Nft-marktplaats OpenSea waarschuwt gebruikers dat mailadressen gelekt zijn

Nft-marktplaats OpenSea heeft gebruikers gewaarschuwd dat e-mailadressen zijn uitgelekt. Dat gebeurde via de maker van de mailsoftware van het bedrijf. OpenSea lijkt ervan uit te gaan dat alle gebruikers zijn getroffen.

OpenSea zegt dat gebruikers rekening moeten houden met phishingaanvallen. Het is onbekend om hoeveel mailadressen het gaat, maar de nft-marktplaats heeft vermoedelijk miljoenen gebruikers. OpenSea zegt te vrezen voor gerichte phishingaanvallen en roept gebruikers op om goed op mailings te letten die afkomstig lijken van OpenSea.

Het datalek kwam via Customer.io, de maildienst die OpenSea gebruikt. Een medewerker daarvan kon bij alle e-mailadressen van OpenSea-gebruikers en heeft die gedownload. Vervolgens heeft die medewerker de mailadressen verder gedeeld. Het is onbekend met wie. OpenSea heeft het incident bij opsporingsinstanties gemeld en doet onderzoek, onder meer samen met Customer.io. Er zijn verder geen details bekend over het datalek bij het bedrijf.

Reacties (75)

[UninPro]

"Een medewerker daarvan kon bij alle e-mailadressen van OpenSea-gebruikers en heeft die gedownload. Vervolgens heeft die medewerker de mailadressen verder gedeeld."

Hier valt dan weinig aan te doen toch? Ik heb geen ICT-achtergrond maar kan ik dit lezen als een soort van "inside job"? Of zouden die emailadressen ook versleuteld opgeslagen moeten worden waardoor niemand ze kan downloaden.

Ik bedoel, als een meubelzaak medewerker de sleutel heeft om te openen en te sluiten. En vervolgens besluit een complete eethoek na sluiting in te laden valt daar weinig aan te doen lijkt mij.

[Prinzie]

Nee, een medewerker mag ook niet zomaar bij alle e-mailadressen komen en al helemaal geen functie hebben waarin je gewoon alle gebruikers kan downloaden. Dit moet gewoon onmogelijk zijn, ook voor medewerkers.

[Get!em]

Erger nog, alle bedrijven die maildienst Customer.io gebruiken.

Dat gebeurde via de maker van de mailsoftware van het bedrijf.

…

Het datalek kwam via Customer.io, de maildienst die OpenSea gebruikt. Een medewerker daarvan kon bij alle e-mailadressen

Gelukkig hebben ze een pagina met de belangrijkste grote klant bedrijven. Begin maar vast met e-mailen voor een mogelijk datalek, deze lekken vroeger, nu of later dus ook uit.
https://customer.io/customers

[Reactie gewijzigd door Get!em op 26 juli 2024 01:12]

[Sando]

Is deze pagina inmiddels offline? Ik krijg de volgende melding:

This site can’t be reached: customer.io’s DNS address could not be found.

[Get!em]

Check je adblocker, pihole of bijv NextDNS
URL van het bedrijf komt voor in de blocklists

[Sando]

Je hebt gelijk. Maar het lek is dus veel erger dan dit artikel doet vermoeden. Als ik het goed begrijp zijn er mogelijk ook email adressen van andere services die door veel Tweakers gebruikt worden gelekt, zoals Mailgun, IFTTT, Mapbox, Notion e.a.

/cc @arnoudwokke

[Polderviking]

Een databasebeheerder is ook een medewerker.

[lucatoni]

Het hangt er vanaf. IT Beheerders kunnen zoveel. En als ze deze rechten niet hadden, weten ze wel een truucje om die toch te krijgen. Lijkt mij heel moeilijk om alles voor iedereen te beschermen.

[Blokker_1999]

Tuurlijk wel. Iemand moet system en be heren en daarbij komt toegang tot de data in die systemen. Je moet fouten kunnen rechtzetten, backups kunnen terug zetten, upgrades kunnen uit voeren. Dat doe je allemaal met toegang tot de data.

[d3burt]

De open vraag is wat voor medewerker het hier betrof.

Bij het recente GGD lek bleek dat het downloaden en doorverkopen van dit soort lijsten een bijverdienste was van call center medewerkers. Ik gok eerlijk gezegd dat klanten van customer.io hun eigen klantenlijst kunnen downloaden, en dat de helpdesk medewerkers van customer.io dat namens de klant ook kunnen.

Helpdesks en call centers hebben veel mensen nodig, die vaak laag betaald zijn, kort bij het bedrijf werken en weinig binding met het bedrijf hebben. Ik kan me zelfs voorstellen dat iemand geïnfiltreerd is bij customer.io door simpelweg te solliciteren.

[Rouwette]

Ik ben Salarisadministrateur, ik zie adressen IBAN, BSN, Geboorte data, kopie paspoorten, verzuim, loonbeslagen etc etc.
Kan alles naar excel exporteren. Het punt is wat doet iemand met de gegevens waarmee hij werkt.

[Reactie gewijzigd door Rouwette op 26 juli 2024 01:12]

[Danny Phantom]

Mij als ICT-er is het geleerd om gebruikers/managers/medewerkers (its all the same) enkel toegang te geven tot wat ze nodig zijn. En voor niemand is het nodig om bij 123m gebruikers CRUD operaties te doen, lijkt mij zo.

[Oyxl]

Als niemand het kan, wie kan het dan wel, als het nodig is? Ik bespeur wat naiviteit in je respons. Er is geen organisatie waar niemand iets kan. Het probleem is vaak dat iedereen alles kan. Je beheerders zullen zo nu en dan toch echt die rechten nodig hebben en dus zal een selecte groep medewerkers die rechten hebben.

[kodak]

Het is eerder naïef om te denken dat er dus maar genoeg beveiliging was omdat iemand ergens onder omstandigheden bij moet kunnen. Het is niet voor niets dat er bij persoonsgegevens voldoende organisatorische en technische maatregelen moeten worden genomen. Voldoende is niet zomaar het is vaak nodig, dus dit is acceptabel om niet te kunnen herkennen en stoppen. Voldoende is ook niet zomaar het is vaak nodig, dus altijd maar toegang. En dat gaat dus ook op voor beheer. Dat een beheerder veel kan is niet zomaar reden om dat dan maar zonder andere maatregelen altijd maar mogelijk te maken. Dus zelfs als dit een beheerder was, dan nog is de vraag waarom er niet betere controle was dat iemand iets ongeautoriseerd kon doen.

[Reactie gewijzigd door kodak op 26 juli 2024 01:12]

[Oyxl]

Het enige waar ik op reageerde, was de illusie dat er een systeem is waarbij niemand ergens bij komt. Er zijn verschillende methoden om te voorkomen dat een persoon bepaalde rechten áltijd heeft. Ik ben daar ook helemaal niet tegen. Daarnaast zou er best een limiet mogen zitten op het aantal records die kunnen worden opgevraagd zonder dat overal alarmen af gaan.

Maar het idee dat je als organisatie niet op een manier toegang hebt tot je eigen databases, is simpelweg wat naief.

[kodak]

Waar baseer je die illussie dan op? Want stellen (en goed gebruik) dat niet iedereen maar zomaar overal bij hoeft te kunnen wil namelijk niet zomaar betekenen dat er geen maatregelen kunnen zijn om er genoeg controle over te hebben. Het probleem hier is dat niet eens duidelijk is waarom die medewerker er bij kon en men er tegen heeft gedaan om vooraf problemen te voorkomen.

[Oyxl]

Ik vraag me af of je begrijpt wat er staat, laten we daar eens beginnen. Jij gooit er namelijk een een strawman in. Ik zeg helemaal nergens wat jij zegt.

[kodak]

Ik zou het waarderen als je op zijn minst moeite doet duidelijk te maken waarop je meent dat er een 'illusie dat er een systeem is waarbij niemand ergens bij komt' volgens jou zou zijn. Wat daarop baseer je namelijk dat een ander naief zou zijn, wat niet zomaar redelijk is.

[Danny Phantom]

Wanneer is het nodig om voor iemand om volledige, ongemonitorde toegang te hebben tot een live database met deze gegevens? Handmatig ga je hier weinig mee kunnen doen...

E: En dingen posten als "Ik bespeur wat naiviteit in je respons." zijn nogal neerbuigend en kun je gerust achterwege laten

[Reactie gewijzigd door Danny Phantom op 26 juli 2024 01:12]

[Oyxl]

Je verschuift de goalpost. Sinds wanneer hebben we het over ongemonitored? Dat verzin jij er bij. Auditing is m.i. Standaard bij toegang tot gevoelige data. Het feit blijft dat iemand die de database moet kunnen beheren ook bij de data moet kunnen. Dus ja, er zijn mensen in de organisatie die hier bij kunnen. Nog even los van het feit dat voor het verzamelen van de gegevens in het artikel alleen R rechten nodig zijn, ipv je, enigszins nutteloze, opmerking over CRUD.

[Oyxl]

En wellicht is het voor jou handig om je wat normaler te gaan gedragen...

Ik heb werkelijk geen idee waar dit op slaat. We hebben een gesprek, waarin ik je wijs op het feit dat je heel erg theoretisch klinkt, maar nog nooit daadwerkelijk in de realiteit gewerkt hebt met systemen waar het over gaat.

Toegang en monitoring zijn verschillende dingen. Als iemand toegang heeft tot X, wil dat niet zeggen dat X geen monitoring heeft. Als ik als medewerker toegang hoor te hebben tot een systeem en daarbinnen bepaalde zaken kan, dan zal de monitoring niet af gaan, aangezien ik daar hoor te zijn. Als ik dan vervolgens besluit, van de een op de andere dag, om m'n contract en geheimhoudingsplicht in te lossen voor een beetje snel geld, dan kan men op basis van de monitoring terug vinden wie in het systeem geweest zijn en bepaalde handelingen hebben uitgevoerd. Dat lijkt hier ook het geval, omdat men weet welke werknemer het is. Men weet alleen nog niet, of de bron van dit verhaal weet het nog niet, met wie de informatie allemaal is gedeeld.

[Anoniem: 574346]

Als jij als database beheerder ergens werkt heb je voor je werkzaamheden toegang nodig tot deze gegevens. Dat kan je niet afschermen. Zeker bij grotere organisaties zal je altijd meerdere mensen hebben die toegang nodig hebben tot bepaalde gegevens.

[n4m3l355]

De eerste regel geeft toch al aan waar het fout ging, iemand kon bij alle e-mailaddressen en deze in een of meerdere batches downloaden. OpenSea heeft blijkbaar 123 miljoen gebruikers en blijkbaar kan men die dus heel makkelijk downloaden zonder enige waarschuwing. Dit is toch wel erg bizar dat een platform zo zwak is afgeschermd tegen mogelijk misbruik.

[jeffer]

123 miljoen gebruikers

wow, dit is zoveel populairder dan ik had gedacht...

[robertlinke]

tja, het blijft diefstal, dus je kan hem nog steeds aangeven bij de politie en onstlaan.
dat is waarschijnlijk wat hier ook gebeurd is, maar voor opensea is het wel jammer.

en eigenlijk zou je inderdaad ervoor moeten zorgen dat een complete database niet open staat naar personen toe en er een laag tussen zou zitten waarmee je de bewerkingen en requests doorvoert, logt en check op permissies en autorisatie van de user die de request wil uitvoeren. op die manier kan je ook transactions doen die geen onmiddelijke blijvende werking heeft op de DB zelf, zoals ongemachtigde verwijderingen van records, etc.

[Stidge]

Exact.

Maar het gaat hier om een NFT marktplaats dus ik verwacht dat de hooivorken al snel gereed staan.

En niet geheel onbelangrijk: niks in crypto is anoniem. Als men je wallet/adres weet, en dat kan koppelen aan je emailadres, dan is vanaf dat moment al je handelen en bezit bekend.

[YGDRASSIL]

De NFT marktplaats heeft helemaal geen lek gehad. Hun emailafhandelaar, die blijkbaar alleen de emailadressen had, heeft die gelekt. Dus beetje raar dat de focus alleen op OpenSea is en de Cryptos hier zo beschimpt worden.

[Luminair]

Het verschil daarvan is louter semantisch. Dan hebben ze dus wel gewoon een lek; namelijk, die emailafhandelaar.

[YGDRASSIL]

Maar de emailafhandelaar is geen cryptobedrijf. Dus alleen emailadressen waren at risk. Geen wallets of cryptos. Dus alle berichten hier over slechte beveiliging bij de cryptoboys is wat overtrokken...

[SpoekGTi]

Insider risk management, mogelijk is de medewerker al via via te horen gekomen dat zijn job beëindigd werd op termijn en dan doet men rare dingen.

Kan ook gewoon knaken zijn geweest, iedereen heeft zijn prijs

[Seditiar]

Ok, en als jij besluit om de boel te downloaden? Wat dan?

[killerbie]

wel dan kan een check meteen duidelijk maken dat ik de potentieel een van de enige met directe toegang was...

[_Pussycat_]

Zoals hier misschien ook een check duidelijk maakte wie de data gedownload had.

[killerbie]

Wordt niet vermeld in het artikel, dus ik zou daar niet zomaar van uitgaan.

[_Pussycat_]

Wat ik hieruit kan afleiden is dat het een kinderorganisatie was die gerund werd door amateurs, iets waar ik totaal niet van verschiet.

Dat kon je schijnbaar wel zonder enige kennis van details beweren...

[Polderviking]

Kan niet, ICT-ers zijn oncorrumpeerbaar en maken ook nooit fouten.

[Reactie gewijzigd door Polderviking op 26 juli 2024 01:12]

[vreakz]

Ik heb de mail van opensea net gekregen.

You are receiving this email because an employee of our email vendor, Customer.io, misused their access to Customer.io’s systems to download and share email addresses with an unauthorized third party.

[Tjidde]

Hoezo kan een medewerker daarbij kan en al helemaal downloaden.

Dat is toch iets wat je niet wilt toch?

[Parrotmaster]

Die medewerker kan daar bij omdat dat nodig is voor het functioneren van de dienst. Je wilt dus wel dat dit kan, omdat er anders geen dienst is. Ergens is er altijd iemand (vaak meerdere personen) die bij je data kunnen.

[kodak]

Als het unauthorised is dan kan er niet zomaar gesteld worden dat de medewerker er bij moest kunnen. Of het nodig is hangt af van de situatie, niet dat men het kan.

[Parrotmaster]

Misschien lees ik het verkeerd, maar waar in het originele bericht staat dat de persoon die bij de data kwam unauthorised was? Er staat alleen dat de medewerker de data heeft gedeeld met een ongeauthorizeerde 3e partij, maar dat zegt niks over de medewerker zelf die bij de data kon. Dat betekent alleen dat ie het gedeeld heeft met een groep die er normaliter geen toegang tot heeft.

[RienBijl]

Ik vind sommige reacties redelijk naïef. Dit is natuurlijk een slechte zaak, maar de hoeveelheid reacties in de trant van “waarom had iemand hier toegang toe”, is wel een beetje apart.

Tuurlijk, als alle support medewerkers bij de export kunnen, dat zou een groot probleem zijn. Maar dat weten we niet. Voor hetzelfde geld is dit een van de databasebeheerders die van het padje geraakt is. Uiteindelijk zal er altijd iemand in de organisatie zijn die bij dit soort dingen kan, dat is onvermijdelijk.

[Polderviking]

Zo ziet het comment gedeelte er toch altijd uit als er ergens een incident is.
Er is nooit een tekort aan sterke meningen over wat er allemaal aan schortte en dat kan allemaal ook rustig zonder context en situatiekennis geventileerd worden.

[zwartpet]

Nouja enigszins wel terecht, als je op je eigen website (customer.io) het volgende zegt:

HIPAA, SOC 2, and GDPR
As a data company, we understand the importance of keeping your company’s data secure. Rest assured, your information is always protected.

Simpelweg je data encrypten en alleen op de server die de mails stuurt/data ophaalt het weer decrypten met een private key is toch op zich het minst wat je kunt doen als je zoveel privé gegeven van derden ontvangt. Kan alleen nog diegene die toegang heeft tot die ene server iets met de encrypted data. 1 plek is makkelijker te beheren dan meerdere.

Genoeg systemen gezien die zo werken en in interfaces en exports ruwe data maskeren: bla****[e-mail]

[RienBijl]

Dan is er dus alsnog iemand met toegang. Voor zover jij weet is dit precies wat daar gebeurde.

[zwartpet]

Dat klopt het is een aanname, maar security stopt natuurlijk niet daar. Je zou degene met toegang tot die server geen toegang tot api's en de database kunnen verschaffen waardoor het opeens een stuk lastiger word om alle data te verkrijgen en te decrypten. En als je aangeeft op je eigen website zoals in m'n bericht hierboven dan mag ik toch hopen dat daar inderdaad over na word gedacht.

[Polderviking]

Maar waarom trek je zo hard aan wat er op de site staat?
Want er staat helemaal niks concreets.
"Data is protected" zonder verdere concrete duidingen is nogal een vaag begrip.

[zwartpet]

Op https://customer.io/security/ staat nog iets meer, bijvoorbeeld:

What is your policy for encrypted data?
Data transmitted to Customer.io, via our API, is encrypted in transit through the use of the HTTPS protocol.

Our system data is encrypted at rest using Cloud KMS services.

En als ze zoals op de website staat aangegeven SOC 2 gecertificeerd zijn zal ook access control wel op orde moeten zijn.

Vind het gewoon vreemd dat je op je website te koop loopt met deze informatie terwijl het alsnog mogelijk is om zoveel data van een bepaalde klant uit het systeem te krijgen.

Edit: link met nog meer info over hun security

[Reactie gewijzigd door zwartpet op 26 juli 2024 01:12]

[sspiff]

Een platform om crypto assets voor veel geld te verhandelen, en ze kunnen zelf hun interne database niet beschermen.

Ligt in lijn met de verwachtingen.

[lucatoni]

Ik probeer de relatie te ontdekken, tussen crypto en deze breach, zoals jij hem maakt, maar komt niet ver. Wat is het verschil tussen deze breach, en bijvoorbeeld het Mariott hotel, Facebook, Linkedin en Dropbox? Allemaal grote partijen die er niet in zijn geslaagd data voldoende te beschermen.

Lag dat ook in lijn met de verwachtingen? Of dat is alleen bij crypto zo?

[chrisboers]

Er is geen link. Dit gaat ook alleen om een mailinlist, waar ze een extern programma voor gebruikten. had bv ook van mailchimp oid kunnen zijn. Dit is dus eigenlijk geen breach bij opensea, maar bij die pakketleverancier.

[Reactie gewijzigd door chrisboers op 26 juli 2024 01:12]

[Parrotmaster]

Ik probeer de relatie te ontdekken, tussen crypto en deze breach, zoals jij hem maakt, maar komt niet ver.

De link zit in de gebruikers. Mensen die aan Crypto doen, en vooral NFT's, zijn snel voor de gek gehouden en weten vrij weinig af van de tech wereld/economie. Dus grote kans dat je sneller daar dit soort incidenten ziet langskomen.

[Medabi3]

Heeft niks met hun interne database te maken, een werknemer van de mailprovider waar zij diensten van afnemen heeft deze data gelekt.

[Rabb]

*externe database bij een externe dienstverlener.

[litebyte]

Monkey business...

[zx9r_mario]

Bored Monkey business

[MiesvanderLippe]

E-mail delivery op die schaal is totaal niet haalbaar / rendabel om zelf te doen. Daar gebruik je defacto een derde voor. Als je zulks zelf gaat doen neem je een veel, veel groter risico.

[Reactie gewijzigd door MiesvanderLippe op 26 juli 2024 01:12]

[gepebril]

Ha ha ha een platform dat na ICO's (Intial Coin Offerings), de biggest scam uit crypto wereld, genaamd NFT's host, waarschuwt klanten dat ze opgelicht kunnen worden door 3rden. Dit is 100% 🤡🌍

[Reactie gewijzigd door gepebril op 26 juli 2024 01:12]

[SpoekGTi]

Beveiligen van buitenaf is iets heel anders dan een rogue medewerker die gewoon toegang heeft hè

[BgB]

Dat is ook weer een onnodig lompe opmerking. Alles op één hoop gooien is onterecht. De technologie erachter heeft potentie (losstaand van de vraag of het wel nodig is of reëel is om te gebruiken op grote schaal) en er zijn genoeg munten die niet alleen een bestaansreden hebben buiten pump & dump schema te vormen. Je mag het insignificant vinden en er zijn zeker genoeg kritiekpunten aan crypto in zijn totaliteit, maar om het meteen als scam te bestempelen is ook weer onterecht.

[Anoniem: 138647]

Hij heeft gelijk. Crypto is een scam. Een pyramide spel.
Blockchain als Technologie is heel nuttig (zolang men er geen mensen mee belazert ala Cryptovaluta).

[Wilhelm_Tweede]

Betrouwbare cryptocurrency is een soort catch-22 situatie. Men wil het, omdat het niet algemeen bijgehouden hoeft te worden. Het werkt niet (onbetrouwbaar & volatile), omdat het niet algemeen bijgehouden wordt. Bijgehouden / gereguleerd. Je kan het niet aan één organisatie overlaten.
Zoals de comment van zotteke zegt: Blockchain zelf kan heel nuttig zijn

[kabelmannetje]

Jij bent degene die alles op één hoop gooit. Ik had het over crypto. Jij over crypto én Blockchain.

Crypto dient geen enkel nuttig doel. Niet als infaltiehedge, niet als alternatief betalingsverkeer, niet als belegging, niet als store of value. En dan heb je het grootste deel van de crypto wel samengevat.

[CaDje]

Ik dacht dat Opensea authenticatie via een wallet verloopt, ik heb zelf in ieder geval nooit ergens een email adres ingevuld om in te loggen.

[chrisboers]

Dit gaat over een mailing list, dus tja, dat is lastig zonder email adres.

[letatcest]

Dat klopt, maar ze willen heel graag dat je wel je e-mailadres achterlaat voor allerlei doeleinden, zoals notificaties als een object te koop komt, je iets verkocht hebt, etc.

[CzMichiel]

Een grootste pixelroof zal dan misschien kunnen gaan plaats vinden. Is dat al een woord, pixelroof?

[eboellie]

waarom staat dit op tweakers en alle andere gevallen van cryptofraudes en fondsen die in elkaar donderen met bijbehorende systeemrisicos niet?