Zeventien Nederlanders zijn gearresteerd bij operatie tegen Genesis Market

Bij de wereldwijde politieactie tegen Genesis Market zijn zeventien Nederlanders gearresteerd. Zij worden verdacht van het stelen van geld en identiteiten. De politie heeft een tool gebouwd waarmee slachtoffers kunnen zien of zij geïnfecteerd zijn.

De Nederlandse politie heeft meer details gegeven over Operatie Cookie Monster. Op woensdagochtend werd bekend dat er een grote internationale politieactie met die naam had plaatsgevonden, waarbij de botmarktplaats Genesis Market werd overgenomen. Die actie werd geleid door de Amerikaanse FBI, maar de Nederlandse politie blijkt daarin nu een grote rol te hebben gespeeld.

De actie werd bijgestaan door het Team High Tech Crime van de Landelijke Eenheid. Dat werkte samen met securitybedrijven Trellix en Computest. Volgens de politie zijn er wereldwijd meer dan twee miljoen slachtoffers besmet met malware die via Genesis Market te koop was. Daaronder zouden zo'n 50.000 Nederlanders zitten. De politie heeft een tool gebouwd waarmee Nederlanders kunnen kijken of zij slachtoffer zijn geworden op basis van hun e-mailadres. Daarnaast werkten de diensten en bedrijven samen met Microsoft om een update door te voeren aan Windows Defender. Daarmee kan de malware worden opgespoord en verwijderd bij slachtoffers.

Tijdens de actie zijn in 17 landen honderden huiszoekingen gedaan. In Nederland vonden er 23 huiszoekingen plaats, schrijft de politie. Daarbij zijn zeventien personen aangehouden, maar details over wie dat zijn is niet bekend.

Reacties (112)

[robertlinke]

ik schijn de dans onsprongen te zijn, ik heb de tool gerunt en geen e-mail ontvangen
succes voor ieder die het ook runt

[pietje63]

Ik ook, maar dat baseer ik op het niet hebben ontvangen van een mail. Het niet ontvangen van een mail kan echer ook andere redenen hebben (vertraagd, typefout bij invoeren mail, gemist in span). Waarom sturen ze niet ook een mail als je e-mailadres niet in de database zit?

[wildpicture]

Inderdaad erg vreemd en niet gebruikersvriendelijk. Als een ingevoerd e-mail adres niet voorkomt in de database, laat dat dan zien op de website. Komt het wel voor, stuur dan een mail aan dat adres.

Nu voer je een adres in en als er dan niets komt, weet je nog niet zeker of je veilig bent of dat de mail gewoon niet aangekomen is.

[cariolive23]

Inderdaad erg vreemd en niet gebruikersvriendelijk. Als een ingevoerd e-mail adres niet voorkomt in de database, laat dat dan zien op de website. Komt het wel voor, stuur dan een mail aan dat adres.

Daarmee kan iedereen dan testen of een bepaald email adres, en de bijbehorende eigenaar, kwetsbaar is... En wanneer iemand dan kwetsbaar is, kan ik direct een aanval op deze persoon gaan uitvoeren, want ik weet dat het emailadres bestaat én de eigenaar kwetsbaar is én de eigenaar net van de politie ook al een berichtje heeft ontvangen. Nog mooier gaat het niet worden!

Gelukkig is er wetgeving die dit soort dingen verbiedt

[Jaldea]

Zelfde geval bij bijvoorbeeld Google als je wachtwoord/username vergeet je niet ziet of het e-mailadres wel of niet wordt herkend als je deze opgeeft voor een reset, zo kan je letterlijk controleren welke emails wel of niet in gebruik zijn.

[herpideperpi]

Vertel: Hoe val je dan aan, met als resultaat diens persoons centjes. Zonder dat die het merkt.
Stap voor stap graag.

[cariolive23]

Zonder dat die het merkt.

Waarom zou de "klant" het niet mogen merken? Ik laat de "klant" juist meewerken, dan kan ik veel meer geld verkrijgen dan wanneer ik probeer om alles te verbergen.

Stap voor stap graag.

Uhhh, dan ga ik problemen krijgen met mijn klanten, want die ik moet juist beschermen tegen dit soort criminaliteit. Een stappenplan publiceren is dan niet de meest handige actie.

[herpideperpi]

Als dr geld wordt afgeschreven krijg ik push of sms of mail.

Hier verhaal uit de Telegraaf .
Ik vind het doodeng. Maar wat nou precies heeft het geboefte in staat gesteld om dit te doen.
Dus konden ook in digi d.
Geruïneerd in onzichtbare hel
Peter zag pensioenpot van 70.000 euro verdwijnen
Wie de film

’Luther’ heeft gezien over cybercriminelen die levens binnendringen en vernietigen, ziet bij het relaas van Peter Bos* (71) de fictie in realiteit veranderen. Hij werd financieel en geestelijk kapotgemaakt door een verdachte van de ’Genesis-bende’.

GERDA FRANKENHUIS EN MICK VAN WELY
De nachtmerrie van Bos begint in februari 2021. In een brief van PostNL wordt hij erop gewezen dat alle post per 5 februari zal worden doorgestuurd naar een nieuw adres. Welk adres, dat vermeldt de brief niet. „Ik heb gebeld met de klantenservice om deze wijziging ongedaan te maken. Ze wilden niet vertellen wat het nieuwe adres was en wie de wijziging had doorgegeven. De privacywet snoert alle callcenters de mond.”

Bankrekening

Op 17 februari belt de postbode aan met een brief van de SNS-bank. Die bevat een pincode voor een nieuw rekeningnummer op de naam van Bos. Die is stomverbaasd omdat hij nooit opdracht heeft gegeven voor het openen van een nieuwe rekening. Als de onbekende initiatiefnemer pas én code had gekregen, had de rekening kunnen worden geplunderd. Bos: „Maar gelukkig had ik de code onderschept.”

Wat blijkt? Er zijn vanaf december meerdere nieuwe bankrekeningen geopend. Die rekeningen worden door de bank opgeheven. Op 26 februari krijgt Bos een sms van ABN Amro over een blokkade van zijn pas. Hij reageert niet omdat hij vermoedt dat het om een oplichtingstruc gaat. „Ik had niet eens een rekening bij die bank.” Op 20 april krijgt Bos een brief waarin staat dat zijn DigiD-gegevens bekend zijn bij onbekenden.

Dan wordt het nog surrealistischer. Als Bos wil inloggen op zijn account bij Robeco, blijken de gegevens niet meer te kloppen. Opnieuw moeten hij en zijn vrouw gegevens opsturen. De handelingen en het besef dat er op alle fronten iets mis is, kosten veel energie en het beangstigende gevoel grijpt ze bij de keel. „Het voelde alsof ik in een zwembad lag te trappelen, maar de kant en de bodem niet zag en geen idee had hoe ik eruit moest komen.”

Telefoonnummers

Als Bos eindelijk kan inloggen, blijkt tot overmaat van ramp de rekening in december 2020 te zijn opgeheven. Het zuurverdiende pensioen van bijna 70.000 euro is verdwenen. „Een van mijn ID’s was gebruikt om meerdere rekeningen te openen.” Inlognaam, e-mailadres, wachtwoord en telefoonnummers waren aangepast. Zo kon de verificatie door de bank worden omzeild. Het echtpaar Bos is alle controle kwijt.

Opnieuw loopt Bos tegen de privacywetgeving aan. Hij wil weten wie de tegenrekening maakte, maar de Knab-bank waar de nieuwe rekening was geopend, weigert de radeloze Bos naar eigen zeggen te helpen. Hij doet bij alle betrokken instanties melding van fraude en inmiddels onderzoekt ook de politie de zaak. Dankzij hulp van de Fraudehelpdesk en een goede advocaat krijgen ze het geroofde geld terug. De politie neemt in het onderzoek een laptop in beslag waarop allerlei data van Bos staan. Het kost weken om allerlei wachtwoorden aan te passen en tweestapsverificaties in te stellen.

Maar aan de hel komt geen einde. In juni wordt Bos gebeld door ene Erik, die zich voordoet als iemand van International Card Services (ICS). De man waarschuwt hem dat er zonder zijn medeweten een bedrag op de creditcard van ING is gereserveerd voor een aankoop. Bos verricht een aantal handelingen op zijn advies. „De man was zo professioneel en sprak met zo veel kennis, dat ik niet twijfelde aan zijn goede bedoelingen.”

Maar Bos is slachtoffer van bankhelpdeskfraude met behulp van ’spoofing’. De creditcard wordt geblokkeerd en vervangen. ING vergoedt uiteindelijk wel het gehele bedrag. „Ik werd zo paranoïde, dat ik uit voorzorg een ander telefoonnummer en een andere internetprovider nam.”

Als klap op de vuurpijl krijgt het echtpaar in september 2022 nog een aanmaning van een bedrijf omdat na de levering van een besteld product niet zou zijn betaald. Iets wat hij niet had besteld en ook niet had gekregen. Na researchwerk van het bedrijf wordt Bos toch nog vrijgesteld van betaling.

Voor het echtpaar waren de anderhalf jaar een ware nachtmerrie. „Het gaat deze criminele bende om het binnenslepen van zoveel mogelijk geld. Het maakt je onzeker over het handelen in het betalingsverkeer. Bij het openen van de mail ben je constant bang voor het openen van vreemde berichten.”

Behalve de advocaatkosten en de aanschaf van een nieuw paspoort is alles vergoed.

*De naam ’Bos’ is om privacyredenen gefingeerd. Het relaas is gebaseerd op meerdere aangiftes bij de politie, die heeft bemiddeld bij het verslag.

Genesis

[Reactie gewijzigd door herpideperpi op 23 juli 2024 03:24]

[cariolive23]

Als dr geld wordt afgeschreven krijg ik push of sms of mail.

En wat dan? Geld is weg, daar heb je nu keurig de bevestiging van gekregen. En dat heb ik je ook al verteld, dus het voldoet aan jouw verwachtingen. Mocht jouw bank nog bellen, ga jij hen ook keurig vertellen dat dit de bedoeling is, want dat hebben we tenslotte net afgesproken.

Dat je volgende week er achter komt dat je geld niet alleen weg is, maar ook daadwerkelijk verdwenen is, dat is jouw probleem en niet de mijne.

Dit alles wordt veroorzaakt door Nederlanders te goedgelovig zijn en zich makkelijk laten manipuleren.

[herpideperpi]

Ik bedoel dus dat je een tweede keer kan blokkeren.
Je krijgt een push. En als je die niet herkent kan je ingrijpen.
Ik kreeg zo'n melding van Revolut. Betaling werd niet geaccepteerd, maar toch ff alarmbel.
Ik lees vaak dat er meerdere malen gepind wordt, bij het leegroven van de account
Bij al mijn bankapps staat de melding vanaf nul aan. Krijg ik een pushmelding....
Prima dus. De melding niet aan hebben staan kan er zorgen dat je pas na dagen merkt dat de poet op is..

[Reactie gewijzigd door herpideperpi op 23 juli 2024 03:24]

[cariolive23]

Je krijgt een push. En als je die niet herkent kan je ingrijpen.

Daar zit in veel gevallen het probleem: Ik heb je net verteld dat ik je een push melding ga sturen. Dus herken je dit wel en ga je mij nog meer vertrouwen.

Ik lees vaak dat er meerdere malen gepind wordt, bij het leegroven van de account
Bij al mijn bankapps staat de melding vanaf nul aan. Krijg ik een pushmelding....

Dat is goed! Maar dat werkt alleen wanneer jij niet verwacht dat er wordt gepind. En het werkt alleen bij de ATM, bij het pinnen.

Prima dus. De melding niet aan hebben staan kan er zorgen dat je pas na dagen merkt dat de poet op is..

Of je het nu na een paar dagen merkt of na een paar minuten, in beide gevallen is het geld weg. En de grootste bedragen worden niet via de ATM opgenomen, maar keurig via SEPA overgeboekt.

Het is goed om te lezen dat iemand zich bewust is van security, maar in het grote geheel maakt het nauwelijks uit: Alleen al in Europa zijn er nog een paar honderd miljoen andere potentiële slachtoffers... Eén meer of minder maakt dan niet uit.

En ook jij bent niet 24x7 even scherp, ook jij kunt nog altijd slachtoffer worden van fraude. Maak je hier geen enkele illusie over! (aangenomen dat je geen chatbot bent )

[herpideperpi]

Dat is goed! Maar dat werkt alleen wanneer jij niet verwacht dat er wordt gepind. En het werkt alleen bij de ATM, bij het pinnen.
O, als ik in de winkel pin krijg ik geen push? Ik wel.
Bij Sepa overboeken krijg je dus ook een push, en die kan je instellen.
Wat ik wil zeggen dat het isntellen van push of email meldingen wel degelijk helpt voor , uiteraard, ongeplande betalingen.

Overigens ben ik zeer alert. Ons bedrijf is (nog) niet aangevallen, maar pogingen genoeg.
Waar im het over heb is die mijnheer waar kennelijk voor 20.000 euro aandelen zijn verkocht z o n d e r dat hij dat heeft gemerkt. Raarrr, maar alles kan.

enneh. Zullen we het hier bij laten? Ik zeg alleen dat je, waar mogelijk een push of email moet instellen.

[Reactie gewijzigd door herpideperpi op 23 juli 2024 03:24]

[Terrestrial]

Wat is dit voor vreemde redenering. Als jij andermans email gaat invoeren om te kijken of ze onderdeel waren van dat lek om ze daarna aan te vallen, maar dat kun je toch wel als je die informatie uit dat lek hebt. Dan hoef je toch niet aan politie te vragen of ze kwetsbaar zijn?

[cariolive23]

Omdat je een beter verhaal hebt, die ze zelf via de politie kunnen valideren. Het vertrouwen in een betrouwbare autoriteit is bijzonder groot, en daar kun je als crimineel dankbaar misbruik van maken

[Luuk2015]

Als een ingevoerd e-mail adres niet voorkomt in de database, laat dat dan zien op de website.

Ik vermoed dat ze dit doen zodat alleen de mensen die toegang hebben tot een bepaald e-mailadres kunnen controleren of ze slachtoffer zijn geworden. Anders kan je zo willekeurige e-mailadressen van anderen controleren.

[supersnathan94]

En hoe erg is dat?

[Gwaihir]

Of het erg is publiekelijk te adverteren wie een backdoor op z'n computer open heeft staan?

Ach.. ik kan wel wat nadelen verzinnen .

[supersnathan94]

Ja eens, maar dat is kennelijk niet wat deze tool als antwoord geeft. Is eigenlijk gewoon haveIbeenPowned maar dan Nederlands.

[Gwaihir]

Deze tool geeft aan of je doelwit van specifieke malware bent geweest. Malware met, naar ik begrijp, een hoge succes rate. Wie in die database staat, heeft dus waarschijnlijk de specifieke backdoor van die malware op dit moment open staan.

Dat vind ik wel anders dan haveIbeenPowned, waar alleen gemeld wordt waar je wachtwoord(hash) is uitgelekt. Altijd nadat het op die site is gereset en zonder het uitgelekte wachtwoord te laten zien. Dat geeft alleen de eigenaar nieuwe informatie: dat hij / zij als hij dat wachtwoord elders ook gebruikte dat snel moet fixen.

(@Alex3: je vergeet te lezen waar ik op reageerde)

[Reactie gewijzigd door Gwaihir op 23 juli 2024 03:24]

[Alex3]

Als het naar het ingevoerde mailadres wordt gestuurd is het niet publiekelijk.

[Verwijderd]

... Datalek, ooit van gehoord?

[supersnathan94]

Have I been powned doet dit ook zo. Al jaren. Is dat dan een datalek?

[Verwijderd]

Technisch gezien wel. Je zou eigenlijk alleen de return moeten krijgen als je geverifieerd eigenaar van het e-mailadres bent.

[Rossi46]

Dat is een wel erg theoretische gedachte en onwijs ongebruiksvriendelijk.

[Jol65]

Ja, ze hebben onder de AVG geen recht je mailadres te verwerken. De 6 grondslagen zijn:
- U heeft toestemming van de persoon om wie het gaat.
- Het is noodzakelijk om gegevens te verwerken om een overeenkomst uit te voeren.
- Het is noodzakelijk om gegevens te verwerken omdat u dit wettelijk verplicht bent.
- Het is noodzakelijk om gegevens te verwerken om vitale belangen te beschermen.
- Het is noodzakelijk om gegevens te verwerken om een taak van algemeen belang of openbaar gezag uit te oefenen.
- Het is noodzakelijk om gegevens te verwerken om uw gerechtvaardigde belang te behartigen.

[Zer0]

- U heeft toestemming van de persoon om wie het gaat.

Die geef je door je email-adres in te vullen.

- Het is noodzakelijk om gegevens te verwerken om een overeenkomst uit te voeren.

Je sluit een overeenkomst door je adres te geven, je verwacht immers dat ze je adres controleren.

En aangezien er maar één grondslag voldoende is voor verwerking... en verwerking juist is waar je om vraagt...

[supersnathan94]

Ja, ze hebben onder de AVG geen recht je mailadres te verwerken.

Het is noodzakelijk om gegevens te verwerken om een taak van algemeen belang

Tada! Gevonden.

[AdoptieMoeder]

Buiten dat het een datalek is, geeft het ook mogelijkheden om door te frauderen. Als je weet wie er gehackt zijn zou je die mensen kunnen benaderen met een "oplossing" en zo die mensen nog meer geld af handig maken. Vooral omdat er ook mensen tussen zullen zitten die gehackt zijn en er niet al te veel van begrijpen en vervolgens ook nog eens wanhopig zijn om het op te lossen.

[cadsite]

Zou best kunnen.
Stuur dan een bericht met "u bent niet geïnfecteerd".

[Aldy]

Hoe wil je dat doen? Die persoon krijgt het antwoord en niet de aanvrager. En ik kan nog steeds willekeurige mailadressen invoeren, wie houdt mij tegen?

[Luuk2015]

En ik kan nog steeds willekeurige mailadressen invoeren, wie houdt mij tegen?

Klopt, maar je weet niet het resultaat, omdat deze alleen per mail wordt gestuurd.

[Aldy]

Oh, ik had je reactie niet begrepen. Je bedoelde dat je niet gelijk online antwoord kan krijgen.

[Luuk2015]

Yep

[locke960]

Waarom dat gedoe met een 'tool'? Ze kunnen ook een mail naar alle aangetroffen e-mailadressen sturen.
"Hallo, Politie hier, we hebben dit e-mailadres aangetroffen in de slachtofferlijst van een bende gespecialiseerd in identiteitsdiefstal. Dit betekent dat uw PC waarschijnlijk geïnfecteerd is met malware.
Voor meer informatie, ga naar de website van de politie, politie.nl, en klik op "Check je Hack".

Ik snap dat dit ook voor onrust en wantrouwen zorgt, maar als die mensen echt al besmet zijn maakt dat niet uit. Je bereik wordt in ieder geval wel 100%.

[AdoptieMoeder]

Dit was dus ook mijn eerste gedachte, je mist nu ook alle mensen die de check niet doen om welke reden dan ook

[OruBLMsFrl]

Nog wat vervelender is dat de tool zo te zien niet toestaat om domeinnamen als geheel te screenen. Heb je honderden of zelfs duizenden adressen/aliassen/mailboxen, en moet je die met de hand door hun tool halen. Het is raar dat je niet ook per domein kan checken met een domain verification code of iets. Mensen met een catchall constructie hebben diezelfde uitdaging natuurlijk al van vaak tientallen adressen, hoeft niet enkel bij bedrijven te zijn.

[Reactie gewijzigd door OruBLMsFrl op 23 juli 2024 03:24]

[TechSupreme]

Waarschijnlijk omdat lang niet iedereen zo'n mailtje serieus neemt. Als ik spontaan een mail met Politie erboven ontvangen zou ik er eigenlijk standaard vanuit gaan dat het spam of fraude is.

[gybrus]

Vanwege de privacy slaan ze geen email adressen op maar gesalte hashes. Door een email in te voeren kun je wel de hash creëren, maar vanuit de hash niet het email address.

Edit: haveibeenpwned doet dat overigens op een soortgelijke manier.

[Reactie gewijzigd door gybrus op 23 juli 2024 03:24]

[Jol65]

Ik denk dat de AVG het niet toelaat dat de politie iedereen in de database een mailtje stuurt. Ze moeten dan niet alleen je mailadres gebruiken uit de dataset maar ook b.v. het land waarin je woont. Bovendien zit vast niet iedereen hierop te wachten en zullen veel mails terzijde worden geschoven als phishing.

[kodak]

De politiewet maakt veel mogelijk als uitzondering op de AVG. Het is dus een terechte vraag waarom de politie dit voldoende meent te vinden, terwijl ze voor de slachtoffers handhaven.

[Sando]

Waarom dat gedoe met een 'tool'? Ze kunnen ook een mail naar alle aangetroffen e-mailadressen sturen.

Misschien omdat ze op deze manier een database van email adressen die bij IP-adressen horen kunnen aanleggen, om zo de contactgegevens achter IP-adressen die bij andere criminaliteit zijn betrokken te bemachtigen.

offtopic:
/cc @Dennisdn

[Reactie gewijzigd door Sando op 23 juli 2024 03:24]

[LJDJS]

Beste Locke960,

Dit is een bericht van de politie.
Jou identiteitsgegevens zijn gestolen door cybercriminelen.
Volg deze totaal legitieme link om te zien wat jij moet doen:
https://verylegit.link/

Met vriendelijke groet,
SuperCyberUnit & WebPolitie

[rothmans]

Deze spot je zo...
Jouw identiteitsgegevens....

[StackMySwitchUp]

Daarom ook 'ga naar de website van de politie: politie.nl (zonder hyperlink)
Banken doen tegenwoordig hetzelfde, icscards nog steeds niet overigens..

[Aldy]

Uit naam van ICS krijg ik dan ook regelmatig fishingmails. Aangezien ik geen gebruik maak van ICS, zie ik dit dus direct, maar kan mij voorstellen dat er toch mensen zijn die erin trappen.

[StackMySwitchUp]

Jazeker, en omdat ze zelf ook gewoon linkjes mailen is het dus extra tricky.

[Patrick22221]

Omdat net zoals de bank, ook de politie geen contact met jou opzoekt. Jij zoekt contact op met hen.

Ps: uitzonderingen als je iets hebt gedaan, maar dan staan ze voor je deur

[robertlinke]

ja, laten we de spammers een echte tool geven om mensen nog harder te raken, en daarbij meteen het vertrouwen in de politie te ondermijnen zodat ze nog makkelijker hun shit kunnne doen.

de manier waarop dit is opgezet is mischien een kleiner bereik maar zorgt er ook voor dat het veilig is

[Ramoncito]

Ja, of dit via de provider doen. Dat is dan iets betrouwbaarder. Ikzelf zou 'heel kritisch' kijken als ik zo'n mail kreeg van 'de politie'... Dit is echter al vaker geopperd toen destijds bijvoorbeeld veel IP's onderdeel waren van een botnet: Providers email laten versturen naar de eigenaren van besmette IP-adressen uit de lijst.

[Qwilo]

Staat toch nergens in het persbericht of op de site van politie ze geen mails hebben gestuurd aan getroffenen?

Misschien is het dus wel en/en.

[Verwijderd]

A) Dat zal waarschijnlijk veel tijdelijke capaciteit vereisen omdat waarschijnlijk iedereen zijn/haar e-mailadressen vandaag gaan controleren. De politie heeft al een te klein budget, tijdelijke extra servercapaciteit inhuren is de moeite niet waard
Wat is de kans dat vervolgens internationale e-mailproviders om een domme reden dit als spam dan gaan zien en het werkelijke e-mailadres van de politie vervolgens op de spam of verdacht lijst gaan zetten?

[wouterrutgers]

Ik verwacht dat de database query'en om te kijken of je e-mailadres daarin voorkomt een stuk zwaarder is dan het verzenden van een mailtje.

En ik ben het met Pietje eens dat het de kans op fouten verkleind. Nu kun je een vals gevoel van veiligheid krijgen als je geen e-mail hebt ontvangen terwijl je een typefout hebt gemaakt. Anders zou je het na enkele minuten opnieuw proberen en eventueel sneller actie kunnen ondernemen als je wel in de database gevonden bent!

[Verwijderd]

Hangt een beetje van de setup af. Ik neem aan dat de Nederlandse politie niet de enige is die dit aanbiedt - het is prima mogelijk dat de server die gequeried wordt een gezamenlijke server is van alle diensten, maar dat de mails puur vanaf de server van de Nederlandse politie komen.

[Hatsjoe]

Wat mailtjes versturen kost amper servercapaciteit, zelfs wanneer je het hebt over tientallen emails per seconde. Dus daar zal het wel niet om te doen zijn.

Ik denk eerder dat dit een poging is om niet meer informatie prijs te geven dan absoluut noodzakelijk is. Beetje het zelfde idee als bij een foutieve inlogpoging niet "wachtwoord is verkeerd" of "gebruiker niet gevonden" zeggen, maar "gebruikersnaam of wachtwoord is incorrect". Echter snap ik de logica niet om dat hier ook toe te passen. Wanneer je een mail ontvangt weet je zeker dat je in de dataset voorkomt, wanneer je die niet ontvangt, weet je (bijna) zeker dat je daar niet in voorkomt. Ook een mail sturen wanneer je er niet in voorkomt zorgt er in ieder geval voor dat mensen zekerheid hebben dat hun check goed gegaan is.

Ik heb ook de check gedaan, gelukkig niks ontvangen, maar ik heb geen 100% vertrouwen in de mail infra tussen mij en de verzender. Dus wellicht kom ik wel in de dataset voor maar is mijn mail gewoon gedropt.

[Edsger]

Omdat dit typisch het soort mail is dat we hebben leren negeren in het afgelopen decennium.
Je pc is gehackt! Klik hier om het op te lossen...
De juiste respons - update automatisch uitrollen - wordt aan gewerkt via het nieuwsbericht.

[Dennisdn]

Waarom sturen ze niet gewoon een mail naar iedereen in de database? Nu moet ik zélf mijn e-mail opgeven met het risico dat er een spamlijst wordt gemaakt.

[MrMonkE]

Ik ook, maar dat baseer ik op het niet hebben ontvangen van een mail. Het niet ontvangen van een mail kan echer ook andere redenen hebben (vertraagd, typefout bij invoeren mail, gemist in span). Waarom sturen ze niet ook een mail als je e-mailadres niet in de database zit?

omdat IK dan JOU email erin doe en JIJ email krijgt terwijl je nergens om gevraagd hebt.

[Reactie gewijzigd door MrMonkE op 23 juli 2024 03:24]

[Evertprakkie]

Lekker zo, iedereen vult netjes zijn e-mail in op die site en de database van de Politie en wie weet FBI, NSA, ect wordt er makkelijk mee aangevuld niemand weet wat ze met die e-mailadressen doen die ze binnen krijgen.En nee ben geen complot denker maar laten we kritische en voorzichtig zijn met het invoeren van je e-mailadressen.

[Het]

Ik heb mijn emailadres al ingevuld op de websites van(bjvoorbeeld) bol, twitter en Amazon (en het is gmail dus Google weet ook teveel). Dat zijn sowieso partijen die ook best wat misbruik kunnen maken van die gegevens (en ze hebben zelfs mijn naam). De Amerikaanse diensten kennen het adres dus al.

Dus voor de meerderheid van de gebruikers gaat hier je mailadres invullen geen enkel verschil maken. Voor de paar zeer-privacygevoelige personen is het maar de vraag of het profiel in zo'n database überhaupt zinnig is.

[sfc1971]

Ik kreeg net een mail binnen op het moment dat ik de check deed , was niet gerelateerd.

[robertwebbe]

Ik ook, ik had iets gewonnen. Krijg ik anders nooit dus vond het wel enigszins verdacht.

[desalniettemin]

Net gedaan, dus nog even afwachten.

[merethan]

ik schijn de dans onsprongen te zijn, ik heb de tool gerunt en geen e-mail ontvangen

Ik ook! Zat tot m'n oksels in de verkoop van bots en creditcards maar geen bezoek gehad van de platte petten!

Obvious maar voor de zekerheid: Grapje natuurlijk.

[Pimmetjuuh]

De link naar de tool werkt niet

[The Realone]

De link naar de tool werkt hier anders prima.

[Zeror]

Dit is de juiste link: https://www.politie.nl/informatie/checkjehack.html

[sanne1]

Dit is de juiste link: https://www.politie.nl/informatie/checkjehack.html

Dank u wel dit was de juiste link👍

[Groax]

Deed het bij ook niet de eerste keer. F5 en werkte.

[vdr01]

Het Team High Tech Crime timmert lekker aan de weg. Chapeau. Interessante partij om eens te interviewen. Hint, hint.

[Reactie gewijzigd door vdr01 op 23 juli 2024 03:24]

[Polderviking]

Verwacht dat dat interview niet heel erg veel inhoudelijk bespreekbaar is.

[GekkePrutser]

Het is geen inlichtingendienst dus hun werk is niet geheim. En ze kunnen het toch gewoon algemeen houden? Ze zullen alleen niet op specifieke zaken in kunnen gaan ivm privacy.

[Polderviking]

Ik spreek allicht alleen voor mezelf maar van een Tweakers stuk verwacht ik meer dan een beetje een oppervlakkig profielstuk.
En als je vragen gaat stellen over hoe doe je zus en zo doet wordt dat denk ik toch snel afgekapt, of dusdanig generiek dat je er eigenlijk niks aan hebt.

[Reactie gewijzigd door Polderviking op 23 juli 2024 03:24]

[Herman55]

De link is verkeerd en je krijgt een 404. Dit is de correcte link:
https://www.politie.nl/informatie/checkjehack.html

[-=bas=-]

Moet je nu wel of niet je credit card nummer invoeren?

[mrtnvnl]

Techcrunch meldt hier dat de data ook toegevoegd is aan haveIbeenpowned.

Maar wat is precies de definitie van een online fingerprint? Het geheugen van je computer op het moment dat je bent ingelogd op een site van de bank of social media? De verzameling cache en cookies? Een certificaat?

Ik heb normaal vaak al moeite om een site werkend te krijgen, laat staan als ik geen inloggegevens heb maar alleen een fingerprint. Kan de eigenaar van de te hacken site niet controleren of de online fingerprint verlopen is?

[herpideperpi]

Ik zou zo graag stap voor stap wat er misgaat bij de slachtoffers.
1. Hebben die in hun bank app meldingen aanstaan bij afschrijvingen groter dan X?
2. Gebruiken die mensen 2 factor authentificatie ? En zo nee, waarom niet? Te moeilijk?
3. Beleggingsrekening geplunderd. Hoe dan? je krijgt toch een mail als je iets verkoopt etc.
Maar misschien kan een expert hier uitleggen wat er nou precies gebeurt.
En dan ga ik er niet van uit dat mensen op URL's clicken of hun pincode afgeven.
Nee, louter en alleen door die online fingerprint. HOE? Ik snap het echt niet,

[Climbon]

Mee eens dat het interessant is om te zien hoe dit is gelopen, naast het feit dat het vooral tragisch is voor de mensen die er slachtoffer van zijn geworden.

Bedenk dat er ook in 2023 nog grote groepen mensen zijn voor wie digitalisering een ver van hun bed show is en een computer een black box die het gewoon moet doen als je hem aan zet. Mensen die echt geen idee hebben van het veilig maken en houden van hun account(s) en overal dezelfde wachtwoorden gebruiken. 2FA niet aan want lastig of inderdaad te moeilijk. En ja, het gaat dan vaak over de oudere generatie maar echt niet alleen.

[herpideperpi]

Maar beantwoord niet mijn vraag hoe die zwendel nu precies plaatsvindt.
Als leek het downloaden toestaan van een vage app. Dat snap ik.
Of afgeven van een briefje met pincode aan iemand aan de deur.
Maarrrrr ik krijg nergens uitgelegd hoe iemand met mijn digitale fingerprint dat precies doet.
Ik snap ook nog wel het doen van een bestelling bij Bol. En wellicht betalen via gejatte creditcard info. Hoewel je daar vaak toch een app bij nodig hebt.

Iemand?

[bzzzt]

Interessant dat met het invoeren van een e-mailadres vastgesteld kan worden dat een computer geïnfecteerd is. Geen enkele info hoe dit dan bepaald wordt. Tenzij ik een memo gemist heb is er geen 1 op 1 relatie van mailadressen aan computers.

Wel een privacy policy die aangeeft dat er jaren lang behoorlijk veel met die adressen mag worden gedaan en een interessante 'buit' van mailadressen van mensen die zich kennelijk onzeker voelen over de eigen systeemveiligheid of al weten dat ze dingen niet op orde hebben. Benieuwd wat er met die adressen gedaan gaat worden.

[-=bas=-]

Lees het artikel gerust nog eens een keertje.
Het ging om de diefstal van informatie,niet om het hacken van computers.

[Verwijderd]

Zat net ook @bzzzt 's comment te lezen, maar kwam er vervolgens achter (vermoedelijk) waar de opmerking vandaan komt. De politie heeft namelijk iets niet erg handig geformuleerd.

Online fingerprints zijn de unieke gegevens van jouw computer. Als een cybercrimineel jouw gebruikersprofiel met daarin je online fingerprint in bezit heeft, dan kunnen ze de veiligheidsmaatregelen van webwinkels en in bepaalde gevallen banken omzeilen. Zolang de kwaadaardige software op je computer staat, krijgen de criminelen een update van jouw wachtwoord als je dit wijzigt.

Om deze schade te voorkomen, is het belangrijk te controleren of jouw gegevens zijn verhandeld.

De rest is logisch geschreven ('Controleer of uw e-mailadres voorkomt'), maar dit stuk valt uit de toon en insinueert gedeeltelijk (als je het fout leest, wat iedereen die niet genoeg computer kennis heeft mogelijk zal doen) dat het voorkomen van het e-mailadres betekend dat er nog een actieve infectie is. Sterker nog, als je het heel erg fout leest kan het zelfs gelezen worden alsof de check betekend dat het controleren een eventueel virus/malware zal tegenhouden (dan moet je het heel erg fout lezen, maar het is mogelijk om het zo te lezen).

[bzzzt]

Ik las het nogal letterlijk inderdaad. Vind het overigens niet zo handig op random webformulieren je mailadres achter te laten zonder dat er precies aangegeven wordt wat er mee gebeurt. (en als de politie er om vraagt normaliseren ze dat ook een beetje terwijl je mensen juist alert wil houden).

[Dream_ON]

Ja, mee eens, Ik dacht ook even dat ze een scan tool bechikbaar zouden maken ofzo, wat ik al opmerkelijk vond en zelfs verdacht :-)

[supersnathan94]

Ja maar even:

De politie heeft een tool gebouwd waarmee slachtoffers kunnen zien of zij geïnfecteerd zijn.

Dat schept een andere verwachting.

[AdoptieMoeder]

Als ik het goed begreep is de data wel gestolen d.m.v mallware die de gegevens verzamelde. Die geinstalleerd is op computers door gratis programma's te downloaden

[AdoptieMoeder]

De informatie die gestolen is bestaat uit een "fingerprint" je email adres is hier onderdeel van maar bijvoorbeeld ook je mac adres en eventueel zelf je batterij percentage. Deze informatie wordt verzameld door een stuk malware op je computer die inlog gegevens doorstuurd naar de hackers. Die hebben dan dus een database met al je inloggegevens. Door je email adres in te vullen kunnen ze dus kijken of jij in de database met gehackte personen staat.

Wel een privacy policy die aangeeft dat er jaren lang behoorlijk veel met die adressen mag worden gedaan

Waar haal je dit vandaan? Bij de tool staat nergens een privacy policy namelijk. Daarnaast kunnen ze met enkel je email vrij weinig. Organisatie als de politie zal je echt geen spam gaan sturen als je daar bang voor bent. Normaliter zouden ze de AVG moeten waarborgen waarbij ze verplicht zijn de data te verwijderen wanneer ze het niet meer nodig hebben, of te wel na het runnen van de check.

[hjtuinenburg]

Ik neem aan de de politie een database met slachtoffers in het bezit heeft gekregen.
Deze mensen actief mailen zal wel weer niet mogen om een of andere privacy regel.

Dus mensen kunnen het zelf checken door de beschikbaar gestelde tool. Om geen kwestbaarheden bloot te leggen met wie geinfecteerd/kwetsbaar is geeft de site niet eenvoudig antwoord op de vraag of je geinfecteerd bent, maar mailt indien je wel slachtoffer bent.

[Frame164]

"een of andere privacy regel". Wil je nu wel of geen privacybescherming? Als er geen regels zijn klaagt men over dat er geen regels zijn. Zijn er wel regels dan klaagt men dat er regels zijn.

[bzzzt]

Geen idee of het om een privacy regel gaat, maar mailen naar random mailadressen is contra-productief. Als ik ongevraagd mail van 'de politie' krijg gooi ik het in de spambox, naast die van 'Microsoft', en je wil mensen niet hoeven trainen om het verschil te bepalen (wel reageren op de politie, niet op Microsoft).

[Zwollenaar88]

Bij mij werkte deze zojuist wel. Gelukkig geen email ontvangen

[Vic-Green]

De link is corrupt

[-=bas=-]

Beter dan dat de link gehackt is.

[Vic-Green]

Dat zeker

[Sando]

Welk risico loop ik bij online fingerprint fraude?

Als een cybercrimineel jouw gebruikersprofiel met daarin jouw online fingerprint in bezit heeft, kan hij de veiligheidsmaatregelen van webwinkels en in bepaalde gevallen banken omzeilen.

In welke gevallen banken kan een cybercrimineel de veiligheidsmaatregelen omzeilen dan? Credit Suisse? Silvergate? Silicon Valley Bank? Of toch DSB?

[CivLord]

Of elke willekeurige bank, wanneer die fingerprint ook de automatische inlogggegevens van site van je bank omvat.

[herpideperpi]

Precies. Hoe dan?
Naar de eigenaar gaat geen mail of sms?
Als ik ik bij rabo pinpas de limiet al verhoog komt er al post.
Dan moet die boef dus eerst al mijn mailadres veranderen. Maar in dat geval komt er altijd een mail.