Gegevens 24 miljoen Lumin PDF-gebruikers verschijnen online na datalek

De gegevens van 24,4 miljoen gebruikers van de webdienst Lumin PDF zijn online verschenen. De dienst is vooral bekend als alternatieve manier van openen van pdf-bestanden in Google Drive. In de database staan ook Google-tokens en wachtwoorden van gebruikers.

Het gaat om een zip-bestand van 2,25GB met een csv-bestand waarin gebruikers staan, meldt ZDNet. De site heeft de authenticiteit van het lek bevestigd gekregen. De hacker zegt dat hij eerder dit jaar contact heeft opgenomen met het bedrijf achter Lumin PDF om het lek te repareren, maar die zegt geen reactie te hebben gehad.

Diegene trof de MongoDB-database in april van dit jaar online aan zonder wachtwoordbeveiliging. Ransomware zou de database offline hebben gedwongen, maar de hacker heeft geen antwoord gehad van het bedrijf op zijn melding.

In de database staan naast gebruikersnamen ook veel tokens voor toegang tot een Google-account. Volgens Nitrolabs, het bedrijf achter Lumin PDF, waren die tokens op moment dat de database online verscheen niet meer geldig en konden kwaadwillenden zich dus geen toegang verschaffen tot een Google-account. Van 185.000 mensen staat er met een Bcrypt-algoritme versleuteld wachtwoord, vermoedelijk gebruikers die de losse site hebben gebruikt.

Lumin PDF is in gebruik om pdf-bestanden te openen en te bewerken, bijvoorbeeld om ze te voorzien van een handtekening. Diensten die in de gaten houden of mailadressen in een datalek zitten, zoals HaveIBeenPowned en Firefox Monitor, hebben inmiddels getroffen gebruikers een bericht gestuurd over het datalek. Het bedrijf zelf heeft gebruikers niets laten weten.

Reacties (13)

[DarthKZ]

Ik ben ook gehackt helaas

[Verwijderd]

Je bent niet gehackt, dat is het bedrijf. Jouw credentials zijn gelekt. En dat is relatief beperkt, want je gebruikt overal een uniek wachtwoord voor (toch?).

[Dutch2007]

Token intrekken was afaik al voldoende ;-)

[Verwijderd]

Jep, las ik later ook. Hoewel dat afhangt van hoe je je account daar hebt aangemaakt (oauth, of rechtstreeks).

Aldus HIBP:
In April 2019, the PDF management service Lumin PDF suffered a data breach. The breach wasn't publicly disclosed until September when 15.5M records of user data appeared for download on a popular hacking forum. The data had been left publicly exposed in a MongoDB instance after which Lumin PDF was allegedly been "contacted multiple times, but ignored all the queries". The exposed data included names, email addresses, genders, spoken language and either a bcrypt password hash or Google auth token. The data was provided to HIBP by a source who requested it be attributed to "[e-mail]".

[Blizz]

Heeft al iemand ingebroken?

[Goldlady1]

Humor. "Gegevens gebruikers verschijnen online na datalek"
Deze zin hoor ik de laatste 4 jaar vaker dan de 40 jaar daarvoor. ( Ja, ik ben oud )

Dat biedt hoop voor de toekomst.

[OxWax]

En dan nog grote bek terwijl ze het al jaar wisten "jamaar ...
Volgens Nitrolabs, het bedrijf achter Lumin PDF, waren die tokens op moment dat de database online verscheen niet meer geldig

Iemand alternatief toevallig?

[Reactie gewijzigd door OxWax op 23 juli 2024 13:11]

[Knijper1962]

《MongoDB-database in april van dit jaar online aan zonder wachtwoordbeveiliging.》
Alweer een .heb hier geen verder commentaar meer op, was te verwachten.

[ctrl-tab]

Mongodb database zonder wachtwoord (en uberhaupt direct benaderbaar over het internet)
Someone will get bitchslapped.

[ajolla]

Moraal van het verhaal: maak maar beter geen accounts aan.

[3mib]

Je hebt voor deze tool geen ww nodig, je geeft via een token toegang to je drive bestanden.

[Unsocial Pixel]

Maakt dit het ook maar iets beter?