Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Onderzoekers dringen 'onbeveiligde' klantdatabase Gearbest binnen

Onderzoekers van VPNMentor wisten naar eigen zeggen verschillende delen van de database van de Chinese webwinkel Gearbest binnen te dringen en troffen daar gegevens over bestellingen, betalingen en klanten aan.

Het team van VPNMentor, geleid door de Israëlische beveiligingsonderzoeker Noam Rotem, kon na de inbraak bij persoonsgegevens van bestellingen, betalingen en klantdata waaronder paspoortinformatie en accountwachtwoorden. In totaal ging het om meer dan 1,5 miljoen database entries
die het team deze maand wist te ontdekken. Volgens de onderzoekers was de Elasticsearch-database niet beschermd en waren veel gegevens zoals wachtwoorden niet versleuteld.

Als voorbeeld van hoe kwalijk het is om als webwinkel een database bloot te geven meldt VPNMentor dat het persoonsgegevens van kopers van seksspeeltjes kon inzien, die in sommige landen in grote problemen kunnen komen als dat bij autoriteiten bekend wordt.

De onderzoekers kregen ook url-toegang tot het Kafka-databeheersysteem van Gearbest en moederbedrijf Globalegrow. Dit zou kwaadwillenden de gelegenheid geven hele delen van servers uit te schakelen. De onderzoekers hadden Gearbest enkele dagen de gelegenheid gegeven te reageren maar kregen nog geen reactie.

Door Olaf van Miltenburg

Nieuwscoördinator

14-03-2019 • 21:34

101 Linkedin Google+

Submitter: MartyDog_NL

Reacties (101)

Wijzig sortering
Oke, dit is best scary. Ging even op onderzoek uit en nu zelf een onbeveiligde KAFKA-server gevonden van Alibaba.

https://imgur.com/6sfTukJ

Gearbest lijkt dus niet de enige te zijn. Ik kan je vertellen: het is kinderlijk eenvoudig om er achter te komen. Je hebt alleen wat basiskennis nodig. Lijkt er ook op dat de database niet versleuteld is: https://imgur.com/xknspqm.

10 minuten verder en ik vind er alleen maar meer; niet alleen maar databaseservers van Alibaba of AliExpress, maar ook van andere partijen die KAFKA-servers draaien. Dat hele KAFKA lijkt by default wel zo lek als een zeef. Sommigen hebben wel een wachtwoord ter authenticatie, maar ook dat lijkt wel erg simpel in elkaar gezet zonder 2FA of wat dan ook.

Tot nu toe niet interessanters kunnen vinden, maar daarvoor zou je dieper moeten graven.

[Reactie gewijzigd door AnonymousWP op 14 maart 2019 22:41]


Om te kunnen reageren moet je ingelogd zijn


Apple iPhone XS Red Dead Redemption 2 LG W7 Google Pixel 3 XL OnePlus 6T (6GB ram) FIFA 19 Samsung Galaxy S10 Google Pixel 3

Tweakers vormt samen met Tweakers Elect, Hardware.Info, Autotrack, Nationale Vacaturebank, Intermediair en Independer de Persgroep Online Services B.V.
Alle rechten voorbehouden © 1998 - 2019 Hosting door True