Mogelijke grootste gebruiker illegale botmarktplaats Genesis Market opgepakt

De politie heeft mogelijk een van de grootste gebruikers van de onlangs offline gehaalde cybercrimetool- en botmarktplaats Genesis Market opgepakt. Het gaat om een 32-jarige Nederlander die in Brazilië verbleef.

De verdachte stond bovenaan de lijst van het Cybercrimeteam Rotterdam en is mogelijk zelfs wereldwijd een van de grootste Genesis Market-gebruikers, zo zegt de Nederlandse politie. De man zou via Genesis Market voor tienduizenden euro's aan illegale software, bots en tools hebben gekocht. Met deze cybercrimetools heeft hij volgens de politie 'heel veel mensen gedupeerd'. De overheidsdienst zegt dat er meerdere aangiftes zijn ontvangen tegen de verdachte, waaronder van slachtoffers die voor tienduizenden euro's bestolen zouden zijn. De politie sluit verdere aanhoudingen van gebruikers niet uit.

Genesis Market was een internationaal illegaal handelsplatform dat begin april offline gehaald werd door de FBI. Bij de zogenoemde Operatie Cookie Monster werkten politiediensten van over de hele wereld samen om de marktplaats offline te halen; ook de Nederlandse politie werkte mee. Daarbij werden zeventien Nederlanders gearresteerd, waarvan de meesten overigens ondertussen niet meer in hechtenis verkeren. Op de Genesis Market, dat via het darkweb en het normale internet bereikbaar was, konden kwaadwillenden op uitnodiging uiteenlopende cybercrimetools en pakketten met gestolen credentials kopen. Het was een van 's werelds grootste illegale online marktplaatsen.

Reacties (37)

[DaFeliX]

Mocht je nu zelf willen checken of jouw gegevens bij die hack zaten, check je hack

[hiostu]

Jammer dat je het niet op domein niveau kunt doen. Ik gebruik verschillende email adressen op een eigen domein.

[Risce]

Hoe zie je dat voor je precies? Dat je even checkt of er hotmail.com adressen tussen zitten en welke?

[hiostu]

Bij haveibeenpwned.com heb je verschillende opties.

• Email verificatie. Er wordt een email gestuurd naar security@, hostmaster@, postmaster@ of webmaster@
• Meta tag. Je moet een meta tag toevoegen aan een webpagina in de root van het domein
• File. Je zet een specifiek bestand met een code in de root van je domein.
• Domain TXT record.

De eerste optie is het eenvoudigst en zou voor mij ook al prima werken. Dan kan daar een overzicht in komen met alle email adressen van mijn domein die gevonden zijn in de dataset. Dan weet ik dus dat ik email op dat adres niet meer kan vertrouwen en blokkeer ik dat email adres en pas het aan op de site. Dat heb ik ook gedaan voor bv het lek bij Adobe destijds.

[juke1349]

Betreft de vergelijking "Check-je-Hack" (NL-politie) vs Haveibeenpwned.com (Australiër Troy Hunt):
Bij de eerste bekendmaking over Cookie Monster heb ik (zeer net) contact gehad met de mensen achter checkJeHack, of ze ook een dump met Troy Hunt willen/kunnen delen.

Op dit moment wil de Nederlandse Politie geen email-wachtwoord(hash) combos met Troy delen, omdat dit volgens hun huidige interpretatie beschermde persoonsgegevens onder AVG zijn.
Die kunnen ze niet zonder goede rechtsgrond delen met een niet-EU privépersoon, ook al hebben ze waanzinnig veel respect voor de man.

Ook de losse hashes (voor Pwned Passwords) zien ze nog als koppelbaar aan de (soms herleidbare, slecht-gekozen) persoonsgegevens. Ze weten dat dit een zeer voorzichtige interpretatie is. Maar delen kun je niet ongedaan maken.

Maar, ze houden Troy in de gaten, en als er meer ervaring met dit soort acties is verzameld, staat samenwerking met Haveibeenpwned zeker op het verlanglijstje van onze politie.

[Reactie gewijzigd door juke1349 op 22 juli 2024 18:24]

[hiostu]

Bij de eerste bekendmaking over Cookie Monster heb ik (zeer net) contact gehad met de mensen achter checkJeHack

Zou je eens kunnen informeren of ze open staan voor domein uitvragen?

[gooos]

Was me nog niet eerder opgevallen. Wel erg handig!

Gelijk maar alle domeinen die ik beheer toegevoegd voor notificaties zodat ik weer gebruikers op de domeinen kan inlichten indien ze voorkomen in de berichten.

[Christoxz]

Eventueel met een DNS proof, dat je bewijst eigenaar te zijn.

Dat kan bijvoorbeeld ook bij HIBP. (Via mail, Metatag, file of TXT record)
https://haveibeenpwned.com/DomainSearch

[Caelorum]

En belangrijker: waar ga je de mail met de bevestiging heen sturen dan?

[witchdoc]

Logischer zou zijn dat je gewoon whatevermijndomeinis.nl zou kunnen checken denk ik
Eventueel na een mailtje richting postmaster@ of whatever ter confirmatie.

[CivLord]

En op die manier de complete mailserver van Outlook.com en Gmail.com volplempen met meldingen?

[witchdoc]

"Eventueel na een mailtje richting postmaster@ of whatever ter confirmatie."
of aan de hand van een DNS record op dat domein of whatever.. genoeg mogelijkheden.

hiostu zegt het veel beter dan ik: hiostu in 'Mogelijke grootste gebruiker illegale botmarktplaats Genesis Market opgepakt'

[Reactie gewijzigd door witchdoc op 22 juli 2024 18:24]

[Dennisb1]

Hoe zie je dat voor je precies? Dat je even checkt of er hotmail.com adressen tussen zitten en welke?

Bewijs kan makkelijk via webmaster, postmaster of soortgelijk email adres of op DNS of HTTPS niveau.

[Aldy]

Je bent de smiley vergeten.

[Groningerkoek]

Wij hebben een domein voor de familie en daar gebruiken we ongeveer 30 emailadressen. Dan is zoeken op domein toch wel een heel stuk handiger dan 30x een aparte zoekopdracht te doen.

Resultaat kunnen ze sturen naar info@domein dan komt die lijst ook daar waar die moet zijn.

[sko]

Ik ook, heb duizenden e-mail adressen ondertussen

[lighting_]

Er moet een systeem/methode worden bedacht om ID fraude te voorkomen.
Dat is de kern.

[DD-IRM]

Helaas.... dat zal ook t.z.t. weer gekraakt/misbruikt gaan worden. Het blijft een kat en muis spel....

[lighting_]

Maar wel minder.
Waarom is bijv een kopie paspoort voldoende om je te legitimeren?
Is je BSN genoeg om schade aan te richten?
Zo lek als een mandje en zadel je de burger op met je krakkemikkige systeem.

[Reactie gewijzigd door lighting_ op 22 juli 2024 18:24]

[DD-IRM]

Dat ben ik ook met je eens: de procedures voor legitimatie zijn (vaak) achterhaald en kunnen beter.
Ik wilde ook aangeven dat wat je ook verzint, het gekraakt kan worden. Al geeft het in eerste instantie een hogere drempel waardoor alleen de experts het kunnen misbruiken en nog niet voor de massa-misbruikers te exploiten is.

Er zijn al wel bedrijven die al een extra laag hebben opgebouwd: ik moest mij laatst legitimeren bij de creditcard maatschappij: dat moest via een kopie id en vervolgens moest ik via een speciale webpagina op de smartphone een selfie maken.
Aannnemdende dat de webpagina alleen een live genomen selfie accepteert en geen gemanipuleerd JPG bestand die al op de phone staat, lijkt mij dit toch een nuttige extra laag in de id check die ik bij veel bedrijven nog mis...

[lighting_]

Identiteitsfraude voorkomen met BSN
Het BSN is in de eerste plaats bedoeld voor het contact tussen burgers en de overheid en voor overheden onderling. Organisaties buiten de overheid mogen het BSN alleen gebruiken als dat wettelijk is bepaald. Dit geldt bijvoorbeeld voor zorgverleners, zoals huisartsen, apotheken en zorgverzekeraars. Het nummer ondersteunt een foutloze uitwisseling van persoonsgegevens door overheidsorganisaties. Een organisatie is verplicht om te controleren of u en het BSN bij elkaar horen.

Waarom is er geen landelijk loket voor ID fraude? Waarom is er geen procedure zodat de slachtoffer snel kan aantonen niet de schuldige is?
Waarom draait het bedrijf niet automatisch op voor de schade bij eigen gebrekkig controle?

[CivLord]

Waarom is bijv een kopie paspoort voldoende om je te legitimeren?
Is je BSN genoeg om schade aan te richten?
Zo lek als een mandje en zadel je de burger op met je krakkemikkige systeem.

Het systeem is niet krakkemikkig, want het kan officiëel allebei niet.
Dat het tóch kan, komt doordat bedrijven laks zijn en vervolgens niet thuis geven wanneer het mis gaat.
Je kan je niet met een kopie van een paspoort legitimeren. Maar sommige bedrijven accepteren het toch, omdat het voorzowel het bedrijf als de klant lekker makkelijk is, en accepteren daarmee dat hun klanten daardoor in de problemen kunnen komen. En exact hetzelfde geldt vor je BSN. daar kan je officieel niets mee zonder dat je je persoonlijk hebt gelegtimeerd met je paspoort of ander legitimatiebewijs.

Het wordt aan de slachtoffers overgelaten om te bewijzen dat ze iets niet hebben gedaan, wat vaak vrijwel onmogelijk is. Maar het zijn juist de bedrijven waar iets is geaan die moeten bewijzen dat de slachtoffers iets hebben geaan, wat onmogelijk is omdat de oplochter zich niet juist heeft gelegitimeerd. Maar voordat je die bedrijven zover hebt weten te krijgen dat ze toegeven dat ze steken hebben laten vallen omdat ze te laks waren ben je meestal enige tijd en flink wat advocaatkosten verder. Vaak sta je ook niet zo sterk omdat je je met dezelfde gebrekkige methode voor de diensten van het bedrijf hebt aangeeld in de eerste plaats.

[lighting_]

Daaron typte ook. Het slachtoffer moet makkelijker zijn onschuld kunnen bewijzen. En dan kom ik weer uit op de overheid die daar te laks in is. Er wordt al jaren geroepen dat er een ID fraude loket moet komen. Als de bedrijven hun vingers makkelijk branden bedenken ze zicb wel 2 keer

[Reactie gewijzigd door lighting_ op 22 juli 2024 18:24]

[metalant]

Ieder systeem staat of valt met het juiste gebruik er van. Als jij je ergens kan identificeren met een kopie van je paspoort, dan is degene die het moet controleren niet goed bezig. Iemand anders kan zich dan ook identificeren met een (eventueel aangepaste) kopie van jouw paspoort.

[lighting_]

Het systeem bepaalt ook de mate van veiligheid.

[3R!K]

De overheidsdienst zegt dat er meerdere aangiftes zijn ontvangen tegen de verdachte, waaronder van slachtoffers die voor tienduizenden euro's bestolen zouden zijn.

Moet ik dit lezen als dat het slachtoffer weet wie de dader/verdachte is? Of dat achteraf een aangifte is te herleiden naar deze persoon?

[codeneos]

Ze zijn bestolen door andere die de zich bijvoorbeeld hebben voorgedaan als het slachtoffer op basis van gegevens die ze van de persoon in kwestie gekocht hebben.

De persoon in kwestie heeft ze dus niet direct bestolen maar heeft criminelen enabled.

[Reactie gewijzigd door codeneos op 22 juli 2024 18:24]

[Groningerkoek]

Je doet aangifte van een feit, als je de dader weet dan neem je dat op in de aangifte, weet je die niet dan wordt je aangifte opgenomen zonder dader. Als de politie later een verdachte heeft dan kunnen ze prima meerdere aangiften hebben liggen die naar die verdachte zijn te herleiden.

Uit de tekst hier valt niet op te maken op de verdachte bekend was bij de slachtoffers, maar aangezien het hier om identiteitsfraude gaat kun je dat eigenlijk wel uitsluiten.

[Ozymandias]

Hij heeft voor tienduizenden euro's bots gekocht en daar mensen voor tienduizenden euro's mee opgelicht? Dit heeft hem dus zo goed als niks opgeleverd behalve een gevangenisstraf en een hoge boete. Hij had dus beter aardappelen kunnen verkopen op de markt.

[Slonzo]

Dat is niet wat er staat:

De overheidsdienst zegt dat er meerdere aangiftes zijn ontvangen tegen de verdachte, waaronder van slachtoffers die voor tienduizenden euro's bestolen zouden zijn.

Er staat dat meerdere van de personen die aangifte gedaan hebben, bestolen werden voor tienduizenden euro's per invividu

Dat kan dus heel erg snel optellen naar heel veel centjes. En dan tel je de rest van de aangiftes nog niet mee, noch de mensen die geen aangifte gedaan hebben.

[Reactie gewijzigd door Slonzo op 22 juli 2024 18:24]

[svane]

Familie en kennissen aanpakken

Dat past meer in Noord-Korea.... wil je zeggen dat het leven daar zo geweldig is? Daar pakken ze criminaliteit inderdaad wel sterk aan.

[FONfanatic]

Het regime in Noord-Korea is zelf crimineel: het schendt grootschalig de mensenrechten van de bevolking.

[cariolive23]

Hoe kan Noord Korea nou rechten schenden die er niet zijn?

[FONfanatic]

Nog nooit gehoord van de Universele Verklaring van de Rechten van de Mens, dat bij de grondslagen van de in 1945 opgerichte Verenigde Naties hoort?

[cariolive23]

Voor zover mij bekend, hebben vele landen schijt aan de VN. Ook al zijn ze daar lid van. De grootste voorbeelden die dagelijks on het nieuws staan, zijn China, Rusland en de USA.

Dat je in theorie rechten hebt, wil niet zeggen dat je ze in de praktijk ook hebt. Zo heeft Nederland grote problemen met het erkennen van EVRM artikel 8... Die rechten krijg je alleen wanneer je er voor vecht, ondanks dat je deze gewoon zou moeten hebben. Dus wat dat betreft staat Noord Korea niet alleen, alleen is het daar nog wel een tandje extremer.

[FONfanatic]

Die universele verklaring is een intentie, waaraan je geen claim kunt verbinden, maar die je wel politiek en juridisch als argument kunt inzetten. In 1949 werd de Raad van Europa opgericht, die het Europese Hof voor de Rechten van de Mens (EHRM of ECHR) oprichtte, de hoogste juridische instantie waar je vanuit de deelnemende landen (en daar zitten landen bij ver buiten de EU) je recht op een mensenrecht kunt halen. De uitspraken zijn bindend. Nederland is er vaak veroordeeld, vooral op het gebied van sociale zekerheid. Rusland stapte vorig jaar uit de Raad van Europa.

Ook in onze Grondwet staan zgn. sociale rechten die een inspanningsverplichting maar geen resultaatsverplichting voor de overheid inhouden, al zijn er inmiddels uitspraken gedaan door rechters over zorgplichten die de overheid verzaakt, zoals op het gebied van natuurbescherming, milieumaatregelen en het tegengaan van klimaatverandering. Rechters beargumenteren t.a.v. klimaatmaatregelen dat het nalaten daarvan direct levensgevaar oplevert, en er dus impliciet een inspanningsverplichting bestaat.

Overigens is een recht hebben nooit hetzelfde als een recht krijgen.