Phishing-aanval maakt meer dan 50.000 Snapchat-accounts buit

Afgelopen zomer zijn meer dan 50.000 Snapchat-gebruikers slachtoffer geworden van een phishing-aanval. Daarbij zijn wachtwoorden gestolen, en de aanvallers verkregen deze via een website op de url klkviral.org.

Snapchat werd op de phishing-aanval geattendeerd door een overheidsofficial in het Verenigd Koninkrijk. Dat was overigens al in juli, zo bleek uit interne e-mails waar The Verge over beschikt. Een woordvoerder van Snap, het moederbedrijf van Snapchat, bevestigde dat er accountgegevens zijn gestolen via phishing. Inmiddels wordt er gewaarschuwd als er een link naar klkviral.org wordt geopend via Snapchat, en worden verdachte berichten verwijderd.

Wie klkviral.org opent via Snapchat krijgt een inlogscherm te zien dat officieel oogt. Er zouden 55.851 accountgegevens van Snapchat-gebruikers zijn buitgemaakt. De aanvallers zouden hun activiteiten vanuit de Dominicaanse Republiek hebben opgezet, maar wie er achter de phishing-site zitten, is niet bekend.

Aanvankelijk werd de phishing-aanval ontdekt doordat een apparaat op veel verschillende accounts begon in te loggen. Kort daarna greep Snap in, onder meer door het wachtwoord van de getroffen accounts te resetten en kwaadaardige berichten te verwijderen. Daarnaast verwijderde Google de site uit zijn zoekresultaten.

Reacties (42)

[kodak]

Ik mis in het artikel van Tweakers de duidelijke uitleg hoe deze phishing werkte. Om onduidelijkheid te voorkomen: er was geen phishing naar Snapchat, maar naar mogelijke gebruikers van Snapchat.

De aanvaller zou een account van een snapchat gebruiker hebben gekregen en toegang tot dat account dan gebruikt hebben om via snapchat een aar andere snapchat gebruikers een url met zogenaamd leuke content te sturen. Wie dan op die link klikte zag een pagina die leek op het inlogscherm van snapchat. Dus vult een gebruiker zijn accountgegevens in, want die wil de leuke content zien.

De website waarop de accountgegevens zijn gevonden staat ook wel bekend om het doorsturen van bezoekers naar misleidende websites waar je zogenaamd gratis een iphone kan winnen.

Snapchat heeft bijna 200 miljoen dagelijks actieve accounts. 50.000 via phishing verkregen records met valse en echte logingegevens van snapchat zijn er 50.000 te veel, maar ook weer niet heel veel.

[jqv]

Zoals jij schets begint het met een paar accounts die linken naar een paar andere account.

Het waren er nu maar 55.000, maar als je zo bekijkt, worden er een paar in korte tijd velen.
Dus het zijn er niet "veel" geweest, maar als het zich vermenigvuldigt als bacteriën. dan hadden het er snel genoeg veel meer kunnen zijn.

1 wordt 2, wordt 4, 8 ,16,32, 64, 128, 512, 1024, 2048, 4096, 8192, 16384, 32768, 65536, etc etc

[RobbyTown]

Blijf het knap vinden dat men hier in trapt. Soms lijken de linkjes nog op de naam van de website/app. Maar de link klkviral.org lijkt er totaal niet op. Van die mensen zal hoe dan ook vast en zeker de rekening een keer worden geplunderd.

[batjes]

Nou omdat Ubisoft mij bv een week of 2 geleden mailde met "Someone is trying to access your account"

Dan heel leuk "https://account.ubisoft.com" neerzetten als een "KLIK HIER".

En dan in de href zelf t4.news.ubisoft.com/r/?id=bladiebla stoppen.....

Zo train je mensen wel om schijt te hebben aan "He de link onderin me firefox zegt wat anders dan wat hier staat". Als zelfs grote partijen (Ubisoft is echt niet de enige, ik kom dit soort onzin vaker tegen, alhoewel de meeste grotere partijen het wel prima doen, of gewoon niet linken, of exact dezelfde links in de tekst droppen als in de href staat) totale schijt hebben aan het op de juiste manier proberen "veilig over te komen". Dan trappen mensen een stuk makkelijker in phising

[Cerberus_tm]

Precies. Zelfs PayPal zet links naar het domein communications-paypal.com in zijn e-mails. Dat is dus een streepje. En ik heb meer grote, fraudegevoelige bedrijven dat zien doen.

[e.dewaal]

Ik heb hier ook last van, alleen dan omdat ik mijn outlook.com mailadres open via een IMAP applicatie. In deze applicatie lopen alle links in mijn e-mail via een domeinnaam van microsoft. Hierdoor is het voor mij niet meer mogelijk om op deze manier te controleren of een e-mail legit is, of niet.

[trisje]

Op mobile telefoons zie je meestal de url niet, omdat de url balk verdwijnt nadat de pagina wordt geladen.
full screen mode geef dan ook de gelegenheid om net te doen of je een andere app bent. meeste mensen denken bij een login scherm misschien he wat nou weer, ik was toch ingeloged of weten het wachtwoord niet direct te produceren, maar somige pluren het gebruikers account en passwoord er gewoon in. en vragen ze zich nauwelijks af waarom. Daarom werken deze actie altijd zo goed.

[Fidesnl]

Dinsdag nog mijn vader gewezen op enkele e-mails die malafide waren en uitgelegd hoe je dat kan herkennen.

Donderdagmorgen was mijn moeder boodschappen aan het doen, werd ze in paniek gebeld door mijn vader "wat is de login van internetbankieren". Bleek dat er iemand een mail had gestuurd waarin stond dat hij een boete niet betaald zou hebben en dat deze was verhoogd naar €200 en binnen 24 betaald moest worden anders zou hij weer verhoogd worden. Logo van de politie en CJIB erbij.

Gelukkig schakelde mijn moeder snel genoeg om te realiseren dat het onzin was...

[Edwin88]

Zo blijkt maar weer dat moeilijkere paswoorden die je niet kan onthouden toch ook weer een voordeel hebben..

[MrMonkE]

Het lijkt dat uw moeder vooraf de juiste keuze had genomen met haar besluit het wachtwoord niet door uw vader te laten bijhouden. Althans, zo lees ik het. Zo herkenbaar ook.

[kodak]

Een combinatie van gretigheid met onwetendheid als excuus.

Deze phishing leek van bekenden afkomstig die een link naar iets interessants sturen waar je echt even naar moest kijken of aan moest meedoen.

Klik je op de link, want je wil natuurlijk niets leuks of interessants missen van je vriendjes, dan zou je iets leuks moeten zien. Helaas laten mensen zich dan verblinden door obstacels als een zogenaamd inlogscherm. En in plaats van te controleren of de url wel klopt dan maar even snel de accountgegevens invullen om toch maar niets te hoeven missen. Want voor je het weet is het niet meer populair om over te snappen of chatten en je laat je toch niet tegen houden door je onkunde om in te loggen op snapchat.

[monojack]

Tja maar snapchat is dan ook één van die apps dat mensen aantrekt die totaal geen interesse hebben in technologie. Stuur een mail rond met speciale filters voor snapchat en gegarandeerd 1 miljoen mensen die toehapt.

[Kimbo72]

Niet zo gek kinderen trappen er gewoon in.

[Becquerel]

Ik snap niet waarom je gemind bent.

[xiphoid]

Ik heb ooit eens de policy genomen om alleen nog maar plain-text mails te lezen. En ongeveer tien jaar terug de policy ge-update met 'nooit een link openen uit een email', werkt prima.. Als er iets is met paypal, dan ga ik wel in de browser naar mijn paypal (met de hand). Ik wil liever niet voor dit soort geintjes vallen, en al helemaal niet met mogelijkheden op ransomware en verlies van geld via login misbruikt, etc.

[MrAndy9797]

En waarom wordt dat pas nu bekend? Is dit bewust verzwijgen om eigen naam te redden? Ik weet eerlijk gezegd niet hoe ik dit moet interpreteren... Weet wel dat de bedrijfsvoering en bedrijfsvisie (in zover die ze hebben) me persoonlijk niet aanstaan. De enige reden dat ze nog bestaan is omdat ze een goed concept hebben en er 'marktleider' mee zijn, maar wat betreft bedrijfsvoering en 'éénmans'-beslissingen zou het net moeilijk moeten zijn om zo een bedrijf te runnen...

Doelend op de beslissing van de topman om geen Windows Phone te ondersteunen (het was zijn beslissing, niet die van het bedrijf, hij sprak zelfs openlijk zijn haat uit voor het platform), te liegen over beslissingen zoals op alle platformen 3rd party Snapchat apps te verwijderen (bleek uiteindelijk enkel om de Windows Phone Store te gaan, pas veel later volgde de andere platformen), het zogenaamd verwijderen van Snapchatfoto's na 10 seconden (maar die toch terug te vinden waren in de bestanden), nu 'verzwijgen' van een hack... Nu, het is mijn mening maar in zo'n bedrijf zou ik al niet willen werken om eerlijk te zijn...

[InFamous]

nu 'verzwijgen' van een hack...

Snapchat verzwijgt helemaal niks, want Snapchat zelf is niet gehackt. Dit is puur een phishing aanval waar Snapchat zelf weinig tot geen invloed op heeft. De accounts zijn gehackt, maar Snapchat zelf niet.

[CorbataGames]

Zelfs de accounts zijn niet gehacked, de gebruikers hebben vrijwillig hun logins afgegeven.

[batjes]

Door middel van social engineering, wat gewoon een proper manier van hacken is

Het hacken is ook zo begonnen, zie Takedown over Kevin Mitnick.

[jpsch]

Dit lijkt me beurskoersgevoelige informatie. Mag je niet verzwijgen.

[kodak]

De domheid van je eigen gebruikers mag je gewoon verzwijgen. Gebruikers die slordig met hun accountgegevens om gaan of elkaar phishinglinkjes doorsturen en daar in trappen is geen situatie waarbij een bedrijf een verantwoordelijkheid heeft naar aandeelhouders. Misschien dat dat soort domme of onwetende gebruikers iets aan de informatie hebben, maar uiteindelijk komt het er op neer dat sommige gebruikers van snapchat slordig om gaan met hun accountgegevens en dus hun eigen account en de eigen inhoud.

[jpsch]

Bedrijf wordt door buitenlandse mogendheid gemerkt als platform waar veel phising plaats vindt. Dit kan effect hebben op gebruikers en dus mogelijk minder inkomsten. Minder inkomsten is koersgevoelige informatie, moet gedeeld worden met aandeelhouders.

[Anoniem: 1025829]

Hoe weet je dat die informatie niet is door gegeven aan hun?
Ga er maar niet vanuit dat snap, tweakers gaat opbellen van "hey, moet je nou eens horen wat er gebeurd is."

[jpsch]

Bedrijven die wat te melden hebben, geven dit door met persberichten e.d., zodat iedereen tegelijkertijd op de hoogte wordt gesteld. Persberichten zijn gewoon openbaar, zit hoogstens embargo op wanneer iets gepubliceerd mag worden.

[kodak]

Hoe bedoel je nu pas bekend? Er zijn dagelijks duizenden pogingen tot phishing naar accountgegevens van bekende diensten zoals gmail, facebook, dropbox, paypal, ebay, yahoo, banken, belastinggegevens en nog veel meer. Het is heel makkelijk om een phishingcampagne uit te voeren maar het kost veel tijd als je voor al die meldingen moet gaan waarschuwen. En ondanks al die waarschuwingen is de belangrijkste factor dat gebruikers niet goed (willen) opletten waar ze hun accountgegevens invullen.

Je kan wel de verwachting hebben dat je bij een gratis dienst als snapchat ook gratis waarschuwingen krijgt dat je misschien slachtoffer kan worden en toch echt moet opletten, maar misschien is dat niet de meest realistische gedachte. Waarom zou de verantwoording bij een dienstverlener liggen om gebruikers op te voeden in hun verantwoordelijkheid om zorgvuldig met hun eigen gegevens om te gaan?

[jpsch]

Waarom zou een ander land je waarschuwen? Klinkt toch als een bijzondere phising aanval.

[Anoniem: 998261]

Gezien jouw blijkbaar beperkte kennis van de markt en de technologie denk ik dat ze jou ook helemaal niet zouden willen hebben als werknemer. Dus ze zullen er niet van wakker liggen dat jij er niet wilt werken.

[stier]

Eerlijk gezegd denk ik ook niet dat Snapchat nog lang zal leven. Een chatcliënt zoals zovelen.

[Carlos0_0]

ik hoop het

[Anoniem: 998261]

Want? Wat wordt jij er beter van als Snapchat verdwijnt? Hoe beinvloed het jouw leven op een negatieve manier?

[AltTabKeys]

Oei. Ik heb mijn Snapchat Account gelukkig nog

[Carlos0_0]

Ach en al was je hem kwijt was ook geen drama, toch alleen maar onzin die erop gestuurd word

[AltTabKeys]

Idd. Zo actief ben ik niet 😃

[Anoniem: 998261]

Of het onzin is bepaal je zelf. Als je op snapchat (of ieder ander social medium) onzin ziet zegt dat vooral veel over jezelf en de vrienden/contacten die je hebt.... Als je sommige onzin op tweakers in de reacties ziet, zou je deze site ook kunnen bestempelen als de slechtste techsite ever. Maar als je die onzin negeert staat er genoeg zinnigs op deze site.

[repmeer]

Waarschijnlijk allemaal accounts zonder 2FA.

[MiesvanderLippe]

Meh mensen die in dit soort dingen trappen vullen ook wel rustig een code uit een SMSje in hoor. Ook omdat het helemaal niet ongebruikelijk is om met 2factor in te loggen op websites tegenwoordig.

[Accretion]

Dan moet de phising website wel weten of je daadwerkelijk 2FA aan hebt staan (of er bij iedereen vanuit gaan).

En dan moet je ook mitm gaan spelen door die gegevens direct bij Snapchat in te vullen, zodat die daadwerkelijk een sms krijgt op z'n phone.

[Stpan]

Toeval of niet, ik ben de laatste weken "under attack", voor zover ik weet op mijn Snapchat account en ook Origin.
Er is iets of iemand op mijn accounts ingelogd, voor zover ik weet de eerste keer.

Via haveibeenpwnd.com wist ik al dat een door mij veelgebruikt username / password combinatie op straat lag door een groot lek. En heb daarna voor de meeste (de belangrijkste en gevoeligste) diensten mijn pw gewijzigd.

De laatste 2 weken is er een login op mijn Origin account geweest en op Snapchat. Misschien wel op meer sites, maar die sturen wellicht geen mailje als er vanuit een ander land opeens wordt ingelegd zoals Origin en Snapchat wel doen.
Voor de goede orde, met oude credentials die al eerder op straat zijn gekomen had de 'hacker' ook kunnen inloggen. Ik gebruik Origin en Snapchat nooit dus het was niet in me opgekomen de logins aan te passen. Ik kan niet alles onthouden waar ik een account voor heb, hoe naïef en slecht dat ook is. Want via mijn Snapchat account zijn vast gegevens te vinden die het straks makkelijker maakt mijn bankgegevens te hacken. Maar ik ben ook meer een hoger opgeleid burger met enige IT affiniteit....

Daarom ben ik erg benieuwd naar de phishing methodiek van Snapchat accounts.
Zijn er logins gebruikt uit een eerder lek, of ben ik van de zomer in een phishing mail getrapt?

Mijn persoonlijke online veiligheidsbeleid moet wel op de schop. Dual factor, zoals Apple tegenwoordig, zou de standaard moeten worden.
En online bedrijven moeten er ook vanuit gaan dat gebruikers eigen verantwoordelijkheid nemen door niet de makkelijkste wachtwoorden te kiezen. Maar ook dat gebruikers lui zijn, geen wachtwoord managers gebruiken, de betreffende dienst niet de enige dienst is, en niet allemaal Tweakers zijn.
Verplichte dual factor via je mobiel lijkt me daarom een oplossing voor veel ellende.

[Reactie gewijzigd door Stpan op 1 augustus 2024 16:39]