Aanvallers kregen toegang tot info gebruikers NZBGeek

Aanvallers hebben zichzelf toegang verschaft tot privé-informatie van gebruikers van NZBGeek. Dat heeft de site laten weten aan accounthouders in een mail en op Discord. Onder meer creditcardgegevens en versleutelde wachtwoorden zijn buitgemaakt.

Screenshot van Discord-server NZBGeek

Op de homepage van de usenet-dienst staat niets over het datalek, maar in een mail aan gebruikers en op Discord bevestigt NZBGeek het datalek. Daarbij waarschuwt de site specifiek gebruikers die recentelijk een creditcard hebben gebruikt om voor diensten van de site te betalen. "Dan adviseren we om je credentials en je kaartinfo zo snel mogelijk te wijzigen. We weten nog niet precies wat de schade is, maar we werken eraan om dat uit te vinden en geven de info zo snel mogelijk." Gebruikers zouden verdachte transacties kunnen zien van Green Goat Gaming, de betaaldienst die NZBGeek gebruikt en een naam die de aanvallers lijken te hebben gespooft.

Behalve creditcardinfo zijn ook gebruikersnamen, versleutelde wachtwoorden en mailadressen buitgemaakt. PayPal-info is niet in gevaar, tenzij gebruikers voor NZBGeek dezelfde gebruikersnaam/wachtwoord-combinatie hebben gebruikt als bij PayPal. "De hackers hebben een keylogger op de site geplaatst. Ze kregen een kopie van onze database in handen. Gedurende deze tijd kregen we op onze harde schijf een 'indexer fail'." Alle functionaliteit van de site behalve de api is offline. Het bedrijf heeft extern een onderzoek laten instellen naar het datalek.

Reacties (57)

[GorgeousMetal]

Dit is de email die gebruikers ontvingen:

"Hey Geek,

Its with a heavy heart that we must admit that we have had a security breach.

IMPORTANT!

If you have used your card with us since the 20th November 2020 please take appropriate action.
This includes reporting it to your card issuer as this protects you from any unlawful charges.

What We Know:
The hackers were able to place a keylogger on the website.
The hackers obtained a copy of our database which includes your username, encrypted password, email address & last connected ip address.
During this time we had the hard drive on our indexer fail along with an api server.
PayPal data is not at risk provding you do not use the same username/password for NZBgeek.

Advised Actions:
If you use the same userame/password combination on any other website please change them.
You should use 2FA/two factor authticaition with all your online accounts.

Thanks,
NZBgeek"

[LigeTRy]

Extra informatie welke mogelijk handig is als je getroffen bent (source: discord):

Additional Details: The vendor for Geek transactions is Green Goat Gaming, so you can check your accounts for that. However, the hacker was spoofing the vendor name so we suggest reporting any unclear transactions as fraudulent with your bank if your info was exposed past the date mentioned above.

[Reactie gewijzigd door LigeTRy op 22 juli 2024 23:08]

[hardware-lover]

Dit is een mail die een gedeelte van de gebruikers kregen, niet iedereen is via mail op de hoogte gebracht (best wel slordig). Mogelijk heeft dat met het soort abonnement te maken wat men heeft, lifetime of yearly. Ik ben één van degenen die de mail niet heeft gehad maar zag de link naar Discord op hun website, ik heb een lifetime abonnement.

[Facerafter]

Ik heb ook lifetime maar heb wel de mail gehad dus zal niet aan het abonnement liggen.

[HumanoidCylon]

Ik heb ook lifetime maar geen email gekregen.. ook niet in mijn ongewenste folder.
Ik moest erachter komen door naar de website te gaan en op Discord te kijken. Inderdaad erg slordig.

[hardware-lover]

Zo te lezen is het dan aardig random gegaan. Heb nog even gekeken of ie niet ergens in een spambak terecht is gekomen, maar dat is niet zo. Ik zag op Reddit ook diverse reacties van niet gekregen mail.

[Magnetic_Man]

Ben wel benieuwd hoe dit is gelopen. Meestal gaan credit card betalingen via een payment service provider. Dan krijg je als site eigenaar de credit card gegevens niet in handen (en kan je die dus ook niet verliezen). Gebruikte deze site geen PSP of zie ik iets over het hoofd?

Edit; ja ik was te slordig met lezen. Ze hadden een PSP.

[Reactie gewijzigd door Magnetic_Man op 22 juli 2024 23:08]

[lenwar]

Dat ligt heel erg aan welke betalingsleverancier je gebruikt. Er zijn er inderdaad die alles volledig overnemen. Er zijn ook "incassoleveranciers" (geen echte term zover ik weet maar dekt wel de lading) waar je als site zelf alle gegevens moet opsturen, en dat zij dit dan verwerken.

Allicht ter overvloede. Bij de eerste komt het versimpeld neer op:
- Gebruiker wil een betaling doen
- Site stuurt gebruiker naar betalingsleverancier met wat gegevens: (gebruikersnaam/transactiecode/enz)
- Betalingsleverancier voert betaling uit
- Betalingsleverancier bevestigt aan site dat de betaling is geslaagd voor gebruikersnaam/transactiecode/enz)

Bij de andere variant:
- Gebruiker wil een betaling doen
- Site stuurt een verzoek naar een incassoleverancier met wat gegevens: (creditcardnummer, vervaldatum, cvc)
- Incassoleverancier voert incasso uit
- Incassoleverancier koppelt terug of de incasso geslaagd is

In theorie is het natuurlijk ook mogelijk dat een site zelf met Mastercard enz. praat, maar ik kan me niet voorstellen dat Mastercard daar heel erg op zit te wachten. (om rechtstreeks met sites als nzbgeek of kleinewebwinkel.nl te praten. Ik kan me hooguit voorstellen dat ze dit willen doen voor een Amazon, Google, Apple of desnoods bol.com ofzo)

[Anoniem: 58485]

Als ze de usernames, ip adressen en mail accounts verkregen hebben dan zal er ongetwijfeld ook een (onbeveiligde) opslag van CC nummers in de database hebben gestaan.

Zo moeilijk is dat niet; ik ken wat sites die het inderdaad handmatig opslaan om de volgende dag met een export een "incassoronde" uit te voeren.

[Aiii]

Nee, gezien de "vanaf x datum" lijkt het mij uitgesloten dat er een database was met creditcard data, dan was de buit veel groter geweest. Sowieso hadden ze geen abonnementenservice o.i.d. dus een opslag van betaalgegevens was niet nodig. Logischer lijkt het dat er een keylogger op de site geplaatst is, ofwel een phishing website gemaakt is van de (waarschijnlijk externe) betalingspagina.

[Reactie gewijzigd door Aiii op 22 juli 2024 23:08]

[GerritGekke]

Dit is wat ze gemeld hebben.

What We Know:
The hackers were able to place a keylogger on the website.
The hackers obtained a copy of our database which includes your username, encrypted password, email address & last connected ip address.
During this time we had the hard drive on our indexer fail along with an api server.
PayPal data is not at risk provding you do not use the same username/password for NZBgeek.

[ustinov]

Waar haal je vandaan dat er CC gegevens in de database zouden staan? Ze rapporteren zelf dat dat niet het geval is maar dat CC gegevens gestolen kunnen zijn middels een keylogger ALS je sinds 20 november je CC gegevens hebt ingevuld

Waarom zouden ze iedereen waarschuwen, maar dan weer liegen over wat er exact gestolen is zodat mensen alsnog schade hebben?

[Yabada]

Combinatie van een password manager (waar je je unieke sterke wachtwoorden kunt genereren/opslaan) en gebruik van MFA is anno 2020 toch echt aan te bevelen. Sowieso vind ik het kwalijk dat veel websites nog steed geen MFA aanbieden.

[BeosBeing]

Sowieso vind ik het kwalijk dat veel websites nog steed geen MFA aanbieden.

Ik zit daar een beetje dubbel in.
Enerzijds verhoogt de MFA de veiligheid, anderzijds verookrzaakt het dus ook problemen.
Ik heb bijvoorbeeld al diverse keren gehad dat een telefoon van de ene op het andere moment niet meer werkt (Samsung, Acer, Wileyfox, LG). In alle gevallen, behalve de Samsung werkte enkele weken of maanden later die telefoon opeens weer wel. Bij de Acer had dit te maken met bouwkwaliteit, bij de Wileyfox met de software, na een update sloeg hij, zodra 's ochtends het alarm stil gezet werd, gegarrandeerd vast, totdat de accu leeg was (10-16 uur later) en ook toen dat alarm niet meer gebruikt werd,is het een aantal maal gebeurd dat deze potseling uit viel en niets meer deed, totdat enkele maanden later waarschijnlijk de laatste condensator leeg was en hij het dan opeens weer wel deed.

Daarom heb ik nu ook een Android tablet achter de hand (sim werkt echter op dit moment niet). Echter als ik op een bepaalde site met de tablet wilt inloggen, dan vraagt hij dus om te bevestigen met die telefoon, terwijl ook die al eens niet beschikbaar was (simtray kapot) en er dus uitgeweken moest worden naar een oude telefoon (Windows Lumia, dumbphome). Daarnaast is ook MFA via social engineering te kraken.

Kortom, de sites die MFA gebruiken vertrouwen vaak teveel op één faalbaar device. Ik vindt de implementatie van de meeste MFA's zo 2018.

[WhiteDog]

2FA is geen magie, het is gewoon een code + time setting in de vorm van een URL (OTP). Het is dus op geen enkele manier uniek gekoppeld aan je apparaat.

Deze URL of code kan je gewoon kopiëren of synchroniseren naar een ander apparaat of password manager. Gebruik bv. Bitwarden, daar kan je de OTP codes ook gewoon bekijken zonder "vendor lock-in". Andere password managers en bv. Google Authenticator laten je niet toe om de OTP-codes te exporteren of te zien, enkel om je te ontmoedigen om naar een andere dienst over te schakelen.

[BeosBeing]

2FA is geen magie, het is gewoon een code + time setting in de vorm van een URL (OTP). Het is dus op geen enkele manier uniek gekoppeld aan je apparaat.

Als ik op zowel de telefoon als op de tablet ben ingelogd met mij Google account, waarom vraagt de Google 2FA-authenticatie dan bevestiging alleen via de telefoon, ook - en vooral - als ik een setting in mijn google account zelf wil inzien?

[WhiteDog]

Ik had het over de standaard 2FA / OTP die de overgrote meerderheid van de websites gebruiken (en ook voor je Google account en mogelijkheid is). De Google-app (niet Google Authenticator) doet inderdaad ook 2FA via een andere manier.

Ik merk vaak dat mensen deze indruk hebben dat die QR codes die ze scannen voor 2FA aan een specifiek apparaat gekoppeld zijn maar dat is dus helemaal niet zo, wou dat gewoon even meegeven

[BeosBeing]

Ik merk vaak dat mensen deze indruk hebben dat die QR codes die ze scannen voor 2FA aan een specifiek apparaat gekoppeld zijn maar dat is dus helemaal niet zo, wou dat gewoon even meegeven

QR-codes niet, inderdaad.

Ik had het over de standaard 2FA / OTP die de overgrote meerderheid van de websites gebruiken (en ook voor je Google account en mogelijkheid is).

De meeste websites gebruiken tegenwoordig ofwel een eigen app (DigiD, Digidentity/eHerkenning, Itsme, bankieren-apps, creditcard-apps (ics e.a.), De Lijn, Payconic, Tikkie) ofwel ze gebruiken Facebook of Google Authenticator (grote uitzondering de zorgverzekeraars en overheidsinstellingen, die allemaal DigiD-app of eHerkenning gebruiken). Bij ING bevestig je inloggen op de desktop-website met de app, en alleen als je geen smartphone (en dus geen app) hebt en daarom de ING-scanner gebruikt dan krijg je de QR-code (in kleur). Bij de AMRO kun je nog inloggen met de eDentifier en de bankpas. (geen idee met de overige banken, de tijd dat ik bij iedere bank een rekening had is minstens 38 jaar geleden)

De Google-app (niet Google Authenticator) doet inderdaad ook 2FA via een andere manier.

Blijkbaar niet, het enige authenticatie die hij accepteert is de oudst geregistreerde Android phone - tenzij je 2FA uit zet.

[DerDee]

"Opmerking: Google-prompts worden toegevoegd als alternatieve methode voor verificatie in 2 stappen als je inlogt op je Google-account op een geschikte telefoon." Bron

Je telefoon heb je (over algemeen) altijd bij je, daarom veel veiliger device voor 2FA als een tablet die je ergens in huis hebt slingeren.

Edit: Daarnaast is SMS nog een optie dus zelfs al begeeft je telefoon het, als je je simkaart (of e-sim) in een telefoon stop/laad kun je weer inloggen bij google. Om daarnaast nog de ouderwetse vragen te hebben als backup. Zelfs zonder ge

Google heeft het in mijn ogen enorm goed voor elkaar, het is meer niet willen en problemen zoeken als dat het niet mogelijk is. Backup na backup mogelijkheid zoals beschreven.

[Reactie gewijzigd door DerDee op 22 juli 2024 23:08]

[BeosBeing]

"Opmerking: Google-prompts worden toegevoegd als alternatieve methode voor verificatie in 2 stappen als je inlogt op je Google-account op een geschikte telefoon." Bron

Alternatieve methode? Het lijkt meer de primaire hier?

Je telefoon heb je (over algemeen) altijd bij je, ...

Dat is voor heel veel mensen niet het geval. Ik ken iemand die zijn telefoon 9 maanden niet oplaadde omdat hij steeds op de iPad bezig was. Ook men ik iemand die de telefoon meer niet dan wel meeneemt. Gaat ze naar het buitenland dan blijft bij de terugreis de telefoon meestal daar, en is dat niet het geval, dan is die meestal thuis gebleven.

...daarom veel veiliger device voor 2FA als een tablet die je ergens in huis hebt slingeren.

Dat verschilt dus van persoon tot persoon.

Edit: Daarnaast is SMS nog een optie dus zelfs al begeeft je telefoon het, als je je simkaart (of e-sim) in een telefoon stop/laad kun je weer inloggen bij google.

Bij google wel, maar bij de DigiD-app niet, die vereist weer een snailmail met een activatiecode terwijl juist bij brievenbussen hengelen steeds algemener wordt.

Om daarnaast nog de ouderwetse vragen te hebben als backup.

Ouderwetse vragen? Die vragen betreffen een combinatie van weetjes die een ander niet kan weten, het is alleen te omslachtig voor steeds inloggen, en gevoelig voor keyloggers. Sommige sites bieden dan ook keuze uit verschillende vragen, anderen (Apple) zijn daarin heel star zodat Social engineering makkelijker is.

Zelfs zonder ge

?

Google heeft het in mijn ogen enorm goed voor elkaar,...

Klopt, maar niet is ook niet perfect.

..het is meer niet willen en problemen zoeken als dat het niet mogelijk is. Backup na backup mogelijkheid zoals beschreven.

Als je telefoon niet je primaire device is, dan is dat geen backup, en is vragen om die telefoon die misschien boven aan de lader ligt, of op een ander adres niet alleen omslachtig maar ook minder veilig.

[teek2]

Ik gebruik overal 2fa, met totp (time dependend one-time password, die 6 cijfers). Ik heb meerder opties om te zorgen dat ik geen problemen krijg bij een defect apparaat:

• Ik kan mijn andOTP database exporteren (encrypted) en ergens veilig opslaan
• Ik kan als ik de QR code zie die opslaan (of printen), of ik kan hem met een andere telefoon of tablet ook nog scannen
• Ik kan overal recovery codes maken en die uitprinten en ergens veilig opslaan

[BeosBeing]

Ik gebruik overal 2fa, met totp (time dependend one-time password, die 6 cijfers). Ik heb meerder opties om te zorgen dat ik geen problemen krijg bij een defect apparaat:

Dat is handig, maar geen van de sites die ik ken gebruikt totp, allemaal gebruiken ze hun eigen app, of Facebook (geen 2FA), of DigiD, of eHerkenning.

Ik kan mijn andOTP database exporteren (encrypted) en ergens veilig opslaan

Opslaan is één, gebruiken is twee. Lukt dat ook met je dumbphone of huistelefoon?

Ik kan als ik de QR code zie die opslaan (of printen), of ik kan hem met een andere telefoon of tablet ook nog scannen

Ik had het nu juist vooral over de 99% van de sites die geen QR-code gebruiken.
En als je die moet printen (en scannen), dan is die meestal al verlopen.

Ik kan overal recovery codes maken en die uitprinten en ergens veilig opslaan

Niet bij de 2FA-systemen die ik tegenkom. Wel hebben ze systemen voor recovery met beveiligingsvragen, en dan is de vraag meestal - had ik 2 jaar geleden nu wel of geen hoofdletter gebruikt, en wel of geen spaties.

[Reactie gewijzigd door BeosBeing op 22 juli 2024 23:08]

[teek2]

Ik gebruik geen FaceBook, en Google eigenlijk ook niet zo veel, dat gaat idd dan via m'n android foon. In mijn andOTP lijst staan Amazon, Protonmail, Firefox, Bittrex, TransIP, Digital Ocean, PayPal, Discord, GitHub, LinkedIn, Slack en NextCloud. Niet de minste partijen.

[BeosBeing]

Ik gebruik geen FaceBook

Ik geef aan dat site aanbieden om met Facebook in te loggen. Nu gebruik ik toevallig wel Facebook, maar dat doe ik eigenlijk ook zo goed als nooit, ik hoef niet nog meer reclame, en wilt zeker mij familie en vrienden niet de mist in sturen met valse "Beosbeing vind XXX leuk"-berichtjes. dergelijke berichten dat XXX Opel leuk vindt zie ik al maanden terugkomen, steeds met die ene naam (en ik heb zelf niets met Opel). Ook bij Sony camera's zie ik al steeds één naam terugkomen, bij Canon een handjevol.

en Google eigenlijk ook niet zo veel, dat gaat idd dan via m'n android foon.

Chrome en Youtube werken eigenlijk alleen goed als je er ingelogd bent met een Google acount (dat hoeft ook niet per sé hetzelfde te zijn als op je telefoon zelf.
Voor de zoekmachine kun je natuurlijk andere gebruiken, bv duckduckgo, startpage.com of ... bing maar vrijwel iedere site gebruikt Google Analytics en een FB-pixel, dus getrackt wordt je toch wel, men koppelt ip-nummer, schermresolutie, en zoveel mogelijk andere zaken die men kan detecteren, zoals chrome -installatie-id, besturingssysteem, browser om je bij bezoek via een ander device/browser/.. terug te herleiden naar één persoon.

In mijn andOTP lijst staan Amazon, Protonmail, Firefox, Bittrex, TransIP, Digital Ocean, PayPal, Discord, GitHub, LinkedIn, Slack en NextCloud. Niet de minste partijen.

Bij Amazon bestel ik alleen telefoonhoesjes. De PU-troep die Nederlandse webshops en fysieke winkeliers verkopen is binnen een half jaar kapot en echt leder (wat dus niet kapot gaat) verkoopt men (bij webshops) alleen voor iPhone en Samsung S3..S21. Bij Amazon vind je wel echt lederen hoesjes voor Lumia 950XL, Nokia 8, LG G6 e.a. en die komen ofwel uit Polen ofwel uit Duitsland.

Protonmail wel al overwogen, maar nooit gebruikt.
Firefox gebruik ik zonder inloggen.
LinkedIn doe ik niet veel mee, en gaat er hier binnenkort uit vanwege hun beleid jegens onafhankelijke berichtgeving.
Discord ooit geïnstalleerd voor een game, maar gebruik ik nooit.
GitHub download ik van, log ik nooit in.
TransIP doe ik niets (actief) mee.
Nextcloud, Slack gebruik ik niet.
Bittrex, Digital Ocean ken ik niet.
"Niet de minste partijen" Van de 12 die je daar opnoemt, heb ik maar van 3 een account en daarvan gebruik ik er één nooit, en de andere komt op de boycot-lijst. Twee gebruik ik zonder account en de overige 7 doe ik niets mee.

[teek2]

Grappig dat we allebei zulke verschillende ervaringen hebben, ik heb het gevoel dat ik overal terecht kan met totp maar blijkbaar is dat net de set sites die ik gebruik, of andersom, jij gebruikt toevallig veel services die het niet aanbieden.

[BeosBeing]

Grappig dat we allebei zulke verschillende ervaringen hebben, ik heb het gevoel dat ik overal terecht kan met totp maar blijkbaar is dat net de set sites die ik gebruik, of andersom, jij gebruikt toevallig veel services die het niet aanbieden.

Iedereen zit in een bubbel, en die beperkt wat je te zien krijgt. Sommigen zitten in meerdere, bubbels omdat ze een interesse of hobby hebben, connecties in het buitenland, enzovoorts. Hoe meer bubbels je raakt, hoe breder de informatie die je te zien krijgt. Daar kan ook fakenews tussen zitten, maar ook alle reguliere kanalen zijn gefilterd, op wat men vindt dat de burger mag horen. Zoals we uit de toeslagaffaire kunnen afleiden krijgt ook de kamer slechts te horen wat men wilt dat die te horen krijgt, en in het verleden zijn er ook al diverse ministers en staatssecretarissen moeten opstappen omdat, na uitlekken van informatie, blijkt dat ze bewust de kamer niet hebben geïnformeerd, of blijkt dat ze zelf onvoldoende informatie kregen van hun departementen.Ook kamerleden zitten in een bubbel.

Alles wordt gefilterd, sommige dingen onbewust, andere bewust, sommige door jou (je interesseert je bv wel voor computers, niet voor modeltreintjes), anderen door je omgeving, de diensten die je gebruikt (TPB wordt weggefilterd) enzovoorts.

Op het Belgische VRT-journaal zie je nieuws over aardbevingen orkanen/taifoons die de Nederlandse journaals (NOS, RTL) niet halen (VRT is volgens mij meer internationaal ingesteld) zoals in de Filipijnen.
Wat je op de Nederlandse en Belgische media niet ziet, zie je wel op buitenlandse zenders. Zo krijg je op de Nederlandse en Belgische zenders te horen over de nieuwe variant van HCov-SARS2 in Groot-Brittannie en Zuid-Afrika, en dat er in Nederland één besmetting is gevonden (afkomstig uit GB) maar heeft het Filipijnse "TV Patrol" (zender van abs-cbn) een lijstje van 16 landen. Evenmin op de Nederlandse en Belgische zenders wat het Filipijnse "24 Oras Weekend" (zender van GMA) gisterenavond bracht : in de USA nu ruim 3200 doden door het Pfizer vaccin. Is dat nepnieuws, of is hetgeen wij krijgen gefilterd op een door anderen bepaalde "need to know" basis?

Je perspectie is ook een bubbel, wie veel te besteden heeft, weet niet hoe anderen worstelen om het hoofd boven water te houden, en wie onder twee maal modaal zit weet niet hoeveel stress het vermogenden oplevert op het verzamelde kapitaal niet te laten verwateren. En dat is dan maar één aspect. Wie succesvol is in zijn carriëre of in zaken weet niet hoe het is om voor de vijfhonderdste of duizendste keer een afwijzing op een sollicitatie te krijgen, en dan verlangt die sociale dienst/wetgever weer dat je nog maar een keer energie steekt in een zinloze sollicitatiebrief, en tot een paar jaar geleden kostte het opsturen daarvan je ook nog eens geld - dat je dan meestal niet eens had.

[Reactie gewijzigd door BeosBeing op 22 juli 2024 23:08]

[Bor]

Dat had je in dit geval niet beschermd tegen o.a. het stelen van persoonsgegevens en creditcard informatie gezien er een copy van de database in handen van de aanvallers is gekomen.

[Belial_666]

Bunq creditcard heeft de optie om om de 5 minuten een nieuwe CVC te genereren.

[BeosBeing]

Bunq creditcard heeft de optie om om de 5 minuten een nieuwe CVC te genereren.

Op de AMRO-credit-card (ABN is dood) heeft een tijdje een extra password-check gestaan (kwam van Mastercard volgens mij), bij iedere checkout moest je die ingeven, ook ING heeft zoiets gehad, maar daar hoefde het volgens mij niet overal. Inmiddels is dat alweer een paar jaar verdwenen. Sommige van dat soort dingen werken niet.

Die steeds nieuwe CVC zal ergens vandaan moeten komen, en ook dat is te spoofen. Op 5 minuten kan men prima een extra transactie doen.

[Phantoman]

Mastercard uitgegeven door ICS Cards heeft nog steeds MFA, zie https://www.icscards.nl/info/dubbele-beveiliging . ABN-AMRO gebruikt ook die uitgever, zie https://www.icscards.nl/abnamro .

[BeosBeing]

Mastercard uitgegeven door ICS Cards heeft nog steeds MFA, zie https://www.icscards.nl/info/dubbele-beveiliging .

Ja dat heb ik gemerkt, werkte dus voor geen meter. (zie mijn reactie boven waarom ik tegen MFA ben.)

1) Ik had de app all geinstalleerd, maar nog niets mee gedaan toen ik de reparatie van mijn zoon's iPad wilde betalen. Ingelogd op de app, zag deze de betaling niet staan (dus bij Apple afgebroken). De app geactiveerd, betaling bij Apple opnieuw gestart, de betaling kwam in de app tevoorschijn, deze in de app goedgekeurd, terug naar de site van Apple geleid, daar stond dat de transactie voltooid was. Bevestiging via de mail kwam echter niet en de volgende dag stond er in de app van de bank ook geen betaling. Uiteindelijk dan maar betaald via de ING creditcard.

2) Een paar dagen later iets willen afrekenen op een andere site, betaling wordt weer in de app goedgekeurd, maar niet verwerkt, uiteindelijk dan maar betaald via PayPal, waaraan diezelfde AMRO-Creditcard is gekoppeld.

[Phantoman]

Ik zou het probleem bij de bank of ICS melden dan. Nog nooit problemen mee gehad, maar ik gebruik wel de Android app.

[BeosBeing]

Ik zou het probleem bij de bank of ICS melden dan. Nog nooit problemen mee gehad, maar ik gebruik wel de Android app.

Bij mij was het ook de Android app. Alleen de kinderen hebben iPads/Apple.

[Hydranet]

Dat is balen zeg voor de nzbgeek.info admins, wens de admins daar sterkte om alles te herstellen en de beveiligng te verbeteren! Heb daar toevallig zelf ook een account, maar gelukkig dat ik volgens mij al een half jaar of zo terug een jaar subscriptie heb betaald met mijn creditcard, hoop dat die van mij niet buit is gemaakt. Ik gebruik verder waar kan 2FA, en voor elke website waar ik een account heb gebruik ik een ander e-mail adres en een ander wachtwoord dus hopelijk valt de schalde voor mij mee zal komende tijd wel even goed mijn afschriften in de gaten houden.

[Reactie gewijzigd door Hydranet op 22 juli 2024 23:08]

[naaitsab]

Heb zelf zojuist direct de bank gebeld en de CC laten blokkeren gezien ik recentelijk een abo heb afgesloten. Info of ze wel/geen externe payment provider gebruiken is mij veel te vaag. Achteraf is het voor jezelf en de bank een gedoe om te herstellen. Dus liever nu paar dagen zonder CC dan kans dat deze gasten er winst uit halen. Was in 3 minuten geregeld.

En unieke wachtwoorden zijn inderdaad wederom een van de belangrijkste zaken. Voor mensen die in Chrome/Google hun wachtwoorden opslaan zit hier een handig tooltje in om hergebruikte wachtwoorden te checken: https://passwords.google.com

Ben benieuwd naar de updates.

[Reactie gewijzigd door naaitsab op 22 juli 2024 23:08]

[Hydranet]

Goed idee! Ik heb net even mijn creditcard gegevens bekeken. Ik denk dat ik mazzel heb, heb sinds een paar maanden een nieuwe creditcard en die subscriptie van nzbgeek had ik gedaan met mijn vorige creditcard dus die is al niet meer valide en dus ook niet actief.

[Djerro123]

Vraagje, welke bank heb jij? Ik heb ook mijn bank gebeld (ABN ICS card) en die gaven aan dat de melding al binnen was gekomen en dat de afdeling fraude aan het onderzoeken is of ze kaarten gaan blokkeren of niet. Was heel duidelijk verhaal om eerlijk te zijn, de vrouw aan de telefoon was heel duidelijk over wat zij momenteel deden met mogelijke uitkomsten (niks, of een nieuwe kaart) maar dat ik niks meer hoefde te doen.

[naaitsab]

ING, heb de kaart laten blokkeren omdat het nagenoeg zeker is, of in ieder geval met de informatie van gisteren dat er keyloggers op de site zijn geplaatst. Dus alles wat ingevuld is qua login en CC bij betalingen is doorgesluisd naar derde. Men spreekt over 20 november tot gisteren maar kan langer zijn geweest natuurlijk. Met die kennis heb ik het zekere voor het onzekere de meest veilige optie gekozen en dat is de pas laten blokkeren en vervangen. Achteraf is het voor beide partijen en hoop gedoe. Belangrijker nog dat ik deze gasten geen cent gun. Dame die ik aan de lijn had rade bokkeren ook aan met dezelfde redenatie.

Heb eerlijk gezegd ook niet zo veel vertrouwen in een onderzoek van de ABN naar deze zaak. Zeker niet gezien de site bestaat voor 'downloaden van Linux distributies'. Dus als ik jou was zou ik alsnog je pas laten vervangen als je een paar dagen zonder kan en het bij niet zo veel zaken hebt gekoppeld. Dit soort zaken is het zekere voor het onzekere mijn inziens de meest verstandige keuze.

[mwa]

Lang leve de virtuele CC's van Bunq. Ik ben hier ook 'slachtoffer' van geworden, maar gebruik voor dit soort sites elke keer een nieuwe virtuele CC welke naderhand ge-deactiveerdt wordt (of de CVC code elke 5 minuten laten randomizen).

[Oon]

Is dit vergelijkbaar met Privacy.com? Als in, kun je bijvoorbeeld een kaart aanmaken voor Netflix, waar je dan automatisch iedere maand 12 euro op zet en Netflix 12 euro van afschrijft, zonder dat ze via die kaart je hele rekening leegtrekken?

[mwa]

Je kunt de virtuele kaart koppelen aan een aparte iban (tot Max 25 Ibans bij bunq) en daar maandelijks een bedrag op storten idd

[theduke1989]

Dat is wel erg slordig. Ik betaal gelukkig met PayPal soort van veiligheid qua betalen. PayPal ansich is "betrouwbaar" en mijn CC is ook gekoppeld aan PayPal, maar dan alsnog moeten ze eerst toegang tot PayPal krijgen IPV zoals nu bij NZBgeek waarbij dus via hun eigen website zijn binnengedrongen.

Ook wordt er in de email gezegd betreft PayPal dat het via een API en andere username/password gebruikt wordt.

Maar denk toch wel dat ik MFA voor alles ga gebruiken nu. Met covid19 zitten hackers meer thuis of wat dan ook en zullen dus uit verveling meer websites proberen te hacken. Waar ik niet op zit te wachten.

[Reactie gewijzigd door theduke1989 op 22 juli 2024 23:08]

[lenwar]

Let wel dat MFA er niet voor zorgt dat jouw gegevens niet op straat komen te liggen. Het zorgt er alleen voor dat ze moeilijker als jou kunnen inloggen.

Ze hebben dan wel je e-mail adres (voor verkoop aan spamlijsten) en als je eventueel je wachtwoord ook voor andere sites gebruikt kunnen ze daar ook bij.

MFA is een goed mechanische, maar is alleen zinvol als het inlogmechanisme goed functioneerd. Stel dat een inlogmechanisme een foutje heeft waardoor je middels een paar extra pakketjes/headers de MFA kan overslaan voegt het natuurlijk niks toe op dat moment.

[DarkShadow]

Fijn advies om je credentials te veranderen zonder dat je kan inloggen op de site. Gebruikte zelf daar een heel oude inlogcombo, en heb ooit een lifetime abbo aangeschaft, dus vermoed geen gevaar, maar kan het nu niet checken.

[lithiumangel]

Je kan wel je credentials wijzigen op andere zaken, als je overal hetzelfde wachtwoord gebruikt. Zo hebben deze hackers dan niet gelijk toegang tot de rest van je diensten. (er zijn helaas mensen die dit doen)

[quorumz]

ja idem, kan nu niets controleren

[theHankyPanky]

Ik ook één van de gedupeerden, uit voorzorg mijn cc geblokkeerd. Wat ik mij verder afvraag, moet ik ook de API keys vervangen (Radarr/Sonarr), of kunnen ze daar niet zoveel mee?

[Mirx_NL]

Niet direct. De key is in de basis om vanuit de applicaties NZBGeek informatie op te halen. Dat is een richtings verkeer, en je applicaties lopen verder dus geen gevaar.

Misschien dat de API ook zaken ondersteund om iets op NZBgeek te uploaden/configureren, maar dat is van latere zorg. Uiteindelijk wil je niet dat mensen NZB's gaan posten onder een account wat aan jou betaalgegevens gelinkt is.

[RobbyTown]

Heb daar een account doe er vrij weinig mee. Zijn alleen mensen gemaild die CC gegevens hebben opgegeven? Ik heb geen mail gehad... Laatste is van 2019 dat ze mij miste.

Wat ook nog kan is dat mijn account door hun al verwijderd is door inactief gebruik.

[Reactie gewijzigd door RobbyTown op 22 juli 2024 23:08]