Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Hackers lekken wachtwoorden van socialemedia-accounts van HBO

Een groep hackers is aan de inloggegevens van verschillende socialemedia-accounts van HBO gekomen en heeft deze gedeeld met Mashable. De gelekte wachtwoorden zijn de nieuwste ontwikkelingen in de nasleep van een grootschalige hack bij de videodienst.

De inloggegevens lijken van bijna elke account te zijn die HBO heeft, schrijft Mashable. Hieronder vallen verschillende Twitter-accounts, zoals @HBO, @GameOfThrones en @WestworldHBO. Ook verschillende Instagram- en Giphy-accounts zijn slachtoffer gevallen aan de hack.

Mashable heeft niet geprobeerd om in te loggen op de accounts, maar neemt, op basis van de accuraatheid van informatie die de groep hackers eerder deelde, de inloggegevens voor waar aan. Bovendien zijn er al verschillende Giphy-pagina's van de videodienst gevandaliseerd en later offline gehaald.

De groep hackers waarschuwt verder dat binnenkort mogelijk aflevering 6 en 7 van seizoen 7 van Game of Thrones zullen uitlekken. Dit is opvallend, want hoewel er recentelijk twee andere afleveringen van de HBO-serie zijn uitgelekt, had dit beide keren niet te maken met de hack.

Eind juli zeiden de hackers 1,5TB aan gegevens te hebben buitgemaakt bij de Amerikaanse onderneming. HBO bevestigde toen dat er gegevens waren gestolen bij een internetaanval. De hackers lekken sindsdien regelmatig stukjes van de inhoud van de hack. Donderdag deelden ze verschillende bestanden met Mashable.

Door Emile Witteman

Nieuwsposter

19-08-2017 • 12:55

151 Linkedin Google+

Reacties (151)

Wijzig sortering
Tot nu toe heb ik alleen maar dreigementen gehoord. Echt actie hebben ze nooit ondernomen. Je maakt jezelf een beetje ongeloofwaardig zo.

Ja ik weet dat de hack echt is maar de deadlines die ze hebben gegeven zijn al eerder verstreken zonder gevolg.

[Reactie gewijzigd door Phusebox op 19 augustus 2017 13:14]

Dat is allemaal deel van het spel. Hoe vaker HBO hiermee negatief in het nieuws komt, hoe meer druk er wordt uitgeoefend. Als ze de afleveringen online zetten, dan hebben ze niks meer om te chanteren en kunnen ze dus fluiten naar hun losgeld. Telkens iets 'kleins' laten lekken is een effectieve strategie. Immers, het is wéér een topic op Tweakers (en andere platformen). Weer negatieve publiciteit, weer druk waardoor HBO meer geneigd zal zijn om hier een punt achter te willen zetten en dus (deels) te betalen.

Dat dit zo lang voortduurt maakt voor andere/toekomstige slachtoffers duidelijk dat het een lang, vervelend en pijnlijk proces is om door dit soort criminelen gechanteerd te worden. Die zullen misschien sneller geneigd zijn te betalen omdat ze zien wat voor drama dit is. De criminelen zullen bij het betalen van het losgeld, denk ik, de afleveringen niet online zetten. Immers, dan zal geen andere partij ooit nog losgeld betalen - lekken doen ze sowieso dan.

Het beste wat ze kunnen doen denk ik is een marathon avond houden. Alle afleveringen uitzenden en een dealtje maken met de adverteerders/merchandise erom heen. Immers, als de afleveringen lekken hebben de reclameboeren nul inkomsten - zij zijn ook verliezers hier. Pijnlijke les, trek de pleister er in één keer af en zorg er voor dat dit niet nog een keer gebeurd.
Waarom negatieve publiciteit voor HBO? Ik zie HBO eerder als slachtoffer en snap niet waarom hackers komen met zinnen als "HB-Old is dying" wat heeft HBO verkeerd gedaan? Niks dacht ik.
HBO heeft gebrekkige beveiliging geïmplementeerd. Dat hebben ze verkeerd gedaan.

Voor een dusdanig groot bedrijf zal het logistiek lastig zijn, maar de ultieme beveiliging is om dergelijke bestanden ergens op te slaan waar het niet verbonden is aan internet.
Kopie van een eerdere reactie van mij:
volgens mij had HBO zijn beveiliging prima voor elkaar, aangezien de hackers voor $500.000,- zero day exploits gekocht hebben en 6 maanden bezig zijn geweest om binnen te geraken.. (bron: nieuws: 'HBO-hackers eisen miljoenen dollars aan losgeld')
aangezien de hackers voor $500.000,- zero day exploits gekocht hebben en 6 maanden bezig zijn geweest om binnen te geraken.. (bron: nieuws: 'HBO-hackers eisen miljoenen dollars aan losgeld')
Bron tweakers.net. Dan zal het wel waar zijn? Dit is aldus de hackers. Dat kan ook een smoes zijn om de prijs te verhogen. Sterker nog, ik weet zeker dat dit inaccuraat is, en zo moeilijk is dat niet vast te stellen adv alle informatie die de criminelen ons bieden.

De quote is de volgende:
De groepering claimt verder dat het zes maanden kostte om het HBO-netwerk binnen te dringen. In de video melden de criminelen dat ze een half miljoen dollar hebben uitgegeven om zerodays aan te schaffen om binnen te komen.
Laten we allereerst voorop stellen dat kritisch moeten zijn met alle informatie van de criminelen; we moeten deze kunnen bevestigen. Dat zal vaak niet gaan, dat is dan ook de reden dat ze met bewijzen komen van de hack.

Verder weten we ook niet hoeveel zero day exploits het zijn, en welke wel of niet werkten.

Bovendien:
HBO zou het zeventiende doelwit zijn en in het verleden zouden slechts drie doelwitten geweigerd hebben te betalen.
Ook dat kunnen we niet verifiëren (Tweakers gebruikt de woordkeus "zou"). Dat kan iedere Henkie wel via Tor beweren.

Stel het is waar, dan kunnen we er van uit gaan dat die zero days hergebruikt zijn of worden. Dan is het slechts een eenmalige investering.

Bottom line is, door te betalen hou je deze praktijken in stand. En gezien het zero day niet wordt gedicht, kun je volgende maand weer de klos zijn (al dan niet door een zgn. andere groep). En dit alles is nou ook een van de redenen dat de NSA geen zero days voor zich moet houden, maar ze moet fixen via responsible disclosure procedures.
Dus dat is een reden dat ze kapot moeten / mogen? Of interpreteer ik je reactie verkeerd?
Nee, daar hoeven ze zeker niet kapot voor. Sorry als dat is wat ik hierboven lijk te bedoelen.
Het was een simpel antwoord op de vraag "wat heeft HBO verkeerd gedaan" ;)

Voor dusdanig belangrijke bestanden lijkt encryptie toch wel het minste wat je kan doen. (tenzij de hackers het hebben weten te onderscheppen op een ge-decrypt punt)
HBO doet het ook niet goed meer, veel series floppen en er is extreem veel concurrentie van Amc, amazon, netflix, hulu etc. etc.

Wellicht doelen ze daarop met hb-old? Want dan geef ik ze wel gelijk.
Ik zie niet in waarom dit negatieve publiciteit is voor HBO? Een stel criminelen heeft bij ze ingebroken en probeert ze te chanteren, maar tot zover zijn ze niet al te diep onder de indruk en rekken ze tijd. Prima aan het handelen dus, ik vind dit dus juist positieve PR. En tja, dan lekken die GoT episodes... Dikke boei.

Het kan wel zijn dat het druk zet ja, HBO zal vast graag voorkomen dat de afleveringen vroegtijdig lekken. Anderzijds maakt dat niet heel veel voor ze uit behalve dat je assclowns krijgt die het gaan spoilen. That’s it...

[Reactie gewijzigd door WhatsappHack op 19 augustus 2017 14:24]

Natuurlijk is dat negatief. Al de klanten moeten betalen en een week extra wachten. Ze worden er elke week opgewezen dat de aflevering van bijvoorbeeld room 104 al online staat. Op het moment dat de klant zijn abonnement moet verlengen of kan opzeggen gaat die 2 keer nadenken of het abonnement wel nog interessant is.
Ik denk dat dat wel meevalt. Een ietwat kromme uitleg maar even voor het perspectief: als je een auto besteld bij de dealer en die wordt overvallen en in t buitenland staat dezelfde auto als jij hebt besteld op zwartemarktplaats.ru te koop voor de helft van de prijs: dan cancel je je order ook niet. Dit is een digitaal goed van veel minder waarde waar je vaak niet eens voor kan betalen zelfs als je dat wil, dus niet vergelijkbaar in dat opzicht, maar dat iets gelekt wordt laat denk ik bij maar weinig mensen denken “Oh, ik koop geen abo meer” of “Oh, volgend seizoen worden ze vast weer gehackt en verschijnt het online”.

Mede omdat je sowieso alle afleveringen al kan downloaden echt een uur na uitzending. Dat het op internet verschijnt is voor betalende abonnees geen reden om dan niet meer te betalen. Ja in t begin misschien, maar nu na al die jaren...?
Nee. Ik zelf zou, als ik nog mocht betalen voor HBO (mag niet meer sinds December 2016 :(), ook gewoon m’n abonnement houden terwijl ik dondersgoed weet dat het op internet verschijnt en waar ik het kan downloaden.

Goede content is me namelijk geld waard, en ik denk dat veel klanten er zo over denken. Ik ben oprecht nogsteeds pissig dat ik geen HBO abonnement meer mag afsluiten van LM tenzij ik met al mn producten overstap naar dat graf Ziggo. (Duurder, veel trager internet, Horizon, en mn mobiele abo’s worden duurder.)

Het enige verschil is dat het nu een paar dagen vóór uitzending op internet komt ipv op de dag van uitzendig zelf. Als dat je overhaalt je abo op te zeggen dan denk ik dat je sowieso al twijfelde om te verlengen. ;)

Ik vind HBO het tot dusver prima aanpakken, en vind dit absoluut geen negatief nieuws. Ja negatief wat die hackers doen en hoe ze HBO chanteren, maar het reflecteert niet negatief op HBO zelf.

Uiteraard kunnen we van mening verschillen. :)

[Reactie gewijzigd door WhatsappHack op 19 augustus 2017 20:16]

De vraag is of de doorsnee klant van HBO wel de moeite neemt om gelekte versies te gaan kijken. Die doet het de broek, in mijn opinie, niet echt bollen of de volgende aflevering al ergens op het internet is te vinden. De junk en tweakers die verslaafd zijn aan Game of Thrones of welke serie dan ook, krijgen er natuurlijk een harde plasser of clit van als ze aan de koffietafel kunnen vertellen dat ze al afleveringen hebben gezien die nog niet officieel zijn. HBO zou er volgens mij veel verstandiger aan doen om het gewoon te négeren.
Vroeger (nee, bewust zonder ah), was ik een fanatieke downloaden en zag het als een soort van sport om als eerste de nieuwste films te bekijken, het liefst nog voordat ze in de Nederlandse bioscopen draaiden. Nu, kijk ik ook op de Netflix manier: gewoon iets kiezen uit het aanbod en de suggesties die voorbij komen, zijn vaak echt leuk om te checken. Heeft vast iets met leeftijd te maken...
Zie het meer als marketing. Het is al bekend dat HBO er niks mee doet en niet betaalt.
Het volgende slachtoffer die ze hebben/gaan gehackt/hacken denkt hier misschien anders over. Ze kunnen deze strategie als dreiging gebruiken bij toekomstige hacks.
Als ze het in 1x zouden uitbrengen krijg je dat mensen voor 1 maand een HBO abbo nemen, alles bingewatchen en dan hun abbo weer opzeggen. Door series uit te smeren moeten mensen voor langere tijd een abbo nemen = meer geld voor HBO.
ze hebben bij Game of Thrones nog zo'n 8 dagen leverage daarna is het 0.0 wat betreft deze serie. zelf al hebben ze scripts dat gaat 99% toch niet lezen.. een plaatje zegt meer dan 1000 woorden en de meeste fans wachten wel nog een jaartje dan.

de rest van de series.. heeft bij lange de populariteit niet van een Game of Thrones. en zal weinig mensen uitmaken of het lekt of niet.. feit is gewoon dat tijd tegen ze werkt met een inzet die elke dag minder waard wordt totdat het bijna niks meer waard is en ze zichzelf totaal ongeloofwaardig hebben gemaakt...
Dat is allemaal deel van het spel. Hoe vaker HBO hiermee negatief in het nieuws komt, hoe meer druk er wordt uitgeoefend.
HBO komt hiermee niet echt negatief in het nieuws hoor. HBO is het slachtoffer van afpersing en houdt z'n poot stijf ten opzichte van criminelen. Dat scoort eerder goed bij de normale burger, het wekt eerder sympathie op dan dat het negatieve publiciteit op zou leveren. Al met al is het gratis publiciteit voor HBO.
De criminelen zullen bij het betalen van het losgeld, denk ik, de afleveringen niet online zetten. Immers, dan zal geen andere partij ooit nog losgeld betalen
Dat is nog maar de vraag. Je kent de personen die er achter zitten niet, je weet niet of ze betrouwbaar zijn, je weet niet wat hun werkelijke intenties zijn, etc. Het zijn anonieme figuren die van alles kunnen beweren. Aantonen dat wat ze beweren waar is kunnen ze niet. Dan moeten ze immers met informatie komen die er toe leidt dat ze linea recta opgespoord worden. Daarnaast: het blijven criminelen.

Bovendien geef je door te betalen aan dat je chantabel bent, immers:je hebt eerder ook al betaald. En door te betalen maak je het een aantrekkelijk verdienmodel voor criminelen. Hoe aantrekkelijker hoe meer/vaker criminelen in dat verdienmodel zullen duiken en hoe meer/vaker slachtoffers.

Bovendien is het nog maar de vraag in hoeverre HBO zelfstandig bepaalt of er al dan niet betaald wordt. Grote kans dat deze zaak al lang en breed bij de FBI en/of een andere opsporingsinstantie ligt. Dat soort instanties heeft er over het algemeen baat bij om dit soort zaken op te rekken gedurende de loop van het onderzoek naar de daders. En als zo'n opsporingsinstantie er niet in slaagt om de daders op te sporen dan hebben ze minimaal als doel het verdienmodel zo oninteressant mogelijk te maken voor de criminelen.
Het beste wat ze kunnen doen denk ik is een marathon avond houden. Alle afleveringen uitzenden en een dealtje maken met de adverteerders/merchandise erom heen. Immers, als de afleveringen lekken hebben de reclameboeren nul inkomsten - zij zijn ook verliezers hier.
Afleveringen lekken toch wel. Dat gebeurt nu eenmaal bij dit soort populaire series. Vanuit HBO zelf of vanuit lokale partners van HBO.
Maar de meeste mensen, met een HBO abonnement of met een abonnement bij een derde dat toegang geeft tot HBO content, kijken die van te voren gelekte afleveringen toch niet. En van te voren gelekte scripts worden al helemaal door bijna niemand gelezen. Effectief verliest HBO dus héél weinig aan reclame inkomsten door de acties van deze criminelen.

Als een aflevering daarentegen eenmaal uitgezonden is dan is het hek écht van de dam. Als HBO al inkomsten verliest dan is het door nieuwsgroepen en torrents waar de afleveringen na elke uitzending breed beschikbaar zijn in hoge kwaliteit. En dat gebeurt toch wel, ongeacht chantage en afpersing in het voortraject.
Twee factor authenticatie?
Probleem bij bedrijven is vaak dat deze accounts door meerdere mensen in gebruik zijn en MFA gaat daar niet altijd even goed mee om. Vooral als het met SMS werkt is het lastig inloggen als diegene met dat nummer op vakantie is.
Oplossingen als Google Authenticator (of FreeOTP) kunnen prima gebruikt worden in een bedrijfssetting, waarbij het achterliggende secret alleen gedeeld wordt met mensen zodra ze geauthoriseerd worden, en alleen op geauthoriseerde telefoons opgeslagen worden.
Kortom: het hangt er gewoon vanaf hoeveel energie je er in steekt, en zeker bij zo'n relevante account dient het geïmplementeerd te zijn
Oplossingen als Google Authenticator (of FreeOTP) kunnen prima gebruikt worden in een bedrijfssetting, waarbij het achterliggende secret alleen gedeeld wordt met mensen zodra ze geauthoriseerd worden, en alleen op geauthoriseerde telefoons opgeslagen worden.
Nee. Je zet dat secret op een server. Die genereert OTP's, die alleen ingezien kunnen worden door in te loggen (bijvoorbeeld op een intranetsite of een mobiele applicatie). Met RBAC kan je dan zo toegang wegnemen, bijvoorbeeld als iemand uit dienst gaat. Zo lekt het geheim ook niet uit als iemand uit de pas loopt. Tevens kan je registreren wie wanneer welk OTP heeft opgevraagd, wat handig is voor forensische doeleinden wanneer misbruik wordt gemaakt van toegang. Dezelfde informatie kan gebruikt worden voor IDS/IPS.

[Reactie gewijzigd door The Zep Man op 19 augustus 2017 17:31]

Ook daar zijn oplossingen voor maar goed bij veel bedrijven wordt hier niet serieus mee omgesprongen en uiteindelijk is de zwakste schakel nog altijd de gebruiker zelf...
Daar zijn gewoon oplossingen voor en 2Factor auth. is in mijn ogen geen keuze, maar een minimale vereiste met dat soort accounts.
dan neem je toch een gedeelde sms box zoals alle bedrijven met twee staps authenticatie.
Je kunt vaak meerdere telefoonnummers registreren.
2fa met TOTP kan wel prima met meerdere apparaten als je de secret noteert. Heb je helaas wel de kans dat deze ook uitlekt als ze die bij de wachtwoorden bewaren.

Maar is het niet zo dat net als bij Facebook de meeste social media op bedrijfsaccounts een inlog mogelijk maken via een persoonlijk account? Dan hoef je ook geen ww of secret te delen namelijk. Anders zou dat natuurlijk een mooie oplossing zijn voor dit soort gevallen.
Dat was waarschijnlijk ook het argument bij HBO.. blijkt toch een vrij stomme redenatie geweest, denk je niet?
Ja eens je moet inprinciepe altijd twee factor gebruiken.
Zie zelf alleen vaak dat het niet wordt gedaan omdat een account dan aan 1 tel nummer gekopeld moet worden.
Maar dat is inderdaad geen geldig excuus.
Leg die telefoon met 1 (of meerdere) SIM kaart(en) op een centrale plek, dat lost het ongemak deels op.
Of laat het bericht doorsturen naar een veilig bedrijfskanaal. Ja, dat is minder veilig, maar nog altijd stukke veiliger dan niks.
Niet dat steeds meer 2f authenticatie niet meer via sms gaat, maar via een app. Als heel groot bedrijf waarbij meerdere mensen misschien wel op verschillende locaties toegang moet hebben wordt dat toch wel echt lastig. Zou je misschien android in een virtuele omgeving moeten draaien ofzo.

[Reactie gewijzigd door ro8in op 19 augustus 2017 14:54]

Waarom via android? Enpass of Keepass op Windows ondersteunen ook gewoon TOTP :)
Er zijn TOTP-apps voor desktop en het algoritme is simpel, dus je zou dat perfect serverside moeten kunnen draaien.

En sommige TOTP-apps vallen online te syncen. Natuurlijk verplaats je dan het risico gewoon naar een andere account.
Als je dit van te voren weet kan je doormiddel van de secret key/plaatje (die je krijgt bij het aanmaken) meerder apps koppelen, dat werkt prima. Ik zelf gebruik dat samen met collega's om in te loggen op een acceptatie omgeving. We hebben allemaal een eigen TOTP-app gekoppeld met dezelfde secret key.
Leuke oplossing voor het kleinbedrijf, maar natuurlijk onwerkbaar voor bedrijven met grotere teams of verspreid over verschillende locaties.

"Ah, collega 李 probeert in te loggen vanuit Hong Kong. Kan iemand haar even het Tele2 simmetje geven?"
Ik heb anders gewoon een 06- telefoonnummer die ik deel met collega's in Nederland en India. Degene die het nummer nodig heeft (officer on duty) leidt het nummer gewoon even door naar zijn/haar eigen gsm.

Ik kan me niet voorstellen dat een bedrijf van enige omvang geen telefooncentrale heeft die een telefoontje (of sms) niet kan omleiden.
SMS gaat niet door de PABX...
gewoon totp gebruiken lijkt me handiger. Werkt ook nog eens met meerdere telefoons.
Hoe onwerkbaar is 2FA dan? Dat valt toch reuze mee? Vergeet niet dat HBO een groot bedrijf is met een serieuze IT-infrastructuur. Daar lopen echt wel mensen rond die iets kunnen configureren wat werkbaar is. Dit riekt meer naar luiheid / laksheid in het beleid.
De infrastructuur (IT) bij HBO is dusdanig dat een 2FA werkbaar maken voor meerdere personen in het niets valt. De reden zal eerder zijn: 'ja maar dan moeten we iedere keer op zoek naar die telefoon en de code invoeren = niet handig' en dus werd er geen gebruik van 2FA gemaakt.

Bovenstaande beredenering zie ik vaak genoeg voorbij komen, zowel bij consumenten als bij bedrijven..
Hoe had je dat gedacht te doen bij een organisatie waarbij 1 account ook maar aan 1 telefoon gekoppeld kan worden en er meerdere mensen op meerdere locaties gebruik van maken en niet iedereen altijd maar bereikbaar is?

Hoe het netjes zou kunnen is dat je aan een zakelijk social media account meerdere logins kan hangen met ieder een eigen MFA.

Een enige fatsoenlijke workaround die ik me kan voorstellen is een vm Android te maken met die MFA app en deze als published app via interne MFA te ontsluiten.

Wat er echter gebeurd is dat de sales afdeling nooit met dit probleem bij de IT afdeling aankomt omdat Facebook niet wordt beheerd door de IT afdeling... OF dat de IT afdeling z'n schouders ophaalt met "Not our problem!"... OF dat de sales afdeling niet happy wordt met de kosten van deze oplossing...

Het zou ook zomaar kunnen dat de marketing via social media via een extern bureau gebeurd...
Het is niet 1 telefoon, maar 1 telefoonnummer. Dat maakt je al een stuk minder beperkt.
Als je het simmetje in een telefoon propt niet nee, maar als de (sms)berichten gewoon ontvangen worden op een server die ze daarna doorstuurt naar de mensen die daartoe bevoegd zijn, die daarvoor eerst met hun eigen account (en een persoonlijke 2FA die waarschijnlijk al eens eerder is bevestigd) moeten inloggen op het interne netwerk van het bedrijf is dat helemaal geen probleem. Hetzelfde verhaal met de TOTP oplossingen: geen uitwisseling van secret keys onder gebruikers, maar de keys op een server die de toegang kan beheren.

Dit is in het kort een setup die net bij een multinational in productie is gegaan, net wat makkelijker dan een rondzwervende smartphone op kantoor ;)
Vergeet niet dat er altijd cowboys zijn die voor het gemak om hun eigen IT heen werken.
Je kunt ook met tokens werken?
En dan profiel maken met bevoegdheden.

Inloggen emailadres
Je eiggen Windows wacht woord
Dan 4 cijfer pin van je zelf +tokens cijfers.
In plaats van een token vind ik dit een mooie oplossing die ik zelf veel gebruik:
https://en.m.wikipedia.org/wiki/Universal_2nd_Factor
Als ze bij de hack van 1,5 TB ook wachtwoorden van email accounts hebben buitgemaakt, dan werkt dat niet. Mits ze het natuurlijk via email hebben gedaan natuurlijk.
Ik hoop toch echt dat een van de eerste acties die ze genomen hebben nadat de hack bekend is gemaakt het veranderen van alle wachtwoorden in de hele organisatie is geweest.
Blijkbaar niet. Anders hadden ze nooit in de social media-accounts kunnen komen.
Ja! Dat was ook het eerste waar ik aan dacht - na zo'n hack is het meteen veranderen van al je wachtwoorden de eerste stap die je meteen moet zetten... zelfs als je totaal geen informatie hebt over of die nou wel of niet daadwerkelijk zijn ontvreemd... dat is Security Practise 101... als ze nu nog weken later dezelfde login gegevens hebben dan verdienen ze toch echt wel de gevolgen...
Nog iemand die het idee krijgt dat er geen afleveringen van GoT e.d. zijn buitgemaakt? Als ze die hadden zou de drang om te spoilen heel groot zijn gezien de populariteit?

Maw: inderdaad gehackt, maar niet zoals ze zeggen...

[Reactie gewijzigd door JeroenED op 19 augustus 2017 13:28]

Het lijkt er op dat die hackers er in zitten om het geld, niet om de kick van het spoilen.
Games of Thrones zijn de kroonjuwelen van HBO. Het is een prachtig drukmiddel, maar op het moment dat je daadwerkelijk tot vrijgave overgaat is het Game Over. Geen drukmiddel meer, en dus ook geen losgeld.
m.a.w. die afleveringen gaan alleen online verschijnen als 'straf' voor HBO als de onderhandelingen mislukken.
Wat ik vreemd vind is dat ze, de mensen van HBO, niet na de hack direct alle wachtwoorden hebben veranderd... Dat lijkt mij echt stap 1 wanneer je gehacked bent.
Precies mijn gedachte. Maar er staat ook weer niet dat dit niet gebeurd is, want Mashable heeft het niet gecontroleerd.
De reacties dat dit nogal omslachtig zou zijn vanwege de vele gebruikers zal toch geen enkele waarde hebben?
'De hackers die ons chanteren hebben onze wachtwoorden maar ja, het is zo'n gedoe om alles aan te passen dus laat maar'.
Of je nou miljoenen in bitcoins aan chanteurs geeft om verspreiding van series en informatie te voorkomen - iets wat ze nu al bewezen hebben toch te doen - of gewoon als HBO, besluit alle afleveringen openbaar te maken.

Beide resulteren mogelijk in een verlies van enkele miljoenen. Ik denk dat de hackers/chanteurs eerder zullen balen als HBO niet zou toegeven en de serieus direct zou aanbieden aan het publiek. Helaas, jammer en pech. Maar de hackers hun zin geven zal nog niet garanderen dat de meuk niet alsnog online zal komen. Geef ze één keer hun zin, en ze blijven de middelen behouden om te kunnen blijven chanteren.

[Reactie gewijzigd door DarkForce op 19 augustus 2017 14:45]

Ik vind het nog steeds onbegrijpelijk hoe naief sommige bedrijven met gegevens omgaan (net zoals bij onze overheidsinstanties overigens al jaren het geval is).
Als WIJ al voor onze social media en dergelijke over het algemeen 2-staps verificatie inschakelen, mag je toch verwachten dat dit soort bedrijven helemaal extra voorzichtig zijn?
Deze hack hoeft natuurlijk niet in 1 keer via 1 connectie plaats te hebben gevonden.
Waarom niet? In principe kun je heel veel verbindingen openen en op elke verbinding een stukje van een bestand binnen halen. Dat kan ook verspreid qua tijd. Wie weet hoe lang ze in het netwerk aanwezig waren...
We doen nu alsof 1,5TB enorm veel is, maar dat zal bij HBO vermoeddelijk wel wat meevallen. Videodistributie gaat nu toch grotendeels over Internet (uploads naar HBO streaming servers, netflix, videoland, bioscopen, HBOs eigen on-demand, cache servers, etc). Dan zal er vast ook nog heel veel heen en weer gepompt worden voor edits, nieuwe takes, etc tussen afdelingen of externe clubs.

Misschien is 1,5T wel peanuts daar.

Zeker als het downloaden ook nog niet al te snel ging, dan kan ik mij best voorstellen dat dat niet opvalt.
Tenzij die gasten broadcasten... die kans is ZEER aanwezig...
Als je veel data verstookt is een gentle flux aan data geen eigenaardigheid, dan moet je echt heel goed naar de grafieken kijken wil het je opvallen; zeker als de flow niet constant is. Daarnaast... Wie weet waar de hackers toegang toe hadden, misschien hebben ze de firewall of monitoring wel uitgezet voor ze aan de download begonnen; of een uitzondering voor hun eigen VPN oid. ;)

[Reactie gewijzigd door WhatsappHack op 19 augustus 2017 14:28]

Dat was slechts een voorbeeld. Een uitzondering hoef je niet perse te merken. En nogmaals: ze hebben maanden de tijd gehad. Een gentle flux aan data valt niet op. Een aanval van buitenaf is gewoon even waarschijnlijk als intern; het is beiden mogelijk. Extern is echter waarschijnlijker.
Zelf zie ik daar echter een probleempje - ze moeten zichzelf toegang verschaft hebben met oftewel een gehijackte account of erin geslaagd zijn een fake aan te maken met voldoende rechten.

Als het een gekaapte account is, dan moet er bij iemand bellen zijn gaan rinkelen doordat hetzij hij/zij op sommige momenten niet bij de eigen account kon (als iemand kan multiloggen lijkt me dat knap stom) of bij beheer doordat iemand ongewoon verdrag vertoont (zelfs als ze iemand bij Distributie of Verkoop te grazen hebben genomen, lijkt een verschil van 1,5 TB aan data, zelfs over een half jaar, toch vrij veel extra).

Als het een fake account is, zou de authorisatiecode op een gegeven moment niet tegen de lamp lopen als er een periodieke controle is? Lijkt me nl bij een bedrijf als HBO niet overbodig om regelmatig voor de zekerheid even een scan te laten lopen op je account database of alles nog klopt.
Ligt aan de point of entry, als er lekken zaten in de software op de servers of een aangepast stuk malware hebben weten te deployen (het bekende “laat een usb stick rondslingeren en wacht tot iemand hem in de PC propt om te kijken wat er op staat”) kan dat indien goed uitgevoerd helaas heel lang ongemerkt gaan.
Bedenk bijvoorbeeld dat een lek als heartbleed doodleuk de gehele inhoud van het ram uitspuugde aan je op afstand zonder dat je daar een account of elevated privileges voor nodig had. Ik gok zomaar dat heartbleed niet de enige in z’n soort was. En zo zijn er tig opties.

Het blijft allemaal speculatie zolang we geen details hebben. :)
Hoe dan? 1.5TB is echt een schijthoeveelheid data op zo'n bedrijf.
Als er gedurende weken af en toe legitieme verbindingen zijn die wat bestanden pakken ga je dat niet zomaar zien.

Helemaal als het actuele data is (zoals nieuwe opnames) waar geregeld mensen mee bezig zullen zijn.
Het was een werk van 6 maanden als je de hackers moet geloven. Daarnaast is 1,5 TB niet abnormaal voor een bedrijf als HBO dat dagelijks naar overal ter wereld videomateriaal uitstuurt.

Zou me ook niet verbazen als een deel van de hack via één of ander buitenlands TV station is verlopen.
Gewoon een onderhandeligspositie aannemen en dregen, is weinig vaags aan. :)
Naja, ik heb nog geen argumenten gezien waarom niet. :)
Zoals reeds aangegeven is het onopgemerkt downloaden echt een fluitje van een cent. Als ze eenmaal binnen zijn en toegang hebben weten te krijgen tot de servers die deze bestanden hosten, dan is het niet moeilijk dit binnen te harken. Vergeet namelijk niet dat HBO de content naar honderden media bedrijven over de gehele wereld moet versturen. Die moeten bij de data kunnen, dus het is niet zo dat deze data enkel intern zal hebben gestaan. En social media wachtwoorden? Het vergt de hack van één apparaat van een medewerker, of een server waar de keys op opgeslagen stonden, en je hebt het. Heel simpel.

De hoeveelheid data is ook niet nieuw als we kijken naar de hacks van de afgelopen jaren. Ze worden nu eenmaal groter qua omvang, complexer en uitgebreider. Het is écht niet gek. Op geen enkele wijze moet dit een inside job zijn geweest. Het KAN een inside job zijn geweest, uiteraard, maar de hoeveelheid data en de gegevens die gestolen zijn: daar is niets vreemds aan en kan evenwel perfect van buitenaf zijn uitgevoerd.

Maar goed, ik geloof niet dat we elkaar gaan overtuigen op dit punt. :P
Then we'll agree to disagree. :)
Net als bij RutgerM ben ik toch heel benieuwd: WAAROM bewijst dit het dan?
Wat is er zo speciaal aan deze hack dat het wel een intern lek zou moeten zijn?
Ik ben oprecht heel benieuwd naar de redenatie daarachter, maar tot dusver heb ik niet veel gelezen.
Ja meerdere mensen moeten toegang hebben, t zou mij niet verbazen als t op een keyserver stond of in iets als een keepass bestandje met een wachtwoord. En dat wachtwoord is dan weer bound to be opgeschreven in de computer van een medewerker, in een email gezet of noem het maar op.

En een keylogger kan ook, yes. Al is t maar om de decryptiecode te ontfutselen.

Genoeg mogelijkheden voor een externe hack. Als er een ding zeker is, dan is t dat HBO de beveiliging duidelijk niet op orde had.
Levenslang de gevangenis in voor het jatten van wat video’s en chantage... Ja, dat is echt proportioneel. :+
In een breder licht: deze hack geeft aan hoe belangrijk informatiebeveiliging is. Hier draait het maar om entertainment, maar kijk naar wat er mogelijk is als nutsbedrijven, zorgsector, defensie gehackt kan worden.

Hack bij HBO: goede showcase van mogelijke impact met in dit geval alleen wat economisch belang dat geschaad wordt, dus kleine maatschappelijke impact.
In dit geval is de consument niet zozeer de dupe. De afleveringen komen nog steeds op de normale manier uit. Je bent meer de dupe als er gegevens van jezelf op straat komen, bij een hack van een ander soort bedrijf.

Op dit item kan niet meer gereageerd worden.


Call of Duty: Black Ops 4 HTC U12+ dual sim LG W7 Google Pixel 3 XL OnePlus 6 Battlefield V Samsung Galaxy S9 Dual Sim Google Pixel 3

Tweakers vormt samen met Tweakers Elect, Hardware.Info, Autotrack, Nationale Vacaturebank en Intermediair de Persgroep Online Services B.V.
Alle rechten voorbehouden © 1998 - 2018 Hosting door True