, dat zich richt op klantcontact en fraudebestrijding. Volgens ZDNet is 85 procent van de Fortune100-bedrijven klant bij Nice Systems.

De onderzoeker vond de gegevens eind juni. Het duurde een week voordat ze uiteindelijk offline zijn gehaald. Volgens Vickery gaat het bij de gegevens om zes maanden aan logbestanden, verdeeld over verschillende mappen. In sommige gevallen waren aanvullende gegevens aanwezig, zoals e-mail- en thuisadressen. Bovendien zou er een veld zijn voor de 'frustratiescore' van een klant, gebaseerd op het taalgebruik tijdens een gesprek.

Reacties (19)

6 of 14 miljoen? ik vind het verschil nogal groot.

https://www.security.nl/p...se+Verizon-klanten+gelekt

Update
In een reactie aan de media laten NICE Systems en Verizon weten dat de gegevens van 6 miljoen gebruikers zijn gelekt, en niet 14 miljoen zoals UpGuard beweert.

Wellicht 6 miljoen gebruikers, die gecombineerd 14 miljoen contactmomenten hadden en dus dubbel voorkomen in de database.

14 million records of subscribers...
The customer records were contained in log files that were generated when Verizon customers in the last six months called customer service...
contained several daily log files, apparently recording customer calls

[Reactie gewijzigd door th4k1ck3r op 13 juli 2017 09:44]

De 14 miljoen was de originele claim, de 6miljoen lijkt het daadwerkelijk aantal te zijn in die database.
(UPDATE: 3 PM PST - Both NICE Systems and Verizon have since confirmed the veracity of the exposure, while a Verizon spokesperson has claimed that only 6 million customers had data exposed).

De Amerikaanse provider Verizon heeft bevestigd dat gegevens van zes miljoen klanten in een publiekelijk toegankelijke database stonden.
...
Verizon doet de uitspraken tegenover CNN en claimt dat de gegevens niet zijn gestolen of uitgelekt.

Hoe kunnen ze nou claimen dat de boel niet is uitgelekt, als het gewoon publiekelijk toegankelijk is? Iedere Jan met de Korte Achternaam kan er een minstens een week lang bij, maar Verizon claimt dat er niemand bij is geweest behalve degene die het heeft gemeld? Daar trapt toch niemand in...

Het kan natuurlijk wel zo zijn dat er logs waren van wie op deze database connecteerde. Dus op basis daarvan zou men dit kunnen zeggen. Maar een bedrijf als Verizon is nu niet bepaald betrouwbaar als het op dergelijke statements aankomt. Ze zouden prima in staat zijn om alle niet-koosjere log entries te verwijderen om hun standpunt te 'bewijzen'.

Klopt, maar dat is ook het enige wat je kunt zeggen: 'we hebben gezien dat ip-adres x en y op datum z verbonden waren'. Het lijkt mij heel onwaarschijnlijk dat daaruit is gebleken dat er niemand was.

Dat kan heel goed. Ze houden sowieso bij wie er allemaal waar vandaan met de database verbinden.

Ik doelde dan ook meer dat het me onwaarschijnlijk lijkt dat er niemand anders op is geweest, niet dat de logs dat niet kunnen aantonen.

Ben benieuwd hoe deze frustratiescore is opgebouwd.
Misschien dat als je maar flink veel scheldwoorden gebruikt tijdens je belletje of email dat je sneller geholpen wordt?
Iemand ervaring met een dergelijk systeem in Nederland?

Misschien dat als je maar flink veel scheldwoorden gebruikt tijdens je belletje of email dat je sneller geholpen wordt?

Ja, zo werkt het, samen met een paar andere aspecten, zoals het volume waar je op praat (boze mensen praten harder). Het idee is natuurlijk dat je boze klanten een beetje extra moet helpen zodat ze niet weglopen.
Het schijnt, ik heb het nooit kunnen bewijzen, dat als je in de wachtrij staat het zin heeft om tegen de telefoon te schelden zodat de telefooncomputer je voorrang geeft. Het schijnt dat de betere systemen ook volgen hoe lang je al in het telefoonmenu zit en als je te lang blijft zoeken dan wordt je met een mens doorverbonden.

Mijn ervaring in Nederland is dat ik over het algemeen alles voor elkaar krijg door je frustratie te uiten maar wel respectvol te blijven. Dan zijn medewerkers ook veel meer bereid voor je te doen.

Bovendien zou er een veld zijn voor de 'frustratiescore' van een klant, gebaseerd op het taalgebruik tijdens een gesprek.

Geweldig toch hoe bedrijven inventief omgaan met de consumenten.

Nou, dit kan best handige data zijn voor een klantenservice. Stel dat de scores op een schaal 1 tot 5 (waarbij 1 geen frustratie en 5 zwaar gefrustreerd) ingedeeld staan en 40% scoort een 5. Dan weet je dat je hier iets mee moet.

Harder negeren waarschijnlijk

Is ook een optie, maar ik zou er mee naar de business afdeling stappen en er werk van maken

De server behoort toe aan het Israëlische bedrijf Nice Systems, dat zich richt op klantcontact en fraudebestrijding

Oh ironie.

http://www.zdnet.com/arti...mer-records-israeli-data/

Vickery said, however, that there was evidence that data from Orange, a European telecoms provider was for a time also stored on the exposed server, according to Vickery, suggesting the data exposure may not be limited to Verizon. (Orange did not respond to a request for comment.)

Wat doet data van Orange op een (onbeveiligde) server van Verizon?

Hij vond de data op een onbeveiligde Amazon S3-server met 'een eenvoudig te raden adres'. De server behoort toe aan het Israëlische bedrijf Nice Systems, dat zich richt op klantcontact en fraudebestrijding

Het was dus geen server van Verizon.