Hacker verkoopt data van 48,5 miljoen mensen die corona-app Shanghai gebruikten

Een hacker claimt persoonlijke gegevens van 48,5 miljoen mensen in zijn bezit te hebben die de corona-app van Shanghai gebruikten. De gegevens omvatten telefoonnummers en gezondheidsgegevens en worden te koop aangeboden op een hackersforum voor 4000 dollar.

De database van hacker XJP bevat namen, telefoonnummers, nationale identificatienummers en gezondheidsgegevens van 47 miljoen mensen en wordt volgens Reuters voor 4000 dollar te koop aangeboden op het hackersforum Breach Forums. "Deze database bevat gegevens van iedereen die in Shanghai woont of Shanghai heeft bezocht sinds de introductie van de lokale corona-app", klinkt het in de beschrijving.

Hacker XJP biedt naar verluidt ook een staal aan met daarin data van 47 personen. Reuters contacteerde deze personen en elf van hen bevestigden dat hun data daadwerkelijk in de database stond. In twee van de elf gevallen zou het nationale identificatienummer echter niet kloppen.

Via de lokale corona-app kan de overheid van Shanghai data verzamelen over de inwoners en dat in de strijd tegen het coronavirus. De app is verplicht en kan gebruikers toegang geven tot publieke plaatsen of evenementen waar gecontroleerd wordt op het virus.

Het is al de tweede keer op een relatief korte tijd dat data van Chinese inwoners in de handen van hackers terechtkomt. Hacker ChinaDan claimde in juli immers de persoonlijke gegevens van 1 miljard Chinezen te hebben gestolen waarna hij deze te koop aanbood voor 10 bitcoin. Deze data was afkomstig van de politie van Shanghai.

Update, 14.15 uur: De journalist in het bronartikel schrijft in eerste instantie over het aantal gebruikers van de app en niet over het aantal inwoners van de Chinese stad Shanghai. De inleiding en titel is hierop aangepast met dank aan Jorgen. Oorsponkelijke titel: 'Hacker verkoopt gestolen data van 48,5 miljoen inwoners van Shanghai'.

Reacties (115)

[Metal spoon]

De hele set voor 4000$? Is dat niet een beetje goedkoop? of lees ik het verkeerd?

[darkness_nightf]

Ik denk dat buiten China weinig mensen hier wat aan hebben...dus beter goedkoop verkopen..dan niks verdienen

[erwinwernars]

Denk dat google data altijd wel fijn vind hoor, net als facebook xd

[darkness_nightf]

google is wat moeilijk toegankelijk in China

[erwinwernars]

maar die wilt de data nog wel hebben ;P

[Marve79]

Plus het is data dus je kunt het meerdere keren verkopen.

[Accretion]

Kan de persoon die dat koopt dan ook niet doen?

Dan ben je meteen concurrent van je klant ook...

[Barsonax]

Nou dit is weer een mooie database voor criminelen om identiteits fraude te plegen.

[darkness_nightf]

ja dat zou kunnen. Ik weet niet of die data buiten China bruikbaar is.

[Jeoh]

Nou ja, de scammers in Cambodia zullen hier zeker wat aan hebben.

[Groningerkoek]

Geen idee wat de mindset is van de hacker, maar 15x 4.000,- is meer dan 4x 10.000,-

[GekkePrutser]

Op raidforums (voor het down gehaald werd), werden dit soort sets verkocht voor een paar euro.

Nou moet ik wel zeggen dat ze op dat moment al 'op straat' lagen. Op dat moment was het al zo wijd verspreid dat de waarde laag was.

Niettemin verbaasde me het wel hoe goedkoop zoiets werd aangeboden.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 07:39]

[Frame164]

Een bonafide bedrijf gaat dit natuurlijk niet kopen. Blijven dus over de schimmige bedrijfjes die iets met data willen doen.

[EmbeddedPower]

$0.00008 per gebruiker, dat is inderdaad niet veel, zeker als je bedenkt hoeveel schade die ene gebruiker op kan lopen door bijvoorbeeld identiteitsfraude, of gewoon door stalking of zo. Zelfs als je iedere gebruiker zou spammen is de overlast voor de gebruiker al meer dan $ 0.00008 waard (voor mij althans).

[PhanToM__]

Heeft er iemand een idee wie de potentiële kopers zijn en bestaan er straffen voor deze lui?

[GekkePrutser]

Er zijn ook goede doeleinden voor.

Je kan bijvoorbeeld de data gebruiken om de mensen met gelekte data te waarschuwen. Zoals https://haveibeenpwned.com doet. Ook gebruiken sommige onderzoekers het om te kijken naar de stand van veiligheid van de huidige wachtwoorden (al denk ik niet dat die in deze specifieke dump zitten aangezien corona apps meestal geen wachtwoorden gebruikten).

Bedrijven gebruiken het ook wel eens om de datalekken van hun eigen medewerkers in kaart te brengen. Die weer gebruikt kunnen worden door hackers om het bedrijf te infiltreren, dus daar kunnen ze dan bedacht op zijn.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 07:39]

[Polydeukes]

In dit geval leveren de identificatienummers en gezondheidsgegevens vooral een gevaar voor ID-fraude en afpersing. Dat positieve (waarschuwen van slachtoffers en beveiliging van systemen aanpassen) is vooral een gevalletje "als het kalf verdronken is dempt men de put".

[GekkePrutser]

Klopt, maar weten dat het gelekt is, is natuurlijk altijd belangrijk. Een gewaarschuwd mens telt voor twee.

Ook is het belangrijk om te weten wat er precies gelekt is. Je ID nummer maar ook je email adres bijvoorbeeld? Dat geeft een hacker meer mogelijkheden om data te koppelen.

[Polydeukes]

Natuurlijk moet je slachtoffers waarschuwen, maar ik zie dat niet als iets positiefs, maar als iets noodzakelijks om gevolgschade te beperken of voorkomen.

Een brandalarm dat afgaat is ook niet positief.

[Reactie gewijzigd door Polydeukes op 23 juli 2024 07:39]

[Iblies]

Dat kunnen allerlei bedrijven zijn, al
was het maar om de data op te slaan.

Vaak wordt de vergissing gemaakt dat Facebook en Google de grootste misdadigers zijn, alleen zijn zij als de dood dat ze net te ver gaan.


Daar achter zitten zogeheten databrookers die alles koppelen en waar je in de EU en andere delen van de wereld weinig aan kunt doen. De wetten in de VS zijn ruimer en je bent ook nog geen VS burger.

https://privacybee.com/blog/what-are-data-brokers/
https://privacybee.com/bl...-data-brokers-in-america/


Met name in de politiek wordt er laconiek gedaan en symbolisch gekletst over partijen als Facebook en Google maar dat is alleen de buitenkant.
Clearview is een recente die met zogeheten open sources heel veel aan elkaar heeft gekoppeld en die ook symbolisch verschillende boetes heeft gehad, maar hoe dat verder gaat aflopen is ook maar de vraag omdat het in een ander land is gevestigd en de data via derden zijn verkregen.
nieuws: Clearview AI krijgt Griekse boete voor overtreden AVG

[nst6ldr]

Eens met je betoog, op één ding na:

Vaak wordt de vergissing gemaakt dat Facebook en Google de grootste misdadigers zijn, alleen zijn zij als de dood dat ze net te ver gaan.

Dit is geen vergissing maar terecht. Je moet bedrijven als Google zien als een commerciële inlichtingendienst, ze bieden de infrastructuur aan om grootschalig en specifiek gebruikers te volgen (tot hun huisadres aan toe). Ze zullen om hun eigen bestaansrecht inderdaad niet 1:1 deze gegevens verkopen maar als datapunten waarmee brokers (en ook individuele actoren) aan de slag kunnen. Dat gezegd hebbende, doodsbang zijn ze er echt niet voor, gegeven de manier waarop ze reageren bij de vele misstanden zoals het Wi-Fi sniffen met de Maps auto's.

[Reactie gewijzigd door nst6ldr op 23 juli 2024 07:39]

[WillySis]

Google, Meta, Microsoft en Amazon verzamelen allemaal data, maar zijn uiterst voorzichtig met het doorverkopen daarvan. Zij liggen wereldwijd immers onder een vergrootglas en elk misbruik van hun data wordt vrij snel opgemerkt en beboet.
Het gevaarlijkst zijn de databrokers die zelf op de achtergrond blijven. Die kopen massaal dit soort databases en proberen ook continu bestaande advertenties te infecteren om cookies van derden uit te lezen. In het criminele circuit weet men heel goed de waarde van dit soort databases te waarderen. In India zijn er bijvoorbeeld meer dan 150 bedrijven (met soms meer dan 100 medewerkers) die zich bezighouden met fraude en afpersing. Anderen gebruiken de gegevens voor bijvoorbeeld identiteitsfraude.

Er zijn ook legale bedrijven die dit soort data gebruiken om met andere data te koppelen. Er zijn bijvoorbeeld kredietverstrekkers gesnapt die een "waarschuwingssysteem" hadden opgezet waarmee ze iemands kredietwaardigheid beoordeelden. Hoe ze aan de data kwamen konden ze nooit aantonen.

[nst6ldr]

Google, Meta, Microsoft en Amazon verzamelen allemaal data, maar zijn uiterst voorzichtig met het doorverkopen daarvan. Zij liggen wereldwijd immers onder een vergrootglas en elk misbruik van hun data wordt vrij snel opgemerkt en beboet.

Dat is wat ik zei: ze zullen het nooit 1:1 doorverkopen, maar ze verkopen wel datapunten waarmee brokers aan de slag kunnen. De boetes die ze krijgen zijn geen druppel op een gloeiende plaat, maar eerder een neveldruppel in een vulkaan.

Het gevaarlijkst zijn de databrokers die zelf op de achtergrond blijven. Die kopen massaal dit soort databases en proberen ook continu bestaande advertenties te infecteren om cookies van derden uit te lezen.

En daarom is het niet gek om bedrijven als Google daarvoor te beboeten en dit te verbieden. Het ligt in de lijn van "wapens doden geen mensen".

[WillySis]

Van de grote vier verkoopt alleen Meta zijn data.
Google en Meta verkopen daarnaast data die de klanten zelf bewust verzamelen via Google analytics en de Meta-pixel. Om welke data dat gaat kan iedereen gewoon opzoeken.
Doorverkopen van de eigen data doen Google, Microsoft en Amazon niet. De data houden ze lekker voor zichzelf. Microsoft gebruikt de data voor analyse van het gebruik van hun producten en tegenwoordig ook een beetje voor personalisering van reclame.
Google heeft heel veel data, maar verkoopt die al heel lang niet meer. Alleen overheden en universiteiten kunnen onder strenge voorwaarden geaggregeerde data krijgen (gratis of tegen kostprijs) waar je echt geen privacygevoelige gegevens in kan vinden. Verder gebruikt Google de data zelf om de advertenties zo gericht mogelijk te verkopen.
Amazon gebruikt de data voornamelijk zelf op de eigen platformen om de verkoop te stimuleren.

Meta is bovendien verreweg het slordigst al het gaat om het beveiligen van data.

Natuurlijk is het goed om de grote jongens te beboeten als ze over de schreef gaan. De databrokers die achter de schermen blijven werken moeten echter ook aangepakt worden. Helaas ontspringen die tot nu toe de dans, juist omdat ze zo onzichtbaar werken.

[Alex3]

Dat is heling. Maar wie het gaat bestraffen?

[rob12424]

Geheime diensten in dit geval waarschijnlijk. China en Taiwan liggen in de Clinch. Het is altijd handig als je weet waar iemand zich vaak bevindt (vooral als het 1 of andere generaal betreft)

[Groningerkoek]

"Hacker verkoopt gestolen data van 48,5 miljoen inwoners van Shanghai"

De stad heeft 24.9M inwoners het gaat dan ook om 48.5M gebruikers van de app oftewel zo goed als alle inwoners en iedereen die de stad heeft bezocht en niet om alleen inwoners.

[gaskabouter]

Dat staat ook in het artikel toch?

Deze database bevat gegevens van iedereen die in Shanghai woont of Shanghai heeft bezocht sinds de introductie van de lokale corona-app

[Groningerkoek]

Ongeacht wat je in het artikel zet, de titel blijft fout.

[logix147]

@Groningerkoek @dasiro daar is de feedback knop voor, net onder die titel.

Persoonlijk vind ik het in het artikel prima uitgelegd, maar dekt de lading niet geheel inderdaad.

[Ashketchum22]

En er wordt gesproken met 2 maten, 48,5M en 47M. Wat is het dan specifiek?

[Jorgen]

Volgens Reuters zijn het 48,5 miljoen gebruikers.
De genoemde getallen zijn in elk geval niet de inwoners. Ik heb het al gemeld bij de redactie.

[JayStout]

Artikel aangepast! Bedankt om het te melden.

[Jorgen]

Graag gedaan, Jay. 👍🏻
Jij bedankt voor het aanpassen.

[gaskabouter]

Als je toch gaat muggenziften... Feitelijk staat er dat hij er 48,5M heeft en er 47M te koop aanbiedt.

Blijkbaar houdt hij er een aantal voor zichzelf of zijn niet compleet of weet ik wat.

[dasiro]

het is weekend, dan wordt daar amper of niet naar gekeken door de mensen die betaald worden

[Groningerkoek]

Leuk die feedback knop heb ik meerdere keren geprobeerd en de ervaringen waren dusdanig dat ik die knop negeer. Als Tweakers wil dat we een geheel nieuw topic openen voor fouten in artikelen dan moeten ze er ook actie op ondernemen als topics geopend worden en daarmee is het droevig gesteld.

[dasiro]

er staat 48.5 miljoen inwoners van Shanghai, maar dat moet inwoners en bezoekers zijn

[gaskabouter]

Lees de quote anders nog eens.

edereen die in Shanghai woont of Shanghai heeft bezocht

Het lijkt wel of het een site is voor taalpuristen. De tekst legt het letterlijk uit de titel is zoals altijd een verkorte samenvatting als alles in de titel staat hoef je het artikel niet meer te lezen...

[dasiro]

Het is ondertussen al aangepast. Onjuiste clickbait-titels moeten gewoon worden benoemd voor wat ze zijn, dat heeft met journalistieke integriteit te maken en niets met taalpurisme. Moest er een titel staan met "2 miljoen inwoners van Amsterdam" dan zou je dat ook belachelijk vinden, zelfs al staat er in de tekst eronder iets anders.

[Audione0]

helemaal met jou eens!

[NielsFL]

Hoewel ik denk dat je gelijk hebt, is er in China vaak ook een groot verschil tussen het aantal geregistreerde inwoners en het daadwerkelijke aantal inwoners. Dit omdat veel arbeidsmigranten zich om verschillende redenen niet willen of kunnen registreren.

[pbruins84]

Als je de voorsteden van de metropool Shanghai ook meeneemt, kom je al op zo'n 40 miljoen inwoners.

[Groningerkoek]

De gehele metropool heeft 39,9M inwoners, nog steeds geen 48,5M

[svenk91]

Als het over een grotere tijd is genomen, dan kan je nog steeds een database van meer inwoners dan de stad op enig moment heeft. Dit ivm. sterfte/geboorte en migratie. Al zou je dan nog niet op 48.5 miljoen uitkomen gezien de beperkte tijd dat deze app bestaat. Of er moet echt een gigantische turnover in de inwoners van Shanghai zitten, maar dat lijkt mij niet.

[Groningerkoek]

Zekers, maar zo'n groot verloop in dit gebied in hooguit 1,5 jaar zou dusdanig uitzonderlijk zijn dat we dat wel uit kunnen sluiten zonder er onderzoek naar te doen

[drusloos]

Geen idee of dit klopt, maar het lijkt mij dat dit onwettelijk verkregen materiaal is. Als je dit verkoopt lijkt het mij hetzelfde als drugs verkopen, of gestolen goederen. Lijkt me dat je hier niet mee wegkomt

[Groningerkoek]

Als die niet wordt gearresteerd komt die er mee weg.

[zonglew00]

Ik was in hangzhou, waar ik mazzel had. 1 week in lockdown en daarna nooit meer (2019-2022). Ik ga niet klagen, over hoe slecht het is.

Ik wijs alleen een vinger naar alle mensen die gevlucht zijn met de virus naar Europa (Jan/feb 2020).

het werkt, maar of het vriendelijke of acceptabel is, is een ander verhaal. kennelijk kunnen mensen dat niet uit elkaar houden. Achteraf praten is altijd makkelijk. Zeg maar tegen de mensen die hun ouders of grootouders hebben verloren.

[Reactie gewijzigd door zonglew00 op 23 juli 2024 07:39]

[Beakzz]

Toch vreemd dat we dan niks aan de vreetcultuur doen. Je mag nog steeds reclame maken voor fastfood en junk food terwijl veel mensen daar ouders en grootouders aan verliezen. En met obesitas begin je bewezen met een achterstand als je Corona krijgt.

Ben je zelf verantwoordelijk voor kan je dan zeggen, maar zeg dat maar tegen de mensen die ouders en grootouders zijn verloren

[Groningerkoek]

Daar is ons gezondheidssysteem op ingericht, ons gezondheidssysteem was overduidelijk niet ingericht voor wat Corona teweeg bracht/kon brengen in zeer korte tijd. Als de ziekenhuizen ruim voldoende capaciteit zouden hebben gehad hadden we de teugels veel sneller weer kunnen laten vieren.

[Beakzz]

Nee daar is onze economie op ingericht. De lobby is erg sterk om dat zo te houden. Bizar om te zeggen dat hoe dodelijk het ook is het geen probleem is, want we kunnen het aan met de zorg.

Als het enige probleem was dat we het niet aan konden dan was er nu wel opgeschaald.

En kom maar op meningmodders Kan er alleen maar van genieten.

[Tintel]

Deels ben ik het met je eens. Maar ik begreep dat 'anders was er opgeschaald', niet zo zwart-wit is.

Dat het economisch wordt gestuurd, dat is zeker waar.

[ejay79]

Grappig, deze comment zou 1,5 jaar geleden op -100 hebben gestaan.

[Beakzz]

+2 slaat ook nergens op, maar weg modden ook niet. Je kan besluiten dat het offtopic is, maar dat gebeurt erg vaak bij bepaalde meningen. Mijn irritatie met dit systeem is dat het simpelweg gebruikt wordt om aan te geven of je het ergens mee eens bent. Je hoor mij niet zeggen dat ik alwetend ben, maar breng dan de discussie of onderwijs mij waar ik de fout in ga

[sikkwittet]

Of zeg het tegen mensen zoals ik die hun zaak en alle hebben en houden kwijt zijn.

[litebyte]

Ik weet nog goed toen China de corona app introduceerde veel westerse media ermee aan de haal gingen...zo'n app kon alleen maar in het privacy onvriendelijke China.

[YES]

Scheelt dat ie hier ook nooit verplicht is geweest, er minimale data in opgenomen werd en er niet meerdere keren databases gehackt en gelekt zijn.

[SuperDre]

Nouja, niet verplicht? Als je ergens naar binnen wilde was doe toch echt wel verplicht, en dat is dus gewoon indirecte verplichting in mijn ogen, ofwel net zo fout als dat die echt verplicht is.

[svenk91]

Je kon toch ook met de papieren versie naar binnen? De app was optioneel.

[kliklakloe]

Juist.

[bliss1]

Over die corona app (die nuttig had kunnen zijn. zie Z-Korea,Singapore bv) was meer ophef dan over het ongeremde tappen door "veiligheids"diensten en de politie. ;-)

[GekkePrutser]

In Zuid-Korea, Singapore en Taiwan was heel weinig aandacht voor privacy. Soms kon je letterlijk zien wie in de buurt corona had.

[litebyte]

Ik heb dan ervaring met de vrijwillige COCOA app in Japan. Deze werkt vergelijkbaar als in Taiwan en Korea. Reden dat de app weinig wordt gebruikt in Japan is het vertrouwen erin, zeker ook omdat her vol met bugs zat en false positives gaf. In Taiwan en Korea was de app wel beter ontwikkeld.

[GekkePrutser]

In Taiwan en Korea was de app wel beter ontwikkeld.

Maar je kon daarmee letterlijk zien waar mensen die Corona hadden zich hadden begeven. Zowel in Taiwan als in Zuid Korea. Dat was echt idioot, een enorme privacy-inbreuk.

Zo erg is het hier niet geweest. Ik reageerde daarmee met 'zo'n app kon alleen maar in het privacy onvriendelijke China.'. Wat dus helaas ook in de rest van Azie gold. En het was dus niet echt zo, de app in Nederland was behoorlijk goed dichtgetimmerd op privacygebied. Het was niet vergelijkbaar met wat ze daar hadden.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 07:39]

[litebyte]

Ik kan me nog de vele fraude gevallen herinneren in Nederland, en het stelen van persoonsgegevens via medewerkers/controleurs. Voor 50 tot 100 Euro had je de gegevens van iemand anders. Anonieme app, de app wel, maar om dan ook nog je ID te laten zien.

Dat staat dan nog los van de schijnveiligheid. Een app zou best kunnen werken m.b.t. toegang, maar dan moet je die over de hele linie van het sociaal-maatschappelijk leven gebruiken. Dus niet alleen als iemand naar het restaurant wil, maar ook als iemand naar de supermarkt gaat (net zoals in veel Aziatische landen.)
De app in Nederland werd meer gebruikt als een stok om vooral jongeren over te halen om zich toch te laten inenten. Niet als beschermingsmaattregel, dan had je deze veel breder moeten inzetten. Dat lag electoraal nogal lastig...

[Ludwig005]

Nuttig had kunnen zijn? Hoe dan? Ik kan de app foppen en dan heeft u niets door.

[TJHeuvel]

Nee je hebt gelijk, ik kan een slot openbreken dus sloten zijn niet nuttig.

[Ludwig005]

Ik tik op een toggle en er staat al 'positief' bij mij. Staat in de app. Dat met de deur is wat anders, dat is niet standaard.

[litebyte]

Losstaande of je over moet gaan tot gebruikmaking van een app. De corona app was nuttiger in Shanghai, daar gold een algeheel verplicht gebruik, of je nu met de trein moest of een pakje melk haalde in de supermarkt. In Nederland niet.

Mijn dochter is toen gestopt met werken in de supermarkt als bijbaantje. Terwijl mensen over haar heen hingen met een mondmasker op half vijf en iedereen langs elkaar heen drukte om lekker snel bij de kassa te zijn of langs elkaar wurmend door het gangpad, moest zij 's avonds in totaal gecontroleerde omgevingen met strikte afstanden en max. aantallen in een restaurant haar app laten zien.

Dan hebben we het nog niet over de duizenden fraude gevallen en diefstal van persoongegevens t.b.v. een groen vinkje.

[Some12]

De Nederlandse corona app is anoniem…

[Frame164]

Noem eens een Europese implementatie die net zo ver ging als de Chinese app. En hier was het niet verplicht.

[lighting_]

Uw gegevens zijn veilig bij ons

[Fluttershy]

4k vragen voor iets waarvoor je weet dat je in de diepste martelkerkers van de partij kan verdwijnen?

[TWeaKLeGeND]

Succes met het vinden van die rus of whatever. Mooi jaarsalarisje.

[svenk91]

4k per verkoop, niet 4k voor alle verkopen bij elkaar. Als 20 bedrijven of personen dit al kopen, dan is het opeens een leuk aantal jaarsalarissen

[The Zep Man]

De database van hacker XJP bevat namen, telefoonnummers, nationale identificatienummers en gezondheidsgegevens van 47 miljoen mensen en wordt volgens Reuters voor 4000 dollar te koop aangeboden op het hackersforum Breach Forums.

Hier is het artikel op Reuters.

[pim]

Moeten we ondertussen accepteren dat alle data van iedereen op straat ligt. Een dat beveiliging vanuit een andere hoek moet komen?
Ik accepteer geen telefoontjes van onbekende nummers, dus mij bellen voor een scam heeft geen nut.