Hackers scrapen e-mailadressen van gebruikers van pro-Trump-netwerk Gettr

Hackers hebben data weten te scrapen van het nieuwe sociale medium Gettr, dat is opgezet door voormalige medewerkers van de campagne van Donald Trump. De api van het bedrijf was slecht beveiligd en kon worden gebruikt om e-mailadressen van bijna 90.000 gebruikers te scrapen.

Beveiligingsonderzoeker Alon Gal ontdekte de dump met data op een forum. Daarin zou data staan van meer dan 85.000 gebruikers van Gettr, een nieuw sociaal netwerk dat is opgericht door Jason Miller, een adviseur van voormalig president Donald Trump. Gebruikers kunnen er korte berichten plaatsen, waarmee Gettr zichzelf neerzet als een tegenhanger van Twitter.

De datadump werd gecompileerd door de api van het netwerk te bevragen. Op die manier konden de namen en e-mailadressen achter gebruikersnamen worden achterhaald. Gal zegt zelf dat het niet zozeer gaat om een datalek, maar om een verkeerde implementatie van de api.

Later vonden andere hackers echter wel meer informatie van netwerkgebruikers, die van een andere, slecht beveiligde api afkomstig waren. Ook daarbij was het mogelijk e-mailadressen achter accounts op te vragen, samen met veel meer informatie die verder wel publiek beschikbaar is, zoals geboortedatums, profielbeschrijvingen, avatars, achtergrondfoto's, websites en verschillende data van Gettr zelf.

Gettr zegt dat het incident overdreven wordt. Op Twitter stelt het medium dat het ging om slechts één inbreuk die kort daarna werd ontdekt en is gerepareerd. Het netwerk zegt 'cybersecurity serieus te nemen' en dat het daarom een securitybedrijf in de arm heeft genomen.

Reacties (82)

[DevWouter]

Gal zegt zelf dat het niet zozeer gaat om een datalek, maar om een verkeerde implementatie van de api

Oorzaak wordt verward met resultaat. Uiteraard is het een verkeerde implementatie, daardoor was de datalek mogelijk.

Het netwerk zegt 'cybersecurity serieus te nemen' en dat het daarom een securitybedrijf in de arm heeft genomen.

Dus na het incident geef je geld uit om je veiligheid te testen?

[Anoniem: 1302638]

“Wij nemen uw privacy heel serieus” opent elke mail over een datalek.

[adje123]

Mooi he, ook als het om AVG gaat.
"Wij nemen uw privacy serieus"
Wat ze eigenlijk bedoelen is:
"Wij zijn nu wettelijk genoodzaakt om uw privacy serieus te nemen".

[Anoniem: 486069]

Of het nou gedaan wordt uit liefde voor privacy, of wettelijke noodzaak zou eigenlijk niet uit moeten maken...

... zolang het maar serieus genomen wordt

[Fluttershy]

Wettelijke noodzaak stopt bij de letter van de wet. En dan nog, de letter van de wet zoals een jurist het interpreteert.

Een inherente drang tot privacy gaat veel verder dan het absolute minimale om aan de wet te voldoen.

[Tintel]

Eigenlijk: "Wij zijn nu wettelijk genoodzaakt om te doen alsof we uw privacy serieus nemen".

[Anoniem: 1322]

FTFY: "Wij zijn nu juridisch verplicht om te doen alsof we uw privacy serieus nemen".
Vaak maakt het ze niets uit wat wettelijk verplicht is als ze zich maar in kunnen dekken..

[Wolfos]

Net als "we love our European users" - website die sinds 2016 alle Europese gebruikers blokkeert

[teacup]

Net voor dit nieuws werd iedere gebruiker al met weinig vertrouwen ontvangen. Melding op hun Frontpage, van Vrijdag 2 Juli (dezelfde dag van de supply chain attack):

Support & Help
@support
·
Jul 2
Dear GETTR users:

Thank you for joining the GETTR community!

Currently, our system is experiencing a delay due to an unusual amount of online users' registration activity. If you did not receive the code, we suggest you try again later and please avoid submitting requests frequently.

We sincerely apologize for the inconvenience, and our team is actively working to resolve this issue.

Thank you for your patience. The GETTR team wishes you a very nice day.

Regards,

GETTR Support

Wat ik mij afvroeg is of dit pseudo registraties zijn geweest om addressen te onttrekken zoals @scribly3 als mogelijkheid beschrijft. De tijdsinterval tussen 2 juli en en vandaag is alleen wat groot, en vrijdag was in de VS een vrije dag, waarop meer registratieactiviteit is te verwachten.

[mcDavid]

Maar het gaat om slechts één inbreuk, en die is nog snel gerepareerd ook! Valt best mee toch?

Alsof het rijksmuseum is leeggeroofd en ze zeggen "Het ingegooide raam was snel gerepareerd dus laten we het incident niet overdrijven"

[Framoes]

We hebben altijd al de veiligheid van schilderijen belangrijk gevonden, daarom gaan we nu na de diefstal een beveiligingbedrijf inhuren.

[DevWouter]

En de gestolen schilderijen in jouw voorbeeld?

Het probleem is niet de inbraak maar de diefstal.

[Arrogant]

Heet jij Sheldon?

[Ome Ernst]

De Nachtwacht was in slaap gevallen.

[YopY]

Yup, ik denk dat dat zo zal blijven gaan met nieuwe platforms zoals deze; ze worden overhaast gebouwd omdat ze denken dat er een gat in de markt is, maar security kost tijd en geld. Waarom "flood protection" en bot detectie bouwen als je ook een feature kunt bouwen die gebruikers willen?

[Anoniem: 486069]

Denk dat je deze personen dan ook beter aan kan duiden als scrapers i.p.v. hackers, als dit daadwerkelijk via de API opgevraagd is kun je dit natuurlijk moeilijk als hacken beschouwen

[scribly3]

Precies. Sommige website API's geven bij registratie al een melding als het ingevoerde e-mail adres al in de database aanwezig is voordat je op registreren klikt.

Als je dan een lijst van bekende e-mail adressen door die API haalt kun je ook een lijst krijgen van wie daar een account heeft.
Dat noem ik niet echt hacken

[Reactie gewijzigd door scribly3 op 24 juli 2024 21:54]

[Maurits van Baerle]

Het is een beetje een grensgeval. Gettr heeft nogal een puinhoop van hun security gemaakt. Je kunt bijvoorbeeld de encryptiekeys gewoon uit de source halen. Dat betekent dat het voor een hacker een stuk makkelijker is dan normaal om bij allerlei zaken te komen waar je normaal niet bij kunt komen.

Dat gaat verder dan scrapen en is waarschijnlijk wel een variant van hacken. Ook al is het de inbreker wel erg makkelijk gemaakt door de sleutel uit de voordeur te laten steken.

[burgt]

Lol, en dan zeggen dat ze cybersexurity serieus nemen.

Had haast ook nog een beschuldiging verwacht naa de democraten of antifa om de standaard talking points nog even voorbij te katen komen. Maar ik vereacht niet anders dan een puinhoop van Miller & consorten.

[tweaknico]

Eens hackers zijn mensen die een stuk gereedschap op een nieuwe innovatieve manier gebruiken.
Koets van een verbranding motor voorzien.. auto is geboren..., bredere banden op de wielen en je kan ermee over een akker... dat zijn "Hacks" op de bestaande zaken.

Scraping is gewoon vragen stellen aan een API, als de vragen niet de bedoeling zijn dan moet de API dat blokkeren. Als er geen beveiliging is dan is het openbare data..
Als publicatie niet de bedoeling was moet de publicist zich eens goed achter de oren krabben over vergoeding.

[MrMonkE]

Men stelt dus het voorkomen dat iemand zich twee keer probeert te registreren of door een typfout op een verkeerd adres -dat OOK al toevallig is geregistreerd- probeert te registreren boven eventueele privacy issues.
Best wel een slechte afweging als je er 10s over nadenkt.

[cracking cloud]

Heel veel websites laten je via het registratieformulier weten of een emailadres al in gebruik is. Tweakers doet dat ook, google ook.

[MrMonkE]

Voor een 'politieke' site als Gettr ligt dat natuurlijk even gevoeliger dan een tech-site.

[ajsietsma]

Probleem was meer dat het in dit geval mogelijk was om een eindeloos lange lijst met mail adressen te sturen en van al die adressen terug te krijgen of ze in de database stonden. Daar hoort een limiet aan te zitten.

[tch]

Wel ironisch dat ze zichzelf profileren met o.a. "Superior Technology" en vervolgens een data inbreuk hebben

[burgt]

Trump playbook, altijd claimen dat je de beste bent.

[svane]

Ligt het aan mij, of kan je nergens meer een email-adres invullen op Gettr? Ik kon een account aanmaken zonder email-adres, en heb ook nergens de mogelijkheid om het in te vullen.

Is dat hun manier om dit te fixen? email-functies eruit slopen?

Ik vraag me ook af hoe de 'wachtwoord vergeten' functie nu bij hun werkt.

[TRS-3]

Gettr zegt dat het incident overdreven wordt. Op Twitter stelt het medium dat (...)

Ben ik de enige die hier even heel hard in de lach schoot? Twitter was toch dat verderfelijke medium waar Trump en kompanen niets meer mee te maken wilden hebben?

[jwal]

Opvallend dat een beginnend netwerk, wat een tegenwicht probeert te bieden tegen de silicon valley hegemonie, onmiddellijk wordt aangevallen. Is het niet door activisten die hosters en banken bewegen het nieuwe netwerk monddood te maken (igv Parler), dan is het wel door data te hacken.

Maar ik zie hier in de reacties dat mensen liever uiteenzetten hoezeer ze een hekel hebben aan Trump.

[burgt]

Ze hebben gewoon hun zaken niet op orde, het is niet zo dat silicon valley bedrijven niet aangevallen worden.

[migros]

Een echte Trump-dump +:

[Osiummaster]

Trump aanhangers houden juist van gelekte emails

[Player1S]

Ze hielden toch van "Buttery males"??

[Guru Evi]

Er is al bijna 10 jaar een database van Facebook en Twitter gebruikers die ook gewoon via scrapen loopt.

LinkedIn doet het zelfde, sterker nog, LinkedIn doet het op verzoek, je geeft ze een lijstje en die komen gewoon terug met een lijst van LinkedIn gebruikers en niet-gebruikers.

Weinig nieuwswaardig - als je via e-mail kunt registreren kun je met die e-mail controleren of er een account bestaat.

[Reactie gewijzigd door Guru Evi op 24 juli 2024 21:54]