T-Mobile: hackers stalen ook telefoonnummers en imei's van miljoenen Amerikanen

Het aantal huidige klanten dat onderdeel is van een groot datalek dat eerder deze maand bekend werd, ligt nog hoger. Dat meldt de Amerikaanse tak van T-Mobile vrijdag. Volgens de provider zijn er persoonlijke gegevens van nog eens zes miljoen klanten uitgelekt.

In een verklaring op zijn website schrijft T-Mobile dat tijdens het onderzoek naar het datalek is gebleken dat er gegevens van in totaal 13,3 miljoen huidige abonnees op straat liggen. Dat is meer dan de provider eerder meldde; toen zou het om 7,8 miljoen huidige klanten gaan. Daarbij gaat het om namen, geboortedata en sofinummers. Van die 7,8 miljoen gebruikers zijn ook identiteits- en rijbewijzen uitgelekt, bij de nieuwe 5,3 miljoen klanten is dit niet het geval.

T-Mobile maakt daarnaast bekend dat er telefoonnummers, imei's en imsi's zijn gestolen. De international mobile equipment identity is een uniek nummer van een smartphone, dat bijvoorbeeld wordt gebruikt om te controleren of een telefoon gestolen is of niet. De international mobile subscriber identity is een ander uniek nummer waarmee een provider een netwerkgebruiker kan herkennen. Vooralsnog heeft T-Mobile geen aanwijzingen gevonden dat er ook betaalgegevens uitgelekt zijn.

Verder heeft T-Mobile ontdekt dat er nog eens 667.000 Amerikanen zijn die voormalig klant waren of misschien klant wilden worden, betrokken zijn bij het datalek. Dit komt boven op de veertig miljoen die T-Mobile al had ontdekt. Van deze gebruikers zijn namen, geboortedata, ssn's en id- en rijbewijzen uitgelekt. Alleen van die 667.000 extra mensen zijn geen ssn's en id- of rijbewijzen uitgelekt.

De gegevens werden buitgemaakt bij een hack. De aanvallers kregen toegang tot de data via een accesspoint. Het accesspoint is na ontdekking van de aanval gesloten. T-Mobile heeft van alle getroffen accounts de pincodes gereset.

De gestolen gegevens werden ontdekt nadat een hacker claimde te hebben ingebroken bij T-Mobile. Hij vroeg 6 bitcoin voor de data, omgerekend ongeveer 240.000 euro.

Reacties (32)

Toegang via een accesspoint? In ze zin van een wifi-accesspoint?

Uit het originele bronbericht:

We then located and immediately closed the access point that we believe was used to illegally gain entry to our servers.

Dat geeft mijn inziens geen duidelijkheid over de exacte manier van toegang.

Ja het is slecht overgenomen in het artikel hierboven.
Verder mag T-Mobile wat mij betreft wel wat duidelijker zijn over hoe dit datalek heeft kunnen ontstaan.
De vaagheid van T-Mobile hierover suggereert een onnodige zwakheid waardoor dit gebeurd is.

Het kan een onnodige zwakheid zijn maar doorgaans worden dat soort details niet breed uitgemeten in het belang van de onderzoeken ernaar.

Het klinkt alsof er een rogue access point is gebruikt om op deze manier toegang te krijgen tot de systemen van T-Mobile.

accespoint is dan ook gewon een toegangspunt.

Dat er direct de connectie wordt gemaakt met wifi, is speculatie

Geen idee, ik heb ooit wel eens een bedrijfsnetwerk “aangepast” zodat we in de pauze Red Alert tegen elkaar konden spelen. Dat was ook een fluitje van een cent maar toch iets onschuldiger :-)

https://twitter.com/Jerem.../1427144723731402756?s=20

The person who claims to have compromised T-Mobile says the company misconfigured a gateway GPRS support node that was apparently used for testing. It was exposed to the internet. That allowed the person to eventually pivot to the LAN.

Dan zou ik eerder vermoeden dat het om een Access Point Name ging. Je weet wel de APN die je instelt om toegang tot een deel van het netwerk van je provider te krijgen (gateway). Daar zit dan weer een DHCP oid achter die IP's uitdeelt die behoren bij dat netwerk. Als die per abuis zo ingesteld zijn dat deze bij het LAN kunnen van de provider dan is het natuurlijk een koud kunstje. Pure speculatie maar klinkt wel logisch.

Toegang via een accesspoint? In ze zin van een wifi-accesspoint?

Nee, volgens mij niet. Dit is zo'n persbericht dat door de afdeling Communicatie is geschreven de door de Juridische afdeling is gecontroleerd zonder er ooit zo'n vieze IT'er naar te laten kijken.

In de oorspronkelijke tekst staat ook:

we are confident that we have closed off the access and egress points the bad actor used in the attack.

Dat maakt voor mij duidelijk dat het niet om WIFI gaat maar dat iemand in zo vaag mogelijke termen probeert uit te leggen wat er is gebeurd aan het grote publiek.

Hoe moeten ze het point of access dan noemen als ze het geen accesspoint zouden mogen noemen

Point of access is dan inderdaad een betere. Dat verward niet met accesspoint, maar legt wel uit dat er een specifieke ingang is gebruikt.

kan gewoon een gestolen laptop zijn

Ik vermoed eerder een acces point in de zin van een "administrator paneel" (webpagina of dergelijke) voor beheerders en/of ontwikkelaars.

Misschien een rare vraag, maar ik zie het nog niet terugkomen in de artikelen.

Is er enige link van t-mobile usa richting t-mobile europe?
Want dan zouden er ook europese gebruikers onder kunnen vallen.

T-Mobile USA opereert volledig zelfstandig binnen de DT groep. Buiten dat DT aandeelhouder is van TMUS is er geen enkele link met Europa. De meeste landen binnen DT gebruiken ook totaal andere systemen waardoor een aanval nooit een ander land zou kunnen treffen (wanneer het over klanten gaat).

Nou ja, totdat T-Mobile al het Nederlandse verkeer via Duitsland wilde routen.

Maar dan alsnog zijn de klantgegevens gescheiden en wordt er alleen verkeer gerouteerd.

Dat klopt

Thanks voor je uitleg!

Interessant hoe dit bericht de echt wel grotere hack als een kleiner iets framed. Zie ook T-Mobile: gegevens van bijna 49 miljoen Amerikanen werden buitgemaakt bij hack wat toch echt over dezelfde hack lijkt te gaan.

Als ik daar lees: " voor- en achternamen, geboortedata, social security numbers en rijbewijs- of id-kaartinformatie." lijkt me een lijstje met gelekte telefoonnummer niet echt "groot nieuws".

[Reactie gewijzigd door DjoeC op 20 augustus 2021 16:00]

Interessant hoe dit bericht de echt wel grotere hack als een kleiner iets framed.

Heh? Er wordt in bovenstaand bericht toch echt héél duidelijk vermeldt dat dit onderdeel is van dezelfde grote hack. Heb je het artikel wel gelezen?
Lees je aub in over wat 'framing' daadwerkelijk betekent.

Tsja, ja, dat vernoem je - net als T-Mobile dat doet in hun bericht. Toch valt dit in het niets bij de 40 miljoen+ "niet-klanten" waarvan de meest gevoelige persoonsgegevens zoals NAW + SSN + Driverslicence gestolen zijn. Dat zijn de specifieke gegevens waarmee financieele fraude gepleegd kan worden. Als in dat zelfde paragraafje ook nog eens de nadruk gelegd wordt op een groepje van 667 duizend waarbij deze gegevens niet zijn gelekt interpreteer ik dat, samen met de daaropvolgende paragrafen (x is niet gelekt, y is niet gelekt) als een bericht om de impact van het gebeuren te verhullen.

Sorry, ik heb wat moeite met het verhullend taalgebruik in dergelijke (bron) berichten. Dat is geen verwijt naar jullie die de berichtgeving overnemen. Ik denk dat deze post van [~EdwinHamers] uiteindelijk uit gaat komen. Maar in kleine brokjes.

Dat wordt dus nog meer scammers die zich gaan richten op deze staat. Die kopen wat nummers en beginnen te scammen met Windows Support.

Dus wat alle voordelen van cryptocurency betreft versus de traditionele banken die naar voren geschoven worden als de gouden roekomst, met crytocurency kun je enorm veel geld buit maken met een virtuele bankroof. Wat dat betreft zijn gewone banken veiliger. Daar kan vast vanalles maar als klant ben ik daar niet het dupe van (behalve als de bank omvalt). Soms gaan de adminb kosten omhoog met een paar euro, maar ik ben niet mijn geld kwijt.

[Reactie gewijzigd door tw_gotcha op 20 augustus 2021 19:07]

Kun je hiermee als hacker dan ook heel gemakkelijk 2FA sms'jes onderscheppen? Aangezien je hiervoor volgens mij alle gegevens van een persoon hebt die daarvoor nodig zijn?

Verdenk T-Mobile NL ook van lekken. Sinds het bedrijf waar ik werk overgegaan is op T-Mobile wordt ik regelmatig gebeld door spammers op mijn werknummer. Voorheen (Vodafone) nooit last van gehad en ook op mijn privenummer (Vodafone) geen last van.

Dat is cool icm e-sim en 2FA via SMS. Ik zie mogelijkheden. -1????? Oh sorry sarcasme wordt hier niet begrepen. Degene die dit niet snappen moeten nog veel leren op jet gebied van InfoSec.

Met 5,3 mln gegevens is het redelijk makkelijk om icm met met andere databases matches te vinden. Al zou je maar 5% kunnen koppelen dan heb je het over ruim 250.000 mensen; als je daar van 1% $1000,- euro kunt aftroggelen dan heb je het over een redelijk bedrag.

Als ik me niet vergis kan je inderdaad "veel" als je de combi IMEI en IMSI in handen hebt.

Zover ik me kan herinneren, kan je met de IMSI redelijk eenvoudig calls redirecten. Dat wil zeggen: calls die gemaakt worden met de telefoon kan je redirecten naar elders, zonder dat de caller daar iets van merkt (gevaarlijk als degene denkt dat hij zijn bank belt). Ook call-recording is (of was?) daarmee mogelijk.

Verder kan je vermoedelijk de complete telefoon/sim combi spoofen op een roaming netwerk.

Kortom, voor deze T-mobile klanten lijkt mij dit een hele nare ontwikkeling. Als ik er klant zou zijn, had ik mijn conclusies nu al getrokken en uit voorzorg overstappen naar een andere provider.

[Reactie gewijzigd door EnigmA-X op 20 augustus 2021 17:38]

Dit is inderdaad een goudmijn om op andere platforms accounts over te nemen.

ik kan ten zeerste iedereen aanraden om Darknet Diaries episode 97 eens te beluisteren.
https://darknetdiaries.com/episode/97/

En dat slachtoffer was echt geen ome Harrie met zijn eerste smartphone

Ik had het echt te doen met die man en zijn familie. Voor hem "gelukkig" enkel 🍕 bestelling. Maar zoals daar ook gezegd werd het kon erger. En dat enkel om een Instagram naam.