Politie pakt Nederlander op bij offline halen WeLeakInfo.com

De FBI heeft samen met autoriteiten in onder andere Nederland opgetreden tegen WeLeakInfo.com, een zoekmachine die betaalde abonnementen aanbood om gestolen persoonsgegevens te vinden. In Nederland is daarbij een aanhouding verricht.

De FBI meldt dat bij de actie het domein van WeLeakInfo.com in beslag is genomen en dat daarmee de activiteiten van de website een halt is toegeroepen. Bezoekers van de site zien voortaan een schermvullende banner dat het domein in handen van de FBI is.

De FBI werkte bij de actie samen met de Nederlandse politie, de Britse National Crime Agency, het Duitse Bundeskriminalamt en de politie van Noord-Ierland. Woensdag heeft de Nederlandse politie een 22-jarige man uit Arnhem aangehouden die ervan verdacht wordt 12 miljard inlognamen en wachtwoorden online aangeboden te hebben.

Bij het onderzoek zijn twee woningen in Arnhem doorzocht en in de woning van de verdachte vond de politie aanwijzingen dat de verdachte diensten kon aanbieden via WeLeakInfo. De politie vermoedt dat de man een faciliterende rol heeft gespeeld bij het bezitten en aanbieden van gestolen gebruikersnamen en wachtwoorden.

Bij het onderzoek is eveneens een 22-jarige man uit Noord-Ierland aangehouden. WeLeakInfo.com was een site met een zoekmachine voor gestolen en uitgelekte inlognamen en wachtwoorden. Gebruikers konden een abonnement nemen op de dienst om zo de persoonsgegevens te kunnen misbruiken. WeLeakInfo bood abonnementen voor een dag, week, maand of jaar aan. Voor 2 dollar kon de zoekmachine een dag gebruikt worden. De dienst lijkt op die van LeakedSource, die in 2017 offline ging.

Reacties (63)

[Noitisnt]

"Waar de Arnhemmer precies van wordt verdacht, is onduidelijk. Een woordvoerder van de Politie Oost-Nederland kon die vraag vrijdagochtend niet direct beantwoorden."

bron: Nu.nl

Opmerkelijk..

[Maurits van Baerle]

Dat wil natuurlijk niet zeggen dat er geen duidelijke verdenkingen plus bewijs is. Het zegt alleen dat de politiewoordvoerder (die uiteraard pas na de arrestatie op de hoogte is gebracht) die details nog niet heeft of dat die details nog niet vrijgegeven zijn voor publicatie.

Deze man zal op zijn minst al een Hulpofficier van Justitie (van de Politie) gezien hebben tijdens of direct na z'n arrestatie en zeer waarschijnlijk zelfs inmiddels al een Officier van Justitie (van het Openbaar Ministerie) en van hem/haar gehoord hebben wat de verdenking is.

[Reactie gewijzigd door Maurits van Baerle op 23 juli 2024 15:30]

[iceblink]

Ik vraag me af of het illegaal is om een lijst met wachtwoorden te verkopen?
Ligt er volgens mij maar net aan hoe ze verkregen zijn?

Edit: vraag werd beantwoord op nu.nl:

Het is wel strafbaar, zie wetboek van strafrecht artikel 139d lid 2:

Artikel 139d

2.Met dezelfde straf wordt gestraft hij die, met het oogmerk dat daarmee een misdrijf als bedoeld in artikel 138ab, eerste lid, 138b of 139c wordt gepleegd:

a. een technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen van een zodanig misdrijf, vervaardigt, verkoopt, verwerft, invoert, verspreidt of anderszins ter beschikking stelt of voorhanden heeft, of

b. een computerwachtwoord, toegangscode of daarmee vergelijkbaar gegeven waardoor toegang kan worden gekregen tot een geautomatiseerd werk of een deel daarvan, vervaardigt verkoopt, verwerft, invoert, verspreidt of anderszins ter beschikking stelt of voorhanden heeft.

[Reactie gewijzigd door iceblink op 23 juli 2024 15:30]

[HoppyF]

Hij heeft er volgens het AD twee ton mee verdiend en heeft dus meegewerkt aan het faciliteren van een misdrijf. Hij hoeft daarvoor zelf geen wachtwoorden gehacked te hebben.
https://www.ad.nl/tech/ne...en-wachtwoorden~a3ac3231/

[Groningerkoek]

Los daarvan zal hij ook vast niet netjes inkomstenbelasting hebben afgedragen.

[FJB]

Los daarvan zal hij ook vast niet netjes inkomstenbelasting hebben afgedragen.

En dat is in Nederland een grotere misdaad

[Maxxi]

Voorhanden hebben is strafbaar.

[banaj]

"Waar de Arnhemmer precies van wordt verdacht, is onduidelijk. Een woordvoerder van de Politie Oost-Nederland kon die vraag vrijdagochtend niet direct beantwoorden."

Hij wordt verdacht van het bezitten en aanbieden van ontvreemde gebruikersnamen en wachtwoorden. Hoe hij daaraan is gekomen, is niet bekend. "Dat is de grote vraag", zegt de politie.

Zijn er trouwens juristen in de zaal?

• WeLeakInfo: bezit data en ter beschikking stellen aan derden: lijkt me duidelijk niet ok dus
• [url="https://haveibeenpwned/"]HaveIBeenPwnd[/url]: bezit data en stelt metadata (wel / niet bekend EN benoemt specifieke dump waar data inzit) ter beschikking aan derden. Derden kunnen naam doelwit intoetsen, door HIBP genoemde dumps downloaden, wachtwoorden kraken en foute dingen doen. Is dit niet facilitatie van cybercrime (light)?
• Scattered Secrets: bezit data en stelt metadata (wel / niet gekraakt, GEEN details over dumps) ter beschikking aan derden. Na toestemming kan je eigen wachtwoorden zien. Grijs gebied?

edit: had linkje verklooit.

[Reactie gewijzigd door banaj op 23 juli 2024 15:30]

[vandenbel]

De discussie lijkt een beetje voorbij te gaan aan het probleem wat hier op tafel ligt, namelijk het volume (12 miljard!) van de online wachtwoorden en passwords. Dit volume geeft m.i. aan dat we een groot probleem hebben en dat ‘alles’ zo’n beetje op straat ligt. Ik ben benieuwd wat de technische basis van deze ‘faal’ is, en of het ook gaat om logins waar creditcards aan hangen zoals bij Ebay en PayPal of andere betaaldiensten. Heeft iemand meer informatie? Moeten / kunnen we actie ondernemen?

[SeBsZ]

Beide sites die je noemt laten alleen zien of je in een lek zit, en de laatste laat ook wachtwoorden zien. Het belangrijkste echter is dat deze informatie alleen aan de eigenaar van het email adres getoond wordt. Ik kan niet iemand anders z'n wachtwoorden zien.

[GateKeaper]

Wat mag niet? De politie is vrij om iemand te arresteren en de pers niet (direct) te informeren. Het is zelfs redelijk normaal, om in belang van het onderzoek beperkte informatie te ontsluiten.

Uiteraard moet de gearresteerde wel worden verteld waar hij precies van verdacht wordt, en dient zijn advocaat geïnformeerd te worden.

[SinergyX]

Ergens best jammer, dit was mijn bron om de herkomst van diverse lekken te vinden, niets is makkelijker dan aan het wachtwoord te zien welke site daarbij hoort, iets wat bij haveibeenpwned niet zo'n makkelijke opgave was (waar je ook nooit moet zoeken op je actieve wachtwoorden).

[phosporus]

"iets wat bij haveibeenpwned niet zo'n makkelijke opgave was (waar je ook nooit moet zoeken op je actieve wachtwoorden)."


Misschien even wat uitleg over hoe Have I been Powned zijn password check werkt.

[SinergyX]

Maakt weinig uit, je gaat geen 80+ wachtwoorden testen om te kijken of er niet ergens eentje inzit, ik pak gewoon (nouja, kon gewoon) aanzienlijk lagere aantal van usernames en emailadressen, check alle wachtwoorden die erbij zitten, ben ik met 10 minuten klaar.

[P_Tingen]

Dat kon dan omdat je voor elk van je logins een uniek wachtwoord had?

[CAPSLOCK2000]

Dat kon dan omdat je voor elk van je logins een uniek wachtwoord had?

Dat is al jaren het advies, dus ik hoop van wel.

[SinergyX]

Dat natuurlijk altijd, maar met de jaren iets meer 'algoritme' toegepast dat ze niet simpel kunnen herleiden waar het vandaan komt (bv 'complex + tweakers' is nobrainer dat dit dan wel voor deze site is).

[P_Tingen]

Volledig uniek gegenereerd door LastPass / BitWarden oid is op zich genoeg, geen 'algoritme' voor nodig om te checken of het uniek is. Uiteraard wel als je je wachtwoorden in je hoofd wil kunnen 'genereren'

[SinergyX]

Om vervolgens je hele lijst met wachtwoorden door te moeten gaan welke het is, ik leun amperop wachtwoordmanagers, mocht ik m'n telefoon kwijt raken heb ik een groter probleem

[P_Tingen]

Je slaat ze alleen op op je telefoon? Lijkt me risky..

[SinergyX]

Zeker niet, maar het is niet dat ik mijn PC dagelijks in m'n binnenzak heb zitten.

[gevoelig]

Daar heb je een app voor op nagenoeg elk platform. Door een herleidbare prefix/postfix te gebruiken zwak je je complexe wachtwoord enorm af.

[SinergyX]

Ach, ik werk niet op niveau nasa of FBI met accounts, ik heb geen 64+ tekens wachtwoorden nodig voor een account bij een forum waar ik enkel wat lees, er is weinig afzwakking als je geen enkele vorm van logica vind in een wachtwoord. Ik kan elk account herleiden, kan direct actie ondernemen, vooralsnog pas 2x gebeurd (op de ergens 120+ accounts).

De grootste zwakste zit nog in het systeem waar deze wachtwoorden uit komen, plaintext of soms MD5, als een database lekt hoort er niet eens meer een herleidbaar wachtwoord te kunnen zijn, complex of 25x ABC wachtwoorden.

[Reactie gewijzigd door SinergyX op 23 juli 2024 15:30]

[Olaf van der Spek]

Door een herleidbare prefix/postfix te gebruiken zwak je je complexe wachtwoord enorm af.

Waarom?

[Reactie gewijzigd door Olaf van der Spek op 23 juli 2024 15:30]

[jp]

[...]

Waarom?

Als ze zien dat bij tweakers je wachtwoord "Abcd1234.tweakers" is en bij dropbbox "Abcd1234.dropbox" dan kun je wel een goeie poging doen om te raden wat je wachtwoord bij reddit is...

[Olaf van der Spek]

Ah, ik nam aan dat je een random / uniek wachtwoord plus pre/suffix zou gebruiken.. de suffix is natuurlijk alleen bedoeld ter herkenning.

[njitter]

Ik gebruik SafeInCloud. Wachtwoordmanager op mn PC en mobiel. Database wordt encrypted gesynced met Dropbox.

[Ramon]

Dat spreekt voor zich toch

[akaash00]

Dit vind ik nou ook zo jammer. ik kom voor in veel leaks, maar dan weet ik niet om welk account het gaat. Het zou inderdaad handig zijn om juist de wachtwoord te zien om zo te weten om welk account het gaat. Er moet een openbare zoekmachine gemaakt woorden voor de lekken die al public zijn met de wachtwoorden vind ik. Dat zou veel beter zijn dan haveibeenpwned naar mijn mening.

Edit: en gewoon wachtwoorden wijzigen bij een leak heeft ook geen zin als je niet weet om welk account het gaat. Want anders zou ik bij elke leak 10 tallen(nog geen 100) wachtwoorden moeten veranderen. Wat absurd is om steeds te doen.

[Reactie gewijzigd door akaash00 op 23 juli 2024 15:30]

[tweaknico]

Gewoon unieke mail adressen per site gebruiken... Dat helpt ook als een legitieme site op enig moment stopt en het domein/site in andere handen komt. Of een site plotseling allerlei spam mail gaat verzenden...
mailadres kan dan ook op de forward naar anti-spam toko's.

[MrManuel]

Dit dus.

[Olaf van der Spek]

Dit vind ik nou ook zo jammer. ik kom voor in veel leaks, maar dan weet ik niet om welk account het gaat.

Google's wachtwoord check kan je dat vertellen, mits je Google Chrome gebruikt.

[MrManuel]

Gewoon overal een ander wachtwoord..
Hergebruiken van wachtwoorden is een no-go.

Dus als je ziet tweaker een leak heeft gehad, hoef je enkel tweakers aan te passen.

[akaash00]

Ik hergebruik wachtwoorden ook niet meer, maar het gaat om de leaks waarvan de herkomst niet bekend is. Dan weet je niet welke compromised is.

[Anoniem: 1326126]

Same, heb het ook wel gebruikt voor papers over cybersecurity en ook wel uit nieuwschierigheid. Grote vraag is nu; het schijnt dus dat toegang verschaffen tot deze info in NL valt onder heling. Onderzoek naar site loopt nog. Heb dus nu zeg maar een low-key panic attack dat dit nare gevolgen voor me gaat hebben.

[SinergyX]

Ik vraag me af tot hoever ze gaan, dat ze zelfs bezoekers (en betalers) gaan vervolgen voor wat ze hebben daar gezocht, via omwegen kon je gros van data toch wel terug vinden bij diverse dumps.

Leakedsource heb ik ook jaren gebruikt (samen met nog een dienst), maar in de jaren erna nooit wat gehoord over 'foute' dingen doen.

[lucatoni]

Ik heb hier wel dubbele gedachten bij. Wanneer ik Twitter lees van deze groep (https://twitter.com/weleakinfo) dan lijkt het doel van de site/beheerder helemaal niet om accounts / wachtwoorden te verspreiden voor slechte bedoelingen, maar eerder om te controleren of je niet bent gehacked. Je ziet bijvoorbeeld ook tweets met voorbeelden hoe je je wachtwoorden veilig kan houden.

Dit is in ieder geval in schril contrast met het persbericht wat nu is uitgekomend. Nogmaals, ik weet niet wat de intensies waren. Maar je kan het personeel van een keukenwinkel ook niet kwalijk nemen wanneer ze een mes verkopen die vervolgens voor geweldsdelicten wordt gebruikt.

[Reactie gewijzigd door lucatoni op 23 juli 2024 15:30]

[biglia]

Maar ik zou op weleakinfo bijvoorbeeld wel op jouw username "lucatoni" kunnen zoeken, en alle paswoorden kunnen opvragen die gelinkt zijn aan jouw username. Dus het kan ook gebruikt worden om paswoorden van andere mensen op te vragen.

Bij HaveIBeenPwned, wat klaarblijkelijk wel legaal is, kan je alsnog iemand anders zoeken, maar wordt het wachtwoord niet getoond. Bij andere legale services waar het wachtwoord wel wordt getoond, moet je je identiteit bevestigen via een e-mail die naar het opgezochte e-mailadres wordt gestuurd.

[Reactie gewijzigd door biglia op 23 juli 2024 15:30]

[Blokker_1999]

als ik naar de site in de waybackmachine kijk, dan lijkt dat inderdaad het doel van de site. Ik kende de site evenwel niet en weet dus ook niet hoe de zoekresultaten eruit zien. Maar in het geval dat je in de zoekresultaten enkel ziet vanwaar de breach komt, en niet alle andere bijhorende gegevens (bijv, je geeft een email adres in en ziet dan enkel sites en geen wachwoorden, adresgegevens, telefoonnummers, ...) dan is er eigenlijk zelfs niet veel aan de hand en had men de site nooit mogen neerhalen.

[d5stick]

Mosterd na de maaltijd. De aanbieder is een beetje dom geweest om dit op het publieke web te verspreiden. Dit soort data is op de darkweb in complete pastebins over te kopen maar hier hoor je over het algemeen vrij weinig over. Op het darkweb kun je ook gepersonaliseerde ransomware kopen waar bedrijven nu duizenden/miljoenen euros door mislopen.

Waarom gaan ze hier niet harder tegen in?

[Mirved]

Wie zegt dat ze dat niet proberen?

[Martinus]

Big data met Pay as you go... en niet eens op het darkweb?

[P-e-t-j-e]

Goed om te zien dat er in ieder geval tijd en aandacht wordt besteed aan een mooi opgemaakte seized-pagina. Eerste wat me te binnen schoot toen ik het plaatje zag was "hebben ze het originele logo van de site nu geplaatst?". Bad advertising is still advertising

[TimoDimo]

Ja dat logo viel me ook op. Vreemd... een politieman/vrouw die daar niet bij nadacht en met teveel tijd over voor dit soort frivoliteiten misschien?

[RoestVrijStaal]

Hoe dachten die 22-jarigers ermee weg te kunnen komen toen ze van plan waren om zo'n website op te zetten?

[Reactie gewijzigd door RoestVrijStaal op 23 juli 2024 15:30]

[dollyking]

12 miljard inlognamen in twee woningen, dat geeft wel aan hoeveel het is

[Fluttershy]

National Crime Agency

Les 1 in naamgeving; voorkom wlke vorm van ambiguïteit...

[ACM]

Alle namen in het plaatje zijn ambigu in de zin dat ze geen land in hun naam hebben. Dat geldt dus ook politie, FBI en de andere drie, het enige wat wellicht een beetje uitmaakt voor die NCA is dat Engels een wat gebruikelijkere taal is dan Nederlands of Duits...

Maar om nou altijd te proberen je organisatie een naam te geven die wereldwijd uniek is, voelt als een nodeloze complicatie bij de naamgeving. Want zo vaak zal die verduidelijking niet nodig zijn; en waar dat wel nodig is, is 'het Britse' oid erbij zetten een prima oplossing

[LeLo]

Ik las de reactie van Fluttershy meer dat de NCA onderdeel zou kunnen zijn van het internationaal opererende 'Crimes International', een onderdeel van 'Crimes-R-us'... :-)

[Fluttershy]

Ambiguïteit. Niet uniciteit.

Dat je globaal niet een unieke naam kan hebben geloof ik wel.

Maar dan kan je nog wel een iets slimmere naam bedenken die men niet kan opvatten als het nationale boevengilde.

[Byron010]

Ik zie toch echt "Police service northern ireland" staan..?

[Blokker_1999]

Euhm, gestraft ... voor wat? Men weet niet eens waar hij van verdacht wordt.

[HoppyF]

Hij is (nu nog) verdachte dus er zijn blijkbaar genoeg aanwijzingen om hem aan te houden.
Straf volgt later maar wat mij betreft mogen ze hem uitleveren als hij in de USA ook strafbare feiten heeft gepleegd.

[ajolla]

Of bedoel je: 'als hij feiten heeft gepleegd die ook in de USA strafbaar zijn'?

[HoppyF]

Ja, dat dus.
Als de feiten waarom hij is aangehouden niet in de USA strafbaar zijn zal men hem ook niet kunnen veroordelen en is er van uitlevering geen sprake.
(btw, vreemd dat mijn reacties -1 gemod worden terwijl dit toch on topic is).