Klantgegevens Slickwraps buitgemaakt door datalek - update

Slickwraps, een telefoonaccessoiremerk uit de Verenigde Staten, is getroffen door een grootschalige hack waarbij onder andere de adresgegevens en e-mailadressen van klanten zijn buitgemaakt. Het lek werd ontdekt door een security-onderzoeker.

Op vrijdag werd een e-mail verstuurd naar alle klanten van SlickWraps, met daarin een waarschuwing dat het bedrijf is gehackt. In iedere afzonderlijke mail stonden daarnaast de adresgegevens van de ontvanger. In de mail staat dat er niets wordt gedaan met de gelekte persoonsgegevens, maar tegelijkertijd wordt gesteld dat 'iedereen hetzelfde kan doen'. Verschillende Twitter-gebruikers melden dat ze de mail hebben ontvangen.

SlickWraps heeft inmiddels een statement uitgebracht over de hack. Het bedrijf roept gebruikers op om hun wachtwoorden te wijzigen, en geeft aan dat er geen 'persoonlijke financiële gegevens' en wachtwoorden zijn buitgemaakt. Het bedrijf geeft daarnaast aan dat het de vergissing betreurt, en stelt dat '[SlickWraps]' van deze fout zal leren'.

De datalek werd ontdekt door Twitter-gebruiker Lynx0x00, die details over de hack deelde op blogplatform Medium. Lynx0x00 stuitte op een lek in de SlickWraps-website waarmee 'iedereen met de juiste toolkit' bestanden kan uploaden naar de root van de webserver. De onderzoeker uploadde een .htaccess-bestand, waarna de hacker toegang kreeg tot de cv's van SlickWraps-werknemers en 9GB aan persoonlijke foto's van gebruikers.

Ook kon door het lek shell-commands uitgevoerd worden, waarna de hacker toegang kreeg tot de complete MySQL-database van 17GB. In deze database vond Lynx0x00 de accountdetails van SlickWraps-admins, inclusief wachtwoordhashes. Ook stuitte de security-onderzoeker op adresgegevens, telefoonnummers, en ruim 377.000 e-mailadressen van SlickWraps-klanten. Verder kreeg de hacker toegang tot de api-credentials voor onder andere Twitter, Facebook, PayPal en betaalplatform Braintree. De hacker kon ook bij de Zendesk-omgeving van SlickWraps, waarmee het bedrijf zijn klantenservice regelt.

Lynx0x00 kreeg toegang tot het adminpaneel van SlickWraps. Afbeelding via Lynx0x00

Doordat Lynx0x00 toegang had tot de e-mailadressen van admins, kreeg de hacker na het resetten van wachtwoorden toegang tot het SlickWraps Slack-team en transactielogboeken en saldo's op PayPal en Braintree. Ook bleek dat het content management-systeem van SlickWraps werd beveiligd met een 'nutteloze firewall'. De hacker voegde zichzelf toe als admin, waarna de gebruiker naar eigen zeggen 'het complete bedrijf had kunnen verwijderen'.

Lynx0x00 geeft aan via meerdere kanalen contact te hebben opgenomen met SlickWraps, maar het bedrijf bleek niet bereikbaar voor commentaar. Zo stuurde de security-onderzoeker e-mails naar de klantenservice van SlickWraps, en uploadde de hacker een tekstbestand met daarin de tekst 'Lynx@RLSec was here'. "Binnen elf minuten na het uploaden van het tekstbestand, werd ik geblokkeerd op Twitter."

Inmiddels zegt de hacker kortstondig contact te hebben gehad met het bedrijf, maar inmiddels opnieuw geblokkeerd te zijn nadat de security-onderzoeker een e-mail stuurde naar de ceo van SlickWraps. Lynx0x00 heeft op zijn beurt contact opgenomen met de maker van haveibeenpwned, een website waarop gebruikers kunnen nakijken of ze zijn getroffen door datalekken.

Tweakers heeft geprobeerd contact op te nemen met het bedrijf, maar het e-mailadres van SlickWraps is inmiddels niet meer in gebruik.

Update, 20:15: Slickwraps heeft inmiddels een statement uitgebracht over de hack. Het artikel is hierop aangepast.

Reacties (42)

Op Twitter hebben ze een statement uiteen gezet: https://twitter.com/SlickWraps/status/1230929725192839170

CC: @AverageNL

[Reactie gewijzigd door AnonymousWP op 21 februari 2020 20:11]

Ik pas het artikel aan, bedankt voor het melden!

ah, een reactie van het bedrijf zelf. Bedankt voor de twitter link

Blijf het wel bijzonder vinden dat de CEO nu na de verzonden email wel ineens van zich laat horen. In eerste instantie negeren ze de mogelijke data breach (melding op 16 februari al gemaakt)

[Reactie gewijzigd door _Bailey_ op 21 februari 2020 20:22]

Ja maar als je dus niet op de mailing lijst staat in je account krijg je dus die mail niet so far voor je we hebben alle klanten gemaild

En sowieso klopt de datum van het lek niet wanneer ze het geconstateerd hebben ze waren er al eerder op gewezen en er niets mee gedaan

Nog leuker detail, ze draaien op een verouderde Magento versie waar diverse security patches niet geïnstalleerd zijn: https://www.magereport.co...tps://www.slickwraps.com/

Kun je ze dan aanklagen voor nalatigheid ?

Heel dit bedrijf is erg nalatig dus het past wel bij ze. Mensen moeten een terugbetaalverzoek indienen als ze hun bestelling überhaupt willen ontvangen. Anders bestel je wat en is er na 2 weken nog niks gedaan, ook reageren ze niet op vragen over een bestelling.

Zolang jij geen schade hebt ondervonden, valt er ook weinig aan te klagen natuurlijk.

In Nederland zou hier duidelijk een zaak zijn. Super nalatig en alle gegevens die het bedrijf (onterecht) bezat zijn gelekt.

Maar die gegevens bestaan juridisch helemaal niet: https://blog.iusmentis.co...idisch-betekent-praktijk/

Aangezien de originele posts op Medium onbereikbaar zijn hier een archive.

https://web.archive.org/w...-this-is-how-8b0806358fbb

http://archive.is/yEIJT
En hier een archief inclusief afbeeldingen.

Ik heb de link in het artikel vervangen. Bedankt! Ook aan @e.dewaal

Ik kreeg op 24 januari al de volgende mail als antwoord op een vraag ivm een verzending:

Hello,

Slickwraps is a Scam. They will never care about your question. Your Issue will never get solved. Better buy from Dbrand or XtremeSkins or Color Ware.

For more Info Check this Subreddit

https://www.reddit.com/r/Slickwraps_Is_Scam/

My Email: [e-mail]

My Twitter: https://twitter.com/silconwaki

Regards

Zain

(P.S Slickwraps CEO aka Joathan Endicott and Slickwraps's Social Media manager aka Azhar, both are fucking Scammers)

Dbrand if you are seeing this then contact me, There is alot to tell you.

Thanks. Again Fuck you Slickwraps

Later op de dag kreeg ik de volgende mail:

Hey,

We are aware of the recent email that had gone out. We have been hacked, and as I type this to you we are fixing the problem.We stopped them from going any further than the ticket responses, so no customer data was accessed. We assure you everything is alright. We apologize for this inconvenience.

Geen slickwraps voor mij meer voorlopig. De ene keer dat ik er besteld heb heb ik me gewoon aangemeld als guest (heb de mail waarnaar verwezen wordt ook niet ontvangen). Hoop hier verder geen last meer van te hebben. Heb mijn bestelling wel netjes ontvangen trouwens.

[Reactie gewijzigd door bvnmss op 21 februari 2020 20:28]

ik heb dus 2 emails ontvangen waarin deze (mogelijk enorme) data breach wordt onthuld.
Ik ben echt een n00b wat dit betreft; maar wat is het beste nu te doen? Inloggen in mijn SlickWraps account en gauw al mijn data als CC verwijderen of juist nog even niets doen?

Kan geen kwaad, maar als de data al gestolen is lost het niks op.

Shell toegang geeft iemand ook meteen de mogelijkheid om alles in te zien,encryptionkeys, wachtwoorden als plaintext opslaan, alles is mogelijk.

Als hij daarbij ook op hun bedrijfsnetwerk kon komen, hij had inderdaad in 1 klap het hele bedrijf kunnen vernietigen waarschijnlijk.

wachtwoorden als plaintext opslaan,

Als die wachtwoorden gehashed zijn is dat absoluut niet mogelijk, als ze niet gehashed zijn hoef je ze niet als plaintext op te slaan.

Er is op dit moment geen enkele reden om aan te nemen dat er wachtwoorden buitgemaakt zijn. Als jij andere informatie hebt, deel dat AUB. Maar later we geen fud verspreiden over dit soort dingen.Shell toegang is zeer kwalijk maar hoeft NIET te betekenen dan de wachtwoorden te lezen zijn.

Als er shelltoegang was had een hacker gewoon het loginscript kunnen aanpassen en de wachtwoorden plaintext kunnen doorsturen bij elke inlogpoging.
Het HOEFT het niet te betekenen, maar alles is mogelijk

Het is puur speculatie inderdaad, maar slickwraps is geen onbekende speler, als één hacker shell toegang kon krijgen is het goed mogelijk dat meer mensen dat konden.
Het zou kunnen zijn dat de wachtwoorden van iedereen die heeft ingelogd de afgelopen tijd zijn buitgemaakt en daarom is het misschien wel slim om daarvan uit te gaan.

Als er geen salt gebruikt is dan zijn die hashes bijna net zo erg als plain text. Er staat nergens of dit het geval is maar ik wil aangeven dat hashes niet per definitie veilig zijn.

ik probeer in te loggen op mijn SlickWraps account. Ik kan er niet eens meer in. Hij herkent mijn email adres niet eens meer.
Dit terwijl ik dus wel vanmiddag 2 afzonderlijke emails heb ontvangen.

Denk dat ik voor nu maar even moet stoppen om proberen toch toegang te krijgen tot mijn data

Dat zou ik in ieder geval doen; een eventuele vervolghack heeft dan mogelijk niet meer de beschikking over deze gegevens.

Controleer daarnaast of je hetzelfde wachtwoord ook nog ergens anders gebruikte (en reset die) en indien er inderdaad afdoende betaalinformatie voorhanden is bij SlickWraps dan zou ik de relevante aanbieders van je bijv. CC / PayPal / je bank ook op de hoogte stellen.

thanks! ga eens goed mijn wachtwoorden bij de diverse sites checken.

Bel naar de bank, zeg dat je je CC hebt gebruikt op een website die een data-breach heeft gehad.
Ze zullen dan onmiddelijk een nieuwe kaart opsturen.

De kosten om een nieuwe kaart te versturen zijn zo minimaal ten opzichte van de minimale kans dat jouw creditcard wordt gebruikt in het wild.

Ja, ga morgenochtend maar eens de bank bellen. Goeie tip, dankje.

Mocht je het wachtwoord wat je voor deze site hebt gebruikt ook elders inzetten zou ik dat wachtwoord overal even wijzigen in iets anders.

De wachtwoorden zijn nog niet gekraakt maar dat komt wel.

thanks! heb al flink geknutseld aan mijn diverse wachtwoorden

Heel toevallig heb ik daar vorige week voor het eerst een bestelling geplaatst maar heb hierbij geen account aangemaakt. "Create an account for later use" niet aangevinkt en dus geen password hoeven in te vullen. Ik vraag mij af of gegevens van alleen bestellingen zonder accounts in dezelfde database zaten als de gehackte accounts data.

Ga daar maar vanuit, want het is heel onpraktisch om twee losse databases bij te houden.
Met database bedoel ik hier zowel de software (in dit geval MySQL) die uiteindelijk de data van en naar disk schrijft als de plek waar die dat dan wegschrijft (die directory van 17GB); het is wel mogelijk dat binnen die database de informatie van die twee typen gebruikers los van elkaar werd opgeslagen... maar dat zal je niet helpen als er simpelweg een kopie gemaakt kon worden van de volledige opslag

Het is verder ook aannemelijk dat ze niet twee compleet losse bestelprocedures hebben uitgewerkt; dus het concept 'bestelling' of 'betaling voor bestelling' zal waarschijnlijk al niet meer gescheiden zijn.

Ik zie dat Slickwraps gebruik maakt van Magento. Magento slaat de ordergegevens inderdaad op in dezelfde database als de logingegevens.

Het lijkt er wel op dat alleen accounthouders gemailed zijn dan. Ik heb vooralsnog niets gehoord van beide partijen.

ik heb iig mijn ww gewijzigd.
Sowieso verstandig om je CC/Paypal na betaling weer te ontkoppelen.
Overigens van Slickwraps heb ik niets vernomen per mail. Raar dat ze niet automatisch gelijk alle ww's resetten.

Waardeloze bedrijf.

Laatste keer iets verkeerd besteld.
Direct een mail gestuurd met de vraag om mijn bestelling te annuleren.
Krijg ik een reactie terug van eenmaal geplaatst kun je niet annuleren staat in onze voorwaarden enzovoort.

Ik hierop antwoorden van is mij in het verleden één keer eerder gebeurd en toen was het geen probleem.
Ze bleef erbij en dus ik dacht laat ook maar.

Twee weken verder en mijn bestelling was nog steeds opgestuurd dus nogmaals een verzoek ingediend waarop geen reactie op terug kwam.

Uiteindelijk een case geopend via PayPal en ook daar geen reactie van hun richting PayPal waarop ik mijn geld terug kreeg.
Kort hierna werd item alsnog verstuurd dus er gaan meer dingen niet goed daar zogezegd.

Maar tot nu toe mijn bestellingen altijd met PayPal checkout afgerekend dus ga er vanuit dat ik save ben......
Ik heb dan ook nooit een email ontvangen van iemand namelijk.

Edit: lees net in hun statement op Twitter dat er bij guests kopers niks aan de hand is

[Reactie gewijzigd door beezjeh op 21 februari 2020 20:23]

Daarom bestel ik zo mogelijk ook altijd 'CoD', cash on delivery.
Kwam laatst goed uit, een pakketje kwam beschadigd aan, zag ik zo aan de buitenkant al, en heb 't gewoon geweigerd. Eigenlijk is de procedure dat je zoiets ontvangt en dan terugstuurt maar ze zoeken 't maar uit hoor.

Overigens nooit 'voor het gemak' je CC gegevens bij anderen stallen.
Alles is lek Lek LEK, zo lek als een mandje, en 't komt op een gegeven moment gewoon op straat te liggen. Niet doen. Gewoon níet doen.

Dat is wat ze beweren. Er is echter een storm aan reacties van guest bestellers die ook de mail hebben gehad. Zag er ook een tussen van een persoon die op de maillijst was gezet na een guest-bestelling en toen hij hierover klaagde vertelde de medewerker dat er intern alsnog een soort 'account' van je word aangemaakt.

Vind persoonlijk dat deze 'hacker' wel lang doorgegaan is met snuffelen in systemen. Hij had z'n punt ook wel eenvoudiger kunnen maken.

Is vrij normaal om te zien wat er allemaal fout zit en niet om zodra je een ingang vind die ingang te laten verhelpen waarbij de rest wagenwijd open blijft staan.

Sowieso is hello@slickwraps geen geldig mail adres he jongens die heeft die security onderzoeker alleen als afzender gebruikt ik neem aan dat je nog wel de reguliere hebt geprobeerd ook dus de info en de [e-mail]

Overigens was ik ook een van degene die een mailtje kreeg en ze hebben geen optie tot het deleten van de account en er lijken dus inderdaad nu al meerdere partijen met de juiste tools bezig te zijn, desalniettemin heb ik net mijn contact gegevens etc in garbage vervangen

In een bevestigingsmail van een bestelling staat dit: "If you have any questions about your order, please contact us at [e-mail] or by visiting our support page."