123.000 Nederlanders controleerden op gestolen Qakbot-data bij politieportal

123.000 Nederlanders hebben sinds vorige week gecontroleerd of hun gegevens door de Qakbot-malware zijn gestolen. Dat deden ze via Check Je Hack, een portal van de politie.

De politie schrijft op X, het voormalige Twitter, dat 123.000 mensen hebben gecheckt of Qakbot hun gegevens heeft gestolen. Hoeveel er daarvan ook daadwerkelijk in de database stonden, is niet bekend.

De Nederlandse politie heeft vorige maand samen met de Amerikaanse FBI het botnet Qakbot offline gehaald. Dat botnet had 700.000 computers geïnfecteerd. Bij de actie stelde de politie 7,6 miljard credentials veilig, die het via de portal Check Je Hack beschikbaar had gesteld voor slachtoffers.

Reacties (39)

[The Zep Man]

Uit de FAQ:

Als uw gegevens niet voorkomen in de datasets, ontvangt u geen e-mail van de politie. Dit doen we om misbruik van de checkfunctie te voorkomen. Zo voorkomen we bijvoorbeeld spam, dat u ongewenste mail krijgt.
(...)
Als u geen e-mail ontvangt, dan zitten uw gegevens niet in de datasets die de politie heeft veiliggesteld.

Dat is een verkeerde conclusie. Hoe weet je of er geen gegevens in de dataset zitten, of dat een mail simpelweg stilletjes verdwijnt omdat het geweigerd wordt door de ontvangende mailserver?

Misbruik had men bijvoorbeeld kunnen voorkomen door men te verplichten om in te loggen met DigiD om zo rate limiting per persoon toe te passen, en expliciet aan te geven dat de e-mailadressen niet gekoppeld worden aan de DigiD-identiteit. Dat sluit mensen uit die geen DigiD hebben zoals burgers van andere landen die wonen en werken in andere landen, maar die zouden dan ook gefaciliteerd moeten worden door andere landen en niet door de Nederlanse politie.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 08:59]

[Ozzie]

Met DigiD koppeling erbij verbruikt het zoveel meer resources dat dat uiteindelijk echt helemaal niets op zal leveren.

[Bor]

Los van de resources werk je zo een onnodige extra barriere op waardoor mensen mogelijk afhaken, moet je een portaal bouwen die aan allerlei voorwaarden en regels moet voldoen waaronder een jaarlijks verplicht assessment etc.

[Buurtjes60]

Het e-mail adres is in principe niet gekoppeld aan je DigiD. Het wordt dan wel heel erg moeilijk.

[dez11de]

Mail werkt gewoon.

[Hatsjoe]

Het punt dat @The Zep Man maakt (en die ik de vorige keer ook gemaakt heb) is dat je dat nooit 100% zeker weet. Net zoals je nooit 100% zeker weet dat je een brief krijgt, tot die op de deurmat ligt. Er zitten veel schakels tussen de verzender en de ontvanger waarop zaken mis kunnen gaan. Zeggen "het werkt gewoon, vertrouw me maar" kan je dus niet doen. Het probleem hoeft ook niet bij de mailserver van de Politie te liggen, het kan ook aan je eigen mailserver of die van Live of Gmail liggen.

Daarom zou ik het persoonlijk fijner vinden om ook een email te krijgen wanneer mijn gegevens er niet in staan. Op die manier weet ik het zeker. Krijg ik geen email? Dan weet ik dat er iets niet goed gegaan is.

Ik heb deze check ook gedaan, en geen mail ontvangen, maar mijn data zou alsnog in de dataset kunnen zitten en dat mijn email onderweg verloren is gegaan.

[dez11de]

Er zitten niet veel schakels tussen zender en ontvanger.
Mailserver politie levert het af bij mailserver ontvanger. Klaar.
Mail werkt al jaren probleemloos.

[Hatsjoe]

Je vergeet dat veel mail setups ook met relays werken. Daarnaast bedoel ik met schakels ook alle stukken software wat ook veel lagen zijn. Zo heb je virusscanners, spam filters en allerlei andere software die tussen de verzender en jou als ontvanger kan zitten. Het is niet zo simpel als jij nu doet schetsen.

Als het puur rechtstreekse Verzender SMTP -> Ontvanger SMTP -> Inbox zou zijn, dan kan er inderdaad niet veel mis gaan. En als er iets mis gaat, dan weet de verzendende partij dit. Echter zijn mail setups al heel veel jaren niet meer zo simpel.

[The Zep Man]

Mailserver politie levert het af bij mailserver ontvanger. Klaar.

Zo werkte e-mail in de jaren 80 en begin jaren 90, maar niet meer vandaag de dag. Een ontvangende mailserver doet een rits aan controles over de verzendende mailserver voordat die kijkt naar de inhoud van een bericht. Berichten kunnen volledig geweigerd worden als die controles niet goed gaan, en het gaat wel eens fout. Daarna kan de inhoud van een bericht nog aangemerkt worden als spam (false positive). Als de score te hoog is, bestaat de kans dat het bericht niet eens de spambox van de ontvanger bereikt.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 08:59]

[watercoolertje]

Ik heb deze check ook gedaan, en geen mail ontvangen, maar mijn data zou alsnog in de dataset kunnen zitten en dat mijn email onderweg verloren is gegaan.

Misschien hadden ze dan een optie moeten geven, ik hoef geen nutteloze mails te ontvangen namelijk.

De kans op een ongeluk is bij elke autorit groter dan de kans dat mail niet aankomt. En daar maak ik me ook niet druk om, dus voor mij is de huidige methode (met 99.999% zekerheid) meer dan betrouwbaar genoeg

Zowiezo, niks is zeker, behalve dat niks zeker is...

[Reactie gewijzigd door watercoolertje op 23 juli 2024 08:59]

[Hatsjoe]

Ik hoor wat je zegt, maar in dit geval kunnen ze erg simpel voor 100% zekerheid gaan, namelijk door ieder mail adres een mail te sturen, of je er nou in staat of niet.

123.000 emails op een dag is niks vergeleken met grote partijen en websites. Die sturen soms miljoenen emails per dag zonder op zwarte lijsten te komen. Zolang je je aan de regels houdt en je reputatie goed is, kom je echt niet zomaar op de zwarte lijst. De politie kan dit dus ook prima doen.

[dog4life]

Het punt dat @The Zep Man maakt (en die ik de vorige keer ook gemaakt heb) is dat je dat nooit 100% zeker weet. Net zoals je nooit 100% zeker weet dat je een brief krijgt, tot die op de deurmat ligt. Er zitten veel schakels tussen de verzender en de ontvanger waarop zaken mis kunnen gaan. Zeggen "het werkt gewoon, vertrouw me maar" kan je dus niet doen. Het probleem hoeft ook niet bij de mailserver van de Politie te liggen, het kan ook aan je eigen mailserver of die van Live of Gmail liggen.

En zelfs als die dan op de deurmat ligt, weet je niet wat erin staat. Je zult hem toch eerst moeten lezen (openmaken is niet genoeg).
Om over onderscheppen nog maar niet te spreken, of phishing..
Oh wacht, we hadden het over email, niet over post..

[loki504]

En ik krijg toch soms verificatie codes/links of password resets niet binnen. Dat kan met deze manier net zo goed zijn.

[kodak]

Geen enkele systeem heeft 100% werking, dus ook mail niet. Domweg beweren dat het gewoon werkt is dus geen redelijk argument.

Zelfs als je zou stellen dat het betrouwbaar genoeg is dat geen redelijk argument bij de uitleg van de politie. Want hun uitleg is effectief dat het maar het probleem van het slachtoffer is als ze geen mail ontvangen maar wel slachtoffer zijn. Want de politie kan niet garanderen dat mails aankomen.

[goDiegogo]

Dit gaat te ver. Hoe betrouwbaar moet het zijn?
Is postnl betrouwbaarder dan mail?
Als voorbeeld.
De rechtbank stuurt belangrijke brieven gewoon per post. Het komt genoeg voor dat mensen worden veroordeelt omdat ze niet kwamen opdagen, omdat ze geen post hadden ontvangen.
Dat lijkt mij vele malen ernstiger dan die enkele mail, richt je pijlen daar dan op..

[kodak]

De discussie is niet dat mail helemaal onbetrouwbaar zou zijn, maar dat de politie een bewering doet die veel te kort door de bocht is om te stellen dat iemand bij gebrek aan ontvangen dus maar geen slachtoffer zou zijn.
Het zet slachtoffers die om welke reden dan ook geen mail ontvangen op het verkeerde been, met gevolgen die juist voorkomen moeten worden met het informeren. Het doel van het informeren is niet slachtoffers onnodig gerust stellen om liever te suggeren dat mail feilloos is.

[goDiegogo]

Jouw conclusie lijkt mij eerder verkeerd.
Je zit te hoog in de boom. Controle door burgers moet laagdrempelig zijn.
Snel en dus gemakkelijk, laagdrempelig zonder extra gedoe dus.

[wildhagen]

Handige site, maar ik vind het onhandig dat je alleen kunt zoeken op individuele emailadressen en niet op volledige domains.

Als bedrijf met misschien wel honderden of zelfs duizenden mail adressen wil je die niet één voor één gaan invoeren.

Ook zou het zoeken op IP-adressen van cliënt welkom zijn, dan kan je als bedrijf ook zoeken of jouw subnets tussen de geïnfecteerde machines voorkwam.

[The Zep Man]

Als bedrijf met misschien wel honderden of zelfs duizenden mail adressen wil je die niet één voor één gaan invoeren.

Als bedrijf ga je niet met zo'n formulier aan de slag, maar sluit je je aan bij No More Leaks.

[xeromorphic]

ik ben een ZZP-er en om mij nou aan te sluiten bij dit is een beetje overkill denk ik. Ik zou gewoon graag even mijn domein willen checken en klaar.

[The Zep Man]

Hoeveel e-mailadressen heb je op je domein als ZZP'er?

Je bent als ZZP'er ondernemer, en je moet je als een ondernemer gedragen en acties uitzetten als je je hier zorgen om maakt. Als je geen acties uitzet, dan maak je je niet voldoende zorgen.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 08:59]

[kalikatief]

Ik gebruik als particulier wildcards in mijn email adres als ik mij bij diensten opgeef, bijv: kalikatief-netflix@... juist om weerbaarder te zijn tegen fishing en te begrijpen hoe iets is uitgelekt.

Als ik al mijn aliases een voor een ga invullen ben ik toch aardig lang bezig, en vermoedelijk loop ik dan ook nog een keer tegen een spam-limiet aan die bij de politie is ingesteld voor een dergelijk formulier.

Ik snap dus best wel dat tech-bewuste mensen iets willen dat tussen No More Leaks voor bedrijven valt en het enkele adresje van de doorsnee particulier.

[Webber]

Mee eens, wildcard-e-mailadressen zijn een legitieme use-case.

Als je een paar tekens kan coden zou je een lijst kunnen exporteren met alle gebruikte e-mailadressen en die door een loopje gooien met een interval en zo de requests verspreid versturen. Daarmee zou je "eenvoudig" kunnen voorkomen je als spam wordt aangemerkt.

Of wellicht ff feedback geven aan de politie, of ze zelf die feature er in kunnen zetten.

[Reactie gewijzigd door Webber op 23 juli 2024 08:59]

[debom]

offtopic:
Dat doe ik ook inderdaad. Maar zo heb ik laatst mij aangemeld voor notificaties van glaspoort voor de aanleg van glasvezel. Heb daar een glaspoort_nb@ voor gebruikt. Krijg een week later een mail van een merknaam bescherm Trien van Kpn die mij sommeerde het mail adres niet meer te gebruiken, omdat ik er een website mee zou kunnen gebruiken die glaspoort zou kunnen schaden. Vraag me serieus af hoe, maar goed. Dus heb een nieuwe mail adres aangemaakt waarin ik laten weten wat ik er van vond.

Ik vind het goed dat de politie zoiets doet om men te helpen om te zien of ze slachtoffer zijn. Anderzijds vraag ik me af in hoeverre ze de data opslaan en gebruiken in andere zaken.

[logix147]

Dus als particulier is het prima als ik - [e-mail] gebruik - maar als ik dit toepas in een bedrijf vinden we dat gek?

alles loggen onder administratie/factuur/facturatie/facturen/support/helpdesk/etc is zo achterhaalt inmiddels want werken met catch-alls werkt beter + je weet gelijk waar je lek vandaan komt zonder dat je uitgebreid moet gaan zoeken - wat weer tijd kost.

[peter___]

Hoeveel e-mailadressen heb je op je domein als ZZP'er?

Honderden met een catch-all e-mailadres.

Je bent als ZZP'er ondernemer, en je moet je als een ondernemer gedragen en acties uitzetten als je je hier zorgen om maakt. Als je geen acties uitzet, dan maak je je niet voldoende zorgen.

Is dat niet wat zwart/wit gedacht? Waarom zoiets belangrijks niet zo makkelijk mogelijk maken? Als https://haveibeenpwned.com/DomainSearch het kan...

[MeNTaL_TO]

Dan gebruik je toch gewoon Have been Pwned, daarvan kreeg ik de eerste waarschuwing, die hebben die dataset dus ook gekregen.

[peter___]

Als die de dataset ook gewoon krijgen, is dat inderdaad een veel betere optie, thanks.

[DataGhost]

Bullshit. Ik heb er bijna 900 en sinds ik dat systeem ben gaan gebruiken is de hoeveelheid spam die ik binnenkrijg gezakt van veel naar 1 of 2 stuks per JAAR. Zonder spamfilter. En dan kan ik inderdaad precies zien waar een lek vandaan komt, dan stel ik die partij op de hoogte, eventueel de AP ook en daarna verwijder ik dat alias. Volledig legitieme use-case, ik zie niet wat er voor misbruik aan is, dus dat mag je even wat beter uitleggen. Volgens mij is alles wat ik voor het apenstaartje doe mijn eigen keus en heeft niemand daar iets mee te maken.

[Reactie gewijzigd door DataGhost op 23 juli 2024 08:59]

[kodak]

De politie is er niet slechts voor selectieve slachtoffers, maar hoort alle slachtoffers redelijk te helpen.
Stellen dat slachtoffers die veel tot ontelbare mailadressen hebben maar van particuliere (tot zelfs betaalde) diensten gebruik maken is dus geen redelijke reactie.

Bedrijven en personen kunnen al ruim 20 jaar en langer nl-domeinen registreren en veel tot ontelbare mailadressen gebruiken. Het is dus compleet onbezonnen om nu nog te doen alsof een persoon of bedrijf dan maar handmatig per adres gaat controleren. Zeker als de politie er bewust voor kiest niet actief zelf de slachtoffers te benaderen terwijl ze wel de gegevens hebben.

[peter___]

Weet iemand of je Check Je Hack ook op domeinnaambasis kunt gebruiken voor catch-all e-mailadressen?

[The Zep Man]

Waarom kan ik geen domein controleren?

Om veiligheidsredenen. Anders kunnen anderen dan de eigenaar gemakkelijk e-mailadressen checken. Bedrijven en organisaties kunnen zich aansluiten bij No More Leaks waar de politie deze data ook mee deelt. Ook kunnen domeinen op Spamhouse worden gecontroleerd.

Bron.

[peter___]

Dank je, ik had wel wat verder kunnen kijken, excuus.

[MrMonkE]

Waarom een mail voor deze stap die je beschreef.
Kan toch gewoon online.
Enter domein: Ja zit er in, nee zit er niet in

Ja zit er in; Admin aan het werk met individueele emails.
nee zit er niet in; Bakkie leut voor admin.

[Bor]

Waarom een mail voor deze stap die je beschreef.
Kan toch gewoon online.
Enter domein: Ja zit er in, nee zit er niet in

Dat is waarschijnlijk bedoelt om enige zekerheid te krijgen rond eigenaarschap van het mailadres. Stel je kan willekeurig mal adressen controleren dan zou je op die manier van een willekeurig mailadres bij een hit weten dat a - dat mail adres bestaat en b - dit onderdeel is van een lek waar je naar kan gaan zoeken. Die informatie zou je ook voor slechte doeleinden kunnen gebruiken.

[wildhagen]

Waarschijnlijk voor referentie en gemak.

Er staan namelijk meerdere stappen in email die je kan volgen 's je adres aangetroffen is. Als de melding alleen op de website komt is de kans dat die (per ongeluk) weggeklikt wordt groter. Dan ben je het stappenplan dus ook kwijt.

Daarnaast wil of kan niet iedereen alle stappen meteen op dat moment doorlopen.

Een voorbeeld van de mail die je krijgt kan je hier vinden : MeNTaL_TO in 'Politie Nederland deed mee met actie tegen botnet dat 700.000 pc's infecteerde'

[GekkePrutser]

Kwakbot? Grappig naam voor iets dat aan je computer blijft plakken.

[danoam]

Toch ff een wtf momentje toen ik zag dat mijn emailadres in de database voor Genesis market staat. Snap echt niet hoe ik aan malware kom, draai Linux als host maar wel met twee Windows VMs en als ik daar een scan op uitvoer word er niets gevonden terwijl er wel signatures aan Windows Defender zouden zijn toegevoegd?