Hackers kregen toegang tot Mailchimp-tools om maildata crypto-accounts te stelen

Criminele hackers wisten toegang te krijgen tot systemen van Mailchimp nadat ze inloggegevens van medewerkers wisten te verkrijgen via social engineering. De criminelen waren uit op data van mailinglijsten voor cryptovaluta.

Mailchimp bevestigde slachtoffer te zijn van een aanval, nadat klanten van Trezor, een bedrijf voor hardwarematige wallets voor cryptovaluta, notificaties kregen dat het bedrijf een datalek had. Bij die nepberichten bleek het om een phishingaanval te gaan in een poging om klanten malware te laten installeren, zodat de criminelen cryptovaluta konden stelen.

De criminelen kregen toegang tot systemen van Mailchimp voor klantondersteuning en beheertools nadat ze via social engineering inloggegevens van medewerkers wisten te verkrijgen. Volgens Mailchimp wisten de daders daarmee 319 accounts van klanten binnen te dringen, waaronder dus Trezor, en slaagden ze er in om mailingdata van 102 accounts weg te sluizen. Ook kregen ze api's in handen, waarmee ze mailingcampagnes buiten het dashboard van Mailchimp om kunnen opzetten.

Volgens Mailchimp was de aanval nadrukkelijk op cryptovaluta en financiën gericht. Het bedrijf meldt Bleeping Computer dat het de getroffen accounts van medewerkers snel afsloot en de betreffende api's uitschakelde. Het bedrijf ontdekte de aanval op 26 maart. Niet bekend is of de inbraak tot meer phishingaanvallen heeft geleid.

Reacties (37)

[Macboe]

Verveeld voor de gedupeerde. Hoe denkt Mailchimp deze mensen te compenseren voor de schade? Dit buiten of er buit is gemaakt in de crypto wereld.

Ik gebruik zelf altijd een spam e-mailadres voor registratie (ook hier). Dit emailadres gebruikt niet eens mijn echte voor en achternaam. Dit doe ik al een jaar of 15! Mijn e-mailadres die ik gebruik voor zakelijke dingen (bank, crypto, etc.) deel ik eigenlijk met niemand.

[Reactie gewijzigd door Macboe op 23 juli 2024 07:38]

[CypressGTX]

Ik vind dat een goed systeem en zou dat zelf ook wel willen, kost het alleen niet veel tijd om telkens voor ieder account een nieuw mailadres aan te maken? Je mail client staat dan toch op ontploffen met accounts voor die enkele mail die erin komt in de mailbox.

Maar goed het heeft zich bewezen met Allekabels.nl dat het werkt

[Ypho]

Ik heb zelf een "catchall" adres, iets als catchall@<domein>.nl. Die vangt alles op dat niet op de geregistreerde adressen binnen komt. Zo heb ik maar een aantal mailboxes, en een "verzamelbox" voor al het andere.

tweakers@<domein>.nl, bol@<domein>.nl, aliexpress@<domein>.nl, coolblue@<domein>.nl, etc. Ik registreer me met zulke adressen op websites, en onderwater komt alles binnen in mijn catchall@<domein>.nl mailbox. Als ik dan ineens spam krijg, kan ik aan het adres zien wie er mogelijk gelekt heeft, en alle mail verstuurd naar dat adres op de blacklist zetten.

(Wellicht niet de beste manier, maar wel enorm handig voor vrij weinig werk)

[YouryDW]

Voor zij die graag gmail gebruiken als email, kan je dit ook op een soortgelijke manier doen, als je adres <naam>@gmail.com is, kan je <naam>[e-mail] gebruiken of <naam>[e-mail], op deze manier kan je ook filters opbouwen en kan je makkelijk aan elke site een ander adres geven die toch in dezelfde mailbox zal terecht komen.

[Anoniem: 454358]

alleen zijn er veel sites waar een + in het email adres niet geaccepteerd word. Standaard php mail filter accepteert het volgens mij al niet.

[GertMenkel]

Nee, PHP accepteert hem voor zover ik weet prima. Veel PHP-ontwikkelaars doen alleen een (falende) regex check op email, ook al is regex daar totaal niet voor geschikt, waardoor je sommige websites niet doorkomt. Ik heb er eigenlijk zelden problemen mee. Dingen die wel veel fout gaan zijn quotes en geëscapede tekens, maar het is duidelijk dat het volgen van de email RFC te veel gevraagd voor de meeste ontwikkelaars.

[Anoniem: 423815]

Klopt, ik heb in het verleden al meermaals een poging ondernomen om bedrijven hierop te wijzen. Van tientallen meldingen heb ik letterlijk één website geweten waarbij de validatie na de melding effectief (correct) aangepast werd. Heel frustrerend dat men zich niet aan (duidelijke) vastgelegde standaarden houdt, inderdaad…

[thomas1907]

Coolblue oa. laat je wel registreren met een + mail adres, en alles werkt prima.. behalve het uitschrijven voor de nieuwsbrief!

[Ray_]

Dit heb ik voorheen vaak gedaan in combinatie met punten op willekeurige plekken in het adres, maar die +<naam> werd er steeds vaker tussenuit gepikt. Als ik dan ergens [e-mail] ergens had ingevuld ontving ik alsnog spam op [e-mail]. Uiteindelijk maar een domeinnaam gekocht enkel voor mail, die met een catchall alles doorzet naar het gmail-adres.

[Vaevictis_]

Ik gebruik Simplelogin erg handige tool met browser plugins heel mooi dashboard waarin je ook kunt aangeven of welke alias naar welke mailbox gaat of niet en statistieken erbij. Zou niet meer zonder willen.

[Zeerob]

Idd, en je kan ook punten toevoegen of weglaten.
Gmail negeert alle punten in het emailadres (voor de @ uiteraard).

[telenut]

Zo doe ik het ook al jaren. Enig nadeel: soms weet ik mijn inlognaam niet meer, en het herstel email adres ook niet :-)
was het nu site.be site.nl website.be website.nl of url.be
Sommige sites hebben nogal veel verschillende namen maar wel zelfde login.
En ja ik gebruik een wachtwoordmanager, maar die weten ook niet dat site.be en site.nl zelfde zijn ...

[r03n_d]

En ja ik gebruik een wachtwoordmanager, maar die weten ook niet dat site.be en site.nl zelfde zijn ...

Als je "site" intoetst krijg je vanzelf de opties voorgeschoteld toch? Misschien werkt het automatisch invullen niet goed, maar het terugvinden van de wachtwoorden moet een spreekwoordelijk eitje zijn. Ik gebruik nml zelf ook bovenstaande methodiek icm. bitwarden.

[alienfruit]

Krijg altijd erg veel spam om mijn catch-all email domein. Knettergek van te worden

[thomas1907]

Anonaddy is ook een hele goede. Je kan een eigen domein toevoegen en daar anonieme adressen op aanmaken, of een van hun domeinen gebruiken. Dan kan je per website een mail adres aanmaken en ook op het interface mail adressen uitschakelen etc etc.

Zie Anonaddy.com

[RoanV]

Hoe/waar host jij je email als ik vragen mag?
Ik wil al een poosje switchen van gmail. Protonmail leek mij een interessante optie, maar daar moet je het duurdere abbonnement nemen als je een catchall emaip wil. En die heeft voor mij verder weinig toegevoegde waarde

[eboellie]

allekabels.nl fout?

[Anoniem: 454358]

alweer een jaar geleden
nieuws: Allekabels waarschuwt 5000 klanten voor datalek van onbekende gegevens
nieuws: Allekabels-lek bevat ook data van 34 andere webshops

[Reactie gewijzigd door Anoniem: 454358 op 23 juli 2024 07:38]

[eboellie]

ah so, dank. Ik dacht even dat ze NAW gegevens verkochten ofzo. Maar dit dus.

[dieAndereGozer]

10 minute mail baby.

[tom.cx]

Ze adviseren als je een Online Wallet gebruikt en er zit serieus geld in om altijd het volgende te doen;

- Uniek mailadres;
- MFA nooit via SMS gebruiken maar een app als Google Authenticator. ;
- Uniek telefoonnummer;
- Nooit alles op 1 plek bewaren maar splitsen over twee of drie wallet’s

Zo maak je de kans veel kleiner dat je account gehackt kan worden. En ik zeg met opzet veel kleiner. Want ze kunnen echt alles uit de kast halen als ze je crypto willen.

[die4ever]

En het e-mail adres van uw werkgever is geen voorspelbaar [e-mail] adres?
Want uiteindelijk zijn het op deze adressen dat de hack plaats hebben gevonden.

[Cristan]

Het is treffend hoeveel moeite er wordt gedaan om bij mensen hun crypto wallets te stelen. Sinds ik de podcast aangeraden in deze reactie van DrWhite1 heb geluisterd is het eigenlijk vrij logisch: crypto door een scrambler halen is een heel stuk makkelijker dan geld witwassen. Daarom, let op als je crypto hebt: je hebt hiermee automatisch een doelwit op je rug.

[telenut]

Je kan uw crypto ook gewoon laten staan op een exchange. Dan is de veiligheid uw probleem niet... Uiteraard ben je dan wel afhankelijk van die exchange. Kies dus een grote, en best ook verschillende exchanges.
En ben je niet van plan te handelen? Druk uw seeds of QR af en sla die ergens veilig op. (iets wat ik persoonlijk nooit zou doen trouwens, want ja, dan ben je een target, en je kan het verliezen/kwijt spelen)

[YopY]

Veel mensen vinden dat raar (het iemand anders zijn probleem maken) omdat dat tegen het decentrale aspect van crypto in gaat.

Ik vind het wel grappig dat de crypto-markt steeds meer richting traditioneel bankieren gaat, met centrale opslag en garantiestelsels.

iig, dat een exchange crypto 'verliest' kan ook problemen opleveren; Bitfinex is daar bekend om, als ik het me goed herinner (de wiki pagina is er vaag om); zij brachten Tether uit nadat ze zelf gehacked waren, maar gezien alles al pre-mined was is het net zoals geld printen. Tether wordt gebruikt om Bitcoin te kopen, en Bitfinex heeft daar ook weer belang bij.

Ik ben geen econoom, maar, Tether is uit niks geprint om de prijs van Bitcoin omhoog te halen.

[uNoTopia]

Tether is uit niks geprint? Wat bedoel je? Tether is 1:1 backed door dollars.

[MennoE]

Eh, nee? Volg je het nieuws niet? Ze hebben een paar dollar en voorde rest Chinese commercial papers.

[uNoTopia]

Niet dagelijks nee.
Interessant dat de backing er inderdaad anders uitziet dan ik dacht. Toch claimen ze dat ze fully backed zijn. Geen idee wat dat dan inhoudt en wat "commercial papers" zijn.

[GertMenkel]

Het nadeel van de exchanges is dat er nog wel eens hier en daar een exchange blijkt te liegen over de daadwerkelijke hoeveelheid crypto die ze hebben. Soms pakken ze de crypto en rennen ze, soms snoepen ze slechts wat van je bezittingen af, maar misbruik op zelfs grote exchanges komt nog steeds voor.

Als het niet in je eigen wallet staat, is het niet van jou; dat is hoe de ongereguleerde wereld van cryptocurrency werkt. Daarom bestaan er dingen als hardware wallets die erg lastig te kraken zijn (alhoewel inbrekers je nog wel eens willen dwingen om die te ontgrendelen als ze erachter komen dat je zo'n ding hebt). Wil je een softwareportomonnee, dan zul je je extreem diep moeten verdiepen in het beveiligen ervan, en het uitvoeren van goede opsec zodat niemand die weet dat je crypto hebt er ook achter kan komen waar je woont of wat je telefoonnummer is. Dat betekent 2FA met hardware tokens op geheime accounts met geheime waardes, een air gap, en een toegewezen computer waar je geen andere software of internetactiviteiten op doet.

Als ik ooit met meer dan een paar tientjes zou speculeren in cryptocurrency dan zou ik het eigenlijk alleen in iets als QubesOS durven op een losse laptop.

[uNoTopia]

"misbruik op zelfs grote exchanges komt nog steeds voor"

Heb je hier voorbeelden van? Ik kan me niet voorstellen dat dit echt gebeurt bij de Kraken's en Binance's van deze wereld

[GertMenkel]

Mt. Gox was de bekendste, heeft ooit zo'n 70% van de Bitcointransacties verhandeld. Africrypt is wat recenter, dat kreeg ook flinke hoeveelheden kapitaal in handen. Coinnest was niet bijzonder populair hier, maar die zijn daadwerkelijk gepakt. QuadrigaCX is nog steeds miljoenen verschuldigd aan hun klanten, en daarvan zijn de wallets leeggetrokken voor liquidatie van het falende bedrijf kon beginnen.

Iedere keer als zoiets misgaat wordt natuurlijk gezegd dat het om een hack gaat. Vanwege de anonieme structuur van cryptocurrencies en de hoeveelheid mixing diensten die je op coins kunt loslaten is het onmogelijk te bewijzen waar de gestolen coins precies heen gaan.

Binance wordt door de Amerikaanse overheid onderzocht voor witwassen en belastingfraude, dus daar zou ik mijn coins niet willen opslaan. Je ziet de coin exchanges wel steeds meer centraliseren naar een paar grote vertrouwde partijen, dat helpt wel.

[telenut]

Voila. Net 2 exchanges waar ik de meeste crypto heb staan. Bitstamp ook nog een deel, ook daar heb ik nog groot vertrouwen in, maar het is een dure om om te verhandelen :-)
Ik heb ooit een offline bitcoin "verloren"... die stress heeft toen heel mijn weekend om zeep geholpen. Laat de stress maar over aan systeembeheerders die er vet voor betaald zijn

[Eren]

Bij Binance hadden ze het met ATOM. Volgens mij staked Binance een grote deel gewoon en hebben ze een reserve voor als mensen het naar een andere wallet willen zetten.

Er was veel hype met osmosis waardoor veel mensen atom begonnen te versturen naar hun kepler wallet. En bam opeens na een kwartier was er een zogenaamd storing van 3 dagen. Ja als je Atom staked heb je 21 dagen wacht tijd tot dat je het terug krijgt. Ze waren gewoon druk bezig om hun reserve aan te vullen met Atom.

[johnny2000]

Raakt dit Mandrill ook? Ze zitten namelijk achter dezelfde login. Daarnaast .... Is er een officiële mail uit gegaan? Heb namelijk niet iets voorbij zien komen.

Update: heb gevraagd of er ook een officiele announcement komt. Gaan ze niet doen, de getroffen klanten hebben deze wel gehad. Vind ik eigenlijk een slechte zaak, lijkt zo een beetje dat ze de boel zo klein mogelijk proberen te houden. Stof tot nadenken!

[Reactie gewijzigd door johnny2000 op 23 juli 2024 07:38]

[RobinMM]

Ik heb ook dit mailtje gehad, zeer overtuigend. Ik heb niet de button in de mail gebruikt maar heb via de officiële website de laatste versie gedownload. Toen ik nog is op het onderwerp van de mail gezocht had op google las ik over dit lek. That was close..

Het is de eerste keer sinds ongeveer een jaar nadat ik ben begonnen met unieke email adressen dat ik een alias heb moeten deactiveren. Momenteel heb ik 160 actieve aliassen.

[moonlander]

Ook kregen ze api's in handen, waarmee ze mailingcampagnes buiten het dashboard van Mailchimp om kunnen opzetten.

Die api's zijn voor iedereen toegankelijk. Denk eerder dat ze de api-keys hebben weten te krijgen.