Nintendo reset nog eens 140.000 wachtwoorden na ongeoorloofde log-ins

Nintendo heeft de wachtwoorden van nog eens 140.000 accounts met een Nintendo Network ID gereset. Het gaat om accounts waarvan het bedrijf ongeoorloofde inlogs ontdekte. Eerder resette Nintendo al 160.000 accounts. Volgens het bedrijf gaat het niet om een datalek.

Nintendo schrijft op een Japanse ondersteuningspagina dat het 140.000 getroffen gebruikers benaderd heeft over het incident. Het gaat om ongeoorloofde inlogs met een Nintendo Network ID. De gebruikers zijn uitgelogd en hun wachtwoorden zijn gereset. Nintendo Network ID's zijn iets anders dan Nintendo-accounts. De identificatiemethode werd gebruikt op de Nintendo 3DS en de Wii U.

Het gaat om hetzelfde incident als in april. Toen resette Nintendo al 160.000 gebruikersaccounts nadat daarop ongeautoriseerde inlogs waren vastgesteld. Nintendo zegt dat het verder onderzoek heeft gedaan en tot de conclusie is gekomen dat er bijna twee keer zoveel slachtoffers zijn.

Het is nog steeds niet duidelijk hoe de inlogs konden gebeuren. Volgens Nintendo werd er nadrukkelijk geen gebruik gemaakt van credential stuffing, maar het bedrijf heeft niets gezegd over een mogelijke inbraak op de servers van het bedrijf. Bij de accounts waarop werd ingelogd konden de aanvallers de gebruikersnaam, geboortedatum, land en e-mailadres van het slachtoffer zien.

Reacties (21)

[D3F]

Nintendo biedt gelukkig 2FA aan waardoor je ongeoorloofde toegang kunt voorkomen, of in ieder geval moeilijker kunt maken: https://accounts.nintendo.com/2fa/authenticator

[Reactie gewijzigd door D3F op 23 juli 2024 04:48]

[JackAvery]

Aanvulling voor de duidelijkheid: je kan gerust een andere authenticator gebruiken dan Google Authenticator (die bij naam vernoemd wordt op de Nintendo website). Alternatieven zoals Authy werken gewoon ook.

[karelb1984]

Alleen het Nintendo account heeft 2FA. Het oudere Nintendo Network ID heeft dat naar mijn weten niet.
Wanneer het Nintendo Network ID aan het Nintendo Account is gekoppeld, dan kon je ook met je oude Network ID bij je Nintendo Account inloggen. Sinds deze aanval is die mogelijkheid geblokkeerd, maar de oude Nintendo Network ID's blijven dus nog kwetsbaar.

[laminaatplaat]

Waar kan je dit onder scharen als het geen datalek is? Zijn hackers heel goed geworden in raden van wachtwoorden?

[Reactie gewijzigd door laminaatplaat op 23 juli 2024 04:48]

[Anonymoussaurus]

Mwah, zo moeilijk is dat niet. Er zijn tal van datasets te downloaden op het internet, met miljarden e-mail adressen en wachtwoorden. Gewoon dit automatiseren en een script loslaten op een portal (met "geluk" hebben ze hier geen beveiliging tegen). Als er dan toch nog domme mensen zijn geweest die hun wachtwoord niet hebben gewijzigd, ook al hebben ze een mail gekregen dat ze hun wachtwoord moeten resetten (want door datalek X en Y), dan ben je binnen.

[Reactie gewijzigd door Anonymoussaurus op 23 juli 2024 04:48]

[estej]

Maar dat is exact wat credential stuffing is, en Nintendo zegt expliciet dat dat niet gebeurd is.
En als het ook geen data lek is, dan is het zeker een intresant vraag wat het wel is.

[RayNbow]

wat credential stuffing is, en Nintendo zegt expliciet dat dat niet gebeurd is.

Dit is wat Tweakers beweert wat Nintendo zegt, maar ik heb moeite om dit te vinden in de Japanse tekst of op andere nieuws sites. Eurogamer beschrijft het vermoeden dat de Nintendo Network ID login gegevens mogelijk ergens anders vandaan zijn gehaald (waarmee vervolgens met zo'n login kon worden ingelogd op een Nintendo Account). Met DeepL (een machine translation site) vind ik het volgende in de tweede paragraaf:

この度、何らかの手段で弊社サービス以外から不正に入手したログインIDとパスワード情報を用いて

We have recently learned that the login ID and password information illegally obtained from sources other than our service for some reason has been used to

Dit lijkt dus het tegenovergestelde te beweren wat het Tweakers artikel beschrijft. Kan @TijsZonderH misschien de boel wat ophelderen?

[JackAvery]

Ik ben even door de Japanse tekst gegaan en Nintendo Japan zegt inderdaad enkel dat de toegangsdata niet via een hack van hun eigen services is verkregen. In een update van het Eurogamer artikel dat je linkt, bevestigt Nintendo UK verder opnieuw dat Nintendo zelf geen datalek heeft gehad:

"While there is no evidence that Nintendo's databases, servers or services were breached, and while we can confirm that no credit card information was compromised, we took precautionary measures to help safeguard our customers.

Nintendo Japan brengt het onderwerp van credential stuffing nergens expliciet ter sprake, voor zover ik gezien heb.

[Reactie gewijzigd door JackAvery op 23 juli 2024 04:48]

[Anonymoussaurus]

Zou een social engineering campagne kunnen zijn, maar lijkt me niet dat dit de reden is aangezien het dan wel een heel succesvolle campagne is.

[Royale de Luxe]

Volgens Nintendo werd er nadrukkelijk geen gebruik gemaakt van credential stuffing

Typisch een Japans bedrijf, neen wij maken dit niet mee, echt niet dit is geen lek of andere aanval.
Gezicht redden is belangrijker dan de echte feiten op tafel leggen. Kijk maar naar het nieuws van Honda eerder vandaag.

[Verwijderd]

Typisch stereotypering over Japanse bedrijven. Bedrijven van elke nationaliteit hebben last van ontkenningsverschijnselen bij problemen.

[Soggney]

onder gekraakt loginsysteem misschien. De username/pw check kan omzeilt worden door enkel de username/id te kennen?

[laminaatplaat]

Ohja, dat is inderdaad een mogelijkheid!

[Lapjespoes]

Niet noodzakelijk. Met een voldoende grote database aan mogelijke email-wachtwoordcombinaties afkomstig van bijvoorbeeld andere websites kunnen kwaadwillenden deze data gebruiken om aanvallen uit te voeren op andere websites. Ook als het gaat om bijvoorbeeld gelekte hashes die met slimme woordenboekaanvallen (brute force maar dan met parameters) achterhaald kunnen worden.

[SBTweaker]

Wachtwoorden die bekend zijn uit een ander lek wellicht.

[Wolliebolly]

Waarom alleen op een Japanse site? Volgens mij zijn er zat Engels sprekende mensen die hier ook geïnteresseerd in zijn. Lijkt mij sterk dat het alleen wachtwoorden van Japanners betreft.

[kaghy2]

Ik weet niet of het helpt, maar als het goed is ben ik beveiligd hiertegen door gebruik te maken van 2FA.

Tenminste, dat hoop ik...

[Kroff3]

Al geluk dat ze de wachtwoorden niet als plaintext hadden opgeslaan..

[Daoka]

Ik vind het goed dat Nintendo dit gedaan heeft voor de veiligheid. Maar ik vind het wel vreemd. Als deze accounts onder dezelfde "hack" vallen als de vorige keer waarom zijn ze niet gelijk meegenomen? Of zouden dit nieuwe "hack" pogingen geweest zijn wat ze onder dezelfde poging zetten zodat ze niet in nog slechter daglicht komen. Dat we niet mogen weten dat het een 2e keer gelukt is bijvoorbeeld. Want om anderhalve maand later pas erachter komen dat er nog eens zoveel gebruikers zijn vind ik wel erg laat als ze aan het onderzoeken zijn.

[supersnathan94]

Hoewel dit natuurlijk een ietwat overdreven stelling is, is de kern van je punt wel waar. Als het geen credential stuffing is en geen datalek, is het dan phishing? Brute force?( als dat mogelijk is is het nog erger want wel degelijk shit niet op orde).