Aanvaller paste BGP-routing van Orange in Spanje aan na hacken RIPE-adminaccount

Een hacker heeft het RIPE-account van de Spaanse provider Orange gehackt en de BGP-routing en RPKI-validatie aangepast. Daardoor hadden veel klanten van de provider geen verbindingen meer en konden ze veel websites niet meer bereiken.

Orange España bevestigt op X dat de storing op 3 januari begon. De provider bevestigt dat het alleen ging om verbindingsproblemen. Een hacker die zichzelf Ms Snow noemt, eist de verantwoordelijkheid voor de hack op. Ze zou toegang hebben gekregen tot het RIPE-adminaccount dat Orange gebruikte om BGP-routing te regelen. Snow zegt in een vervolgtweet dat ze toegang tot dat account kreeg doordat de beveiliging daarvan 'zeer discutabel' was. Snow vond de credentials in een datadump van een ouder botnet. Orange zou ripeadmin als wachtwoord hebben gebruikt en geen tweetrapsauthenticatie hebben ingesteld.

Dat laatste bevestigt ook beveiligingsbedrijf Hudson Rock, dat onderzoek deed naar de hack. Volgens Hudson Rock werd een computer van een Orange-medewerker geïnfecteerd met de Raccoon-malware. Die filtert gegevens van machines uit.

De aanvaller wist via RIPE het Border Gateway Protocol aan te passen. BGP is een protocol waarmee verkeer tussen twee routers of tussen een router en een provider wordt geleid. Het vertelt een provider welk netwerk bij welk IP-adres hoort en kan zo bijvoorbeeld de snelste weg tussen die verschillende netwerken vinden. BGP was in 2021 de oorzaak van een grote, urenlange storing bij Facebook, waarover Tweakers destijds een artikel met uitleg schreef. Iets soortgelijks gebeurde deze week bij Orange via RIPE, een publieke database van IP-adressen en autonomous system- of AS-nummers. Orange beheerde zijn BGP-infrastructuur via RIPE. Nadat hacker Snow toegang kreeg tot de RIPE-instellingen van Orange, was ze in staat de BGP-configuratie aan te passen.

Dat deed de hacker door het AS-nummer van Orange te veranderen. Daarna voerde ze een ongeldige RPKI-configuratie door. Die Resource Public Key Infrastructure-standaard is een cryptografische manier om BGP-routing te valideren; via een RPKI-certificaat wordt gecontroleerd of een BGP-routing overeenkomt met het juiste AS-nummer. Door de RPKI-configuratie aan te passen, werkte de BGP-routing van Orange niet meer goed. Bepaalde IP-adressen waren daardoor niet meer bereikbaar, waardoor klanten van de provider grote delen van internet tijdelijk niet konden bereiken.

Snow riep Orange op X op contact met haar op te nemen om nieuwe RIPE-admincredentials te krijgen. Uiteindelijk heeft de storing slechts enkele uren geduurd. Het is niet bekend of Orange zelf de BGP-routing heeft hersteld of daarvoor contact heeft gehad met de hacker.

Reacties (41)

[dbzokphp]

Als RIPE member heb ik gisteren (een dag na dit incident) de onderstaande e-mail ontvangen. Waarschijnlijk door dit incident adviseren ze iedereen om 2FA in te schakelen, geen slecht idee

Dear colleagues,

In light of the recent incident where a RIPE NCC Access account was compromised, we urge you to review your own account security.

-------------------------------
Two-Factor Authentication
-------------------------------
If you have not already done so, enable two-factor authentication on your RIPE NCC Access account. Using two-factor authentication across all of your accounts can reduce your exposure to attacks like these.

The guide for setting up two-factor authentication on your Access account can be found at:
https://www.ripe.net/part...ess/two-step-verification

-------------------------------
Password Recommendations
-------------------------------
We also encourage account holders to change their Access account password and follow these recommendations:

- Avoid reusing passwords for login credentials.
- Use a password manager to automatically create random passwords and store them.
- If you use a SaaS based password management tool, enable dark web monitoring for your own credentials.

If you choose to create your own password:
- Use at least 14 characters to create a password.
- Using passphrases can be helpful such as a favourite quote, fictional character name or line of song to greatly increase the length of the password while also making it easier to remember.

We are currently investigating the compromise of the RIPE NCC Access account and continue to work with the account holder in question.

We would also like to share that we are routinely responding to notifications of possible public breaches containing RIPE NCC Access accounts and actively resetting account passwords while notifying the account holders. In line with the previous resolution by the Executive Board, we are reporting all cases of attempted fraud to the Dutch authorities:
https://www.ripe.net/abou...h-executive-board-meeting

Rest assured that the RIPE NCC is committed to taking the necessary steps to ensure the security of our services. We are currently investigating how we can change our roadmaps to make two-step verification mandatory for all RIPE NCC Access accounts as soon as possible and, in the longer term, offer a wider variety of verification mechanisms.

If you suspect that your account might be impacted, please report it to [e-mail].

Kind regards,
Hans Petter Holen
Managing Director and CEO,
RIPE NCC

[Verwijderd]

dbzokphp schreef:

Als RIPE member heb ik gisteren (een dag na dit incident) de onderstaande e-mail ontvangen. Waarschijnlijk door dit incident adviseren ze iedereen om 2FA in te schakelen, geen slecht idee

Dat kan helpen, maar het probleem met beheeraccounts is vaak dat (soms veel) meer dan één persoon op dat soort accounts moet kunnen inloggen.

Dat vergroot de kans dat, naast het wachtwoord, ook het bijbehorende 2FA secret gekopiejat wordt (vooral als beheerders bijv. TOTP QR-codes naar elkaar gaan e-mailen).

Persoonlijk denk ik dat het verstandiger is om elke beheerder een eigen account te geven, dan hoeven er geen secrets tussen collega's te worden uitgewisseld en kun je accounts van vertrokken medewerkers snel blokkeren (te vaak denken we dat iedereen te vertrouwen blijft na vertrek).

Ook zou het iets kunnen helpen dat, als iemand met toegang ontdekt dat diens PC/smartphone gehacked is, die persoon het meldt dat haar/zijn account gehacked is en diens RIPE-account credentials reset - zonder alle andere collega's daarmee lastig te hoeven vallen (schaamte kan ook een rol spelen).

Overigens, "ripeadmin" is een zwak wachtwoord omdat het geraden kan worden, maar zoals ik vanochtend aanvulde op mijn reactie over wat een sterk wachtwoord is, een wachtwoord zoals "&Z4f*9'sRb$#3fL+x@" had in dit geval niets geholpen.

[DinX]

Bij Ripe kan je meerdere accounts aanmaken met specifieke rechten. Account sharing en algemene accounts zijn dus niet nodig

[Verwijderd]

DinX schreef:

Bij Ripe kan je meerdere accounts aanmaken met specifieke rechten. Account sharing en algemene accounts zijn dus niet nodig

Goed te lezen dat dit mogelijk is!

Helaas weet ik uit eigen ervaring dat "admin account sharing" meer regel dan uitzondering is (achteraf had ik daar zelf in minder gevallen akkoord mee moeten gaan, maar het "ging nou eenmaal zo" en daarnaast had ook ik niet altijd zin om te "betweteren" en discussies over toegenomen complexiteit te pareren).

Nb. op allerlei devices is er vaak maar één "root" o.i.d. account mogelijk, daar zul je slimmere, maar vaak irritante, oplossingen voor moeten bedenken (zoals het wachtwoord wijzigen bij vertrek van een collega).

De situatie waarbij meerdere mensen een wachtwoord kennen (zoals WiFi met PSK) is dan ook 1 van de weinige waarbij ik denk dat de voordelen van het regelmatig wijzigen van het wachtwoord opwegen tegen de nadelen.

[downtime]

Helaas weet ik uit eigen ervaring dat "admin account sharing" meer regel dan uitzondering is (achteraf had ik daar zelf in minder gevallen akkoord mee moeten gaan, maar het "ging nou eenmaal zo" en daarnaast had ook ik niet altijd zin om te "betweteren" en discussies over toegenomen complexiteit te pareren).

Ik ken het probleem. Vaak is het iets waar mensen niet eens over nadenken want ze hebben het altijd zo gedaan. En het gaat bijna altijd in combinatie met passwords die ook nooit wijzigen, want ook dat vindt men maar onhandig. En ze kiezen simpele passwords want die kun je tenminste onthouden. Handig voor ex-collega’s die nu een andere functie binnen het bedrijf hebben want de passwords die ze van hun vorige functie hebben onthouden veranderen nooit.

[aikebah]

DinX schreef:

[...]

Nb. op allerlei devices is er vaak maar één "root" o.i.d. account mogelijk, daar zul je slimmere, maar vaak irritante, oplossingen voor moeten bedenken (zoals het wachtwoord wijzigen bij vertrek van een collega).

Is op zulke devices niet gewoon voor de admins unrestricted sudo rechten mogelijk om zichzelf te promoveren naar root na succesvolle authenticatie met het eigen account? Dan kun je direct inloggen als de root-user gewoon voor iedereen dichtzetten - root enkel via `sudo su` voor de paar privileged admins

[Verwijderd]

aikebah schreef:

Is op zulke devices niet gewoon voor de admins unrestricted sudo rechten mogelijk om zichzelf te promoveren naar root na succesvolle authenticatie met het eigen account? Dan kun je direct inloggen als de root-user gewoon voor iedereen dichtzetten - root enkel via `sudo su` voor de paar privileged admins

Niet op elk "apparaat" met netwerkaansluiting draait Linux (of een ander OS met ondersteuning voor meerdere gebruikers met specifieke privileges).

Ik doe al een flink aantal jaren geen hands-on systeembeheer meer, dus mogelijk is er veel verbeterd (anderzijds draait op veel plaatsen oudere apparatuur dan je lief is).

Denk bijvoorbeeld aan HP(E) iLO. Die hoor je niet aan internet te hangen, maar met de juiste Google Dorks heb ik die wel eens gevonden (het zou daarbij om "honeypots" kunnen gaan).

Maar zelfs als er van een separaat management (V)LAN gebruik gemaakt wordt, kun je nooit voor 100% uitsluiten dat aanvallers daar toegang tot verkrijgen. Immers, bij de meeste "geslaagde" ransomware aanvallen weten de criminelen de hoogst mogelijke beheerdersprivileges te verkrijgen (als alles aan AD hangt is het zelden de vraag of er nog iets onaangetast en betrouwbaar is).

Over Dell's DRAC lees ik in Wikipedia:

All generations of the DRAC use the default user name root and the default password calvin.

Daarachter staat dat je zo'n remote controller ook aan AD kunt koppelen, maar beheerders zijn daar niet gek op omdat je dan weinig kunt als AD op z'n gat ligt (en de risico's als een aanvaller Domain Admin privileges verkrijgt).

In de Wikipedia iLO pagina zag ik wel dat latere versies van de software ook 2FA ondersteunen, maar het dilemma voor beheerders is vaak dat je, vooral in crisis-situaties, niet buitengesloten wilt worden door dingen die (even) niet werken of die je toevallig niet bij je hebt.

Ook netwerkapparatuur (niet alleen "voor thuis") is vaak inflexibel op dit punt. Als ik thuis https://fritz.box/ open kan ik geen gebruikersnaam invullen, alleen een wachtwoord.

En hetzelfde geldt voor veel "industrial control" apparaten.

Een ander potentieel probleem is dat je meestal geen (langdurige) account lockouts wilt op beheeraccounts; vaak zijn "brute force" en/of "dictionary" aanvallen daardoor mogelijk.

Als een wachtwoord "gedeeld" moet worden is mijn advies om in elk geval een effectief niet te raden wachtwoord te kiezen, dat niet al te moeilijk over te dragen is (bijv. via de telefoon, voice bedoel ik). Tips daarvoor gaf ik eind 2022.

[aikebah]

Ah ja... allerlei custom industriele appliances had ik over het hoofd gezien.

Edit: die fritz box van je heeft als het goed is ook

Tip:
U kunt zich ook met uw gebruikersnaam en wachtwoord aanmelden.

al kun je volgens mij de password-only niet uitschakelen idd

[Reactie gewijzigd door aikebah op 22 juli 2024 22:18]

[Verwijderd]

aikebah schreef:

Ah ja... allerlei custom industriele appliances had ik over het hoofd gezien.

Geen probleem!

aikebah schreef:

Edit: die fritz box van je heeft als het goed is ook [...]

Je hebt gelijk, hier te lezen.

De huidige 7590 is al mijn zoveelste, ik heb duidelijk niet precies bijgehouden welke functionaliteiten er in de loop van de (vele) jaren bijgekomen zijn. Helaas is het geen 10 minuten werk meer om alle configuratiepagina's te bekijken en te begrijpen

[locke960]

Merkwaardig dat voor de meest lullige dingen 2FA tegenwoordig verplicht is, maar voor iets waar een miljardenbedrijf en 20 miljoen klanten* aanhangt mag je maar wat aanrommelen en dwingen we zelfs geen password complexiteit af.

Ik kan me voorstellen dat er klanten/slachtoffers zijn die dit als criminele nalatigheid zien, zowel van Orange als RIPE.

*klanten die bij elkaar ook een enorme economische activiteit vertegenwoordigen.

[Arvado]

Merkwaardig dat voor de meest lullige dingen 2FA tegenwoordig verplicht is, maar voor iets waar een miljardenbedrijf en 20 miljoen klanten* aanhangt mag je maar wat aanrommelen en dwingen we zelfs geen password complexiteit af.

Dat doen ze echt niet bewust. Dit gaat in 99% van de gevallen om accounts die in de vergetelheid zijn geraakt. Het is zeker slordig. Maar het is niet zo dat ze bij deze account bewust MFA en complexe wachtwoorden achterwege laten.

[kodak]

Dat doen ze echt niet bewust.

Dat vergeten gaat niet zomaar op. Afgezien dat die 99% al niet blijkt is het hier wel duidelijk dat niets er op wijst dat dit account niet actief in gebruik zou zijn of dat men hoe dan ook maar sterk beleid heeft en weet toe te passen op. En ook niet dat RIPE er onbewust zeer zwakke wachtwoorden toestaat of geen waarschuwingen geeft als vanaf een willekeurige plek iemand probeert in te loggen of zelfs wijzen.

[freedzed6]

je hebt het over Spanje ... een land waar de gele note met wachtwoord op de PC hangt.
Denk nou niet dat NL een soort happy wereld is zoals de rest ook gaat. 99% loopt nog op oude zooi en dat is overigens best prima... Al die overdreven security angsthazen die op je werk overal een probleem zien, weer een opening hebben gevonden voor CVExxxx en achter elke pilaar weer een hacker zien. "Stel dat...", "Mogelijk als...", Soms vraag je je af of ze zelf wel het risico weten. Kappen nou met je verhaal!!

Als voorbeeld de Russische bank SBER gebruikt nog Cisco 3550's ... die zijn al 10+ jaar afgeschreven Site werkt overigens ook prima met wat Cert. meldingen.

[Reactie gewijzigd door freedzed6 op 22 juli 2024 22:18]

[ari3]

Voor zoiets belangrijks als BGP-routing zou ik naast 2FA zou ik ook verwachten dat alle wijzigingen in de routing een meerogenproces hebben. Iedere wijziging moet ook gecontroleerd en geaccordeerd worden door een tweede en derde paar ogen.

[kodak]

Rest assured that the RIPE NCC is committed to taking the necessary steps to ensure the security of our services.

Hoe was het dan mogelijke dat hun systeem een wachtwoord accepteerde waaruit niets blijkt dat er enige moeite is gedaan zwakke wachtwoorden te voorkomen?

Als het nieuws klopt dan leek me alphabetische karakters in lowercase wel prima te vinden om de service veilig te houden?

Daarbij, ik lees ook niet dat de hacker moeite had om vanuit een willekeurige plek via het internet met een gelekt account in te loggen. Geeft RIPE daar waarschuwingen over als iemand dat doet? Of is dat ook wat men vooral af schuift om het 'veilig' te houden.

[Reactie gewijzigd door kodak op 22 juli 2024 22:18]

[CyberTijn]

Snow riep Orange op X op contact met haar op te nemen om nieuwe RIPE-admincredentials te krijgen. Uiteindelijk heeft de storing slechts enkele uren geduurd. Het is niet bekend of Orange zelf de BGP-routing heeft hersteld of daarvoor contact heeft gehad met de hacker.

Waarschijnlijk hebben ze gewoon een telefoonnummer van RIPE waar ze storingen / tickets kunnen melden of een wachtwoord reset aan kunnen vragen net als elke andere gewone sterveling die soms een IT Servicedesk moet bellen.

[Reactie gewijzigd door CyberTijn op 22 juli 2024 22:18]

[the_shadow]

Ik dacht precies hetzelfde. RIPE levert ook maar gewoon een B2B-dienst. Als je problemen hebt als bedrijf (Orange), dan kan je gewoon je leverancier bellen.

[styno]

Sterker nog, die functie zit 'gewoon' op de inlog pagina: https://access.ripe.net

Edit: Maar toch wel even een kleine uitdaging om die reset email te openen als de email server van het admin email account ook getroffen is door de routing problemen.

[Reactie gewijzigd door styno op 22 juli 2024 22:18]

[ANdrode]

Email (en status pagina) in zelfde domein hosten is een ontwerpfout in je netwerk geaccepteerd risico.

Voor e-mail ben ik het daar mee eens, dat wordt later asynchroon nog afgeleverd (en is geen synchroon communicatie medium). Voor statussite is het een risico dat je imo niet moet nemen.

[goarilla]

Ik begrijp je niet zo goed ?
Dit gaat toch over BGP, een dynamisch protocol dat routers toelaat netwerk prefixes uit te wisselen.
Wat heeft dat te maken met DNS en domeinen ? Als die mensen de statuspagina of email onder een ander domein plaatsen maar wel in eigen beheer houden. Dan zitten die machines mogelijks toch onder een of ander subnet onder wellicht dezelfde netwerk prefix ?

[ANdrode]

Ik was wat kort af. Infrastructuur die je tijdens een incident nodig hebt (ook al is het voor communicatie) moet geen failure modes delen met de primaire infrastructuur van het product.

Je kan dit wel doen maar dan moet je de gecorreleerde failures analyseren en het risico accepteren

[Llopigat]

Huh dat verklaart wel dat ik gisteren op mobiel opeens niks kon doen. Gelukkig heb ik dualsim.

Ik heb thuis op de fiber ook Orange (Jazztel dan, een dochteronderneming van Orange) en ook een modem van Orange, maar daar heb ik dan weer geen problemen gehad vreemd genoeg.

[aveenhuysen]

Zit hier bij Digi in Barcelona en nergens last van gehad. Leuk artikel hierover op:

https://www.genbeta.com/s...conexion-a-miles-clientes

[Verwijderd]

is digi van orange dan?
Ik zit bij avatel, ook geen orange dus duidelijk ook geen last gehad

[Llopigat]

Digi heeft toch al 10 Gbit verbindingen hoorde ik?

Ik denk er ook aan om over te stappen, jazztel heeft bijvoorbeeld nog steeds geen IPv6 (en denkt er ook niet over om dat te gaan doen, begrijp ik). Het is nog geen probleem op zich maar wellicht in de toekomst wel. Want IPv4 wordt op VPS'en bijvoorbeeld steeds duurder.

[b12e]

Yep. 25 eur per maand. Heel content van.

[Rex]

De aanval gebeurde op 3 januari. Eergisteren dus.

[Pokemoneuro]

Het blijft me verbazen hoe zelfs professionals zo dom zijn om dat soort domme en slechte wachtwoorden te gebruiken!

De zwakste schakel was hier van papier gemaakt.

[kodak]

Het beheer en eigendom van dit soort systemen zijn vaak in handen van vrije beroepen. In principe kan iedereen in de telecomwereld professional worden zolang men anderen maar weet te overtuigen geschikt te zijn. Waar helaas ook mooier voorstellen dan de werkelijkheid en afschuiven van risico gewaardeerd kan worden, om als personen of organisaties vooral winst te maken zolang het kan.

Natuurlijk kunnen we het verwerpen wat men heeft gedaan, maar laten we dan ook niet vergeten wat er nodig is om het dan te verbeteren. Want of het nu opzettelijk of onopzettelijk was, het afschuiven op onprofessioneel werk lost het niet op.

[styno]

na hacken RIPE-adminaccount

Nou ja, hacken... Het email-adres ([e-mail]) en wachtwoord (ripeadmin) waren gelekt.

[david-v]

Wachtwoord ripeadmin . Het is net geen Welkom01, maar het past wel in het rijtje van nutteloze wachtwoorden. Hoe kan een techneut nou een dergelijk wachtwoord kiezen? Dan ben je toch eigenlijk

( ) geschikt
(X) niet geschikt

[depeje]

Helaas is dit het soort zaken dat ik verwacht van Orange. Bij Orange België (is die gelinkt met het Spaanse Orange?) kreeg ik in mijn klantaccount plots enkel de data en mogelijkheiden van een andere klant te zien. Ik kon zelfs op hun naam en met hun facturatie nieuwe diensten aanvragen... Na contact met de DPO hebben ze het probleem zogezegd "opgelost". 2 Weken later was het terug zo ver. Het onderliggende probleem was dus niet opgelost .

Mij zien ze daar met mijn persoonsgegevens niet meer terug.

[Reactie gewijzigd door depeje op 22 juli 2024 22:18]

[kodak]

Voor het aantonen dat orange zwakke beveiliging had die grote gevolgen kon hebben had die Ms Snow natuurlijk niet zo ver hoeven te gaan.

Maar wat nog zorgerlijker lijkt is het beveiligingsbedrijf dat kennelijk andermans gevoellig gegevens schromeloos in leesbare tekst heeft en het dan ook nog ongevraagd gebruikt om aan iedereen te laten zien en als handeltje te gebruiken voor marketing. Nog los van het probleem dat ze het niet zomaar mogen verwerken, bij de manier waarop lijken ze het ook niet zo nauw te nemen of er minder zware manieren waren om de beweringen van Ms Snow te bevestigen. Zoals simpel benoemen dat men in een datadump van een infostealer zwakke authenticatiegegevens heeft gezien die vermoedelijk gebruikt zijn.

[mutley69]

Beveiliging is vaak iets wat men niet wil. En als men het wil - is het dermate geïmplementeerd dat het gewone werken onmogelijk gemaakt wordt. Biometrie als vervanger van het wachtwoord noem ik daarbij zonder blozen de allergoorste dwaling die mogelijk is. Dat is hard - maar het is aantoonbaar dat alles wat waarneembaar is gebruikt en misbruikt kan worden.
Het is nodig om alle academische opleidingen te voorzien van een discipline-vak - daar ontbreekt het vooral aan. Begin met ook iedereen verplicht op te leiden met basisvaardigheden voor men op een netwerk mag werken. Het onbreekt bij het management ook regelmatig aan daadkracht. Wie niet wil moet je dwingen en desnoods degraderen. Men moet mee.
Desinteresse is zo'n andere vijand. Want wie niet geïnteresseerd is die werkt niet mee.
Dan het teruggrijpen naar manueel oude werkmethodes - dat merk ik als men vraagt om fysische beveilging aan te vullen met moderne betaalbare methodes die je via brandalarmen en domoticasystemen die er al zijn vlot kan implementeren. Men stijgert - men weigert.
Domheid is de allerergste vijand - gevolgd door slordigheden door tijdsdruk. En dan het gegeven dat 80% van alle misdrijven binnenshuis zitten. Dus auditing en controle. Nu laat men de zaken veel te losjes. Het is nuttig zaken te controlleren dat kost geld - maar dat voorkomt veel ergernis.
Als we de kwaliteit van de huidige software met die Agile-ellende zien - dan zien we toch dat er TE veel bagger gelanceerd wordt op de eindgebruikers. Dat zou zwaar bestraft moeten worden. Ook dat all-in-one integratie-gedoe is een bron van security-ellende. Verplicht modulair of gewoon niet meer mogen verkopen. Het wordt tijd dat de overheden hun regelgevende rol beter opnemen. Maar beveiliging is een taak en opdracht voor iedereen - dat wordt alsmaar genegeerd.

Wat kan het kwaad als men mijn wachtwoord heeft - dat heb ik te vaak gehoord, en dat blijf ik horen (en daar hang ik van boven de kotsbak van colleire)!

[goarilla]

Dan het teruggrijpen naar manueel oude werkmethodes - dat merk ik als men vraagt om fysische beveilging aan te vullen met moderne betaalbare methodes die je via brandalarmen en domoticasystemen die er al zijn vlot kan implementeren. Men stijgert - men weigert.

Over welke betaalbare methodes heb je het bijvoorbeeld dan ?

[stekman]

Ik had ook problemen met mijn verbinding in Benidorm. Maar volgens mijn externe IP adres zit deze bij EXCOM, weet niet of dat ook gerelateerd kan zijn.
Hier in BD hadden veel mensen problemen gisteren.

[The Jester]

Vast wel gerelateerd.
Orange is een grote jongen, dus bolle kans dat zij de primary peer zijn voor EXCOM.
En als die peer een betere route is, dan gaat het verkeer daar gewoon heen.

Wat ik niet begrijp is waarom EXCOM de routes naar Orange niet direct "prepended" heeft.
Mogelijk omdat andere partijen (zoals Télefonica bijvoorbeeld) peering-kosten in rekening brengen, maar dat is slechts een educated guess.

[FrostyPeet]

Je zou als hacker toch niet de verantwoording op je willen nemen (mede) verantwoordelijk te zijn als urgente oproepen voor medische hulp niet doorkomen en er iemand overlijd. Idem voor de brandweer en de politie. Er zijn betere methodes om "Orange" duidelijk te maken dat hun inlog gegevens te voorspelbaar zijn. Schijnbaar wist "ze" precies wat ze deed toen "ze" rommelde met de instellingen.