Eigenaar Tile-trackers meldt datalek waarbij klantgegevens zijn gestolen

Tile-eigenaar Life360 meldt dat een hacker klantgegevens van gebruikers heeft bemachtigd. Het gaat onder meer om namen, adressen en Tile-identificatienummers. De locatiegegevens van Tile-trackers, betaalgegevens en wachtwoorden zijn niet gestolen, meldt het bedrijf.

Life360 meldt in een statement dat hackers probeerden het bedrijf af te persen nadat de gegevens waren gestolen. Het bedrijf ontving naar eigen zeggen e-mails van een 'onbekende actor die beweerde in bezit te zijn van Tile-klantgegevens'. Life360 ontdekte na onderzoek 'ongeautoriseerde toegang' tot een klantenserviceplatform van Tile. Het bedrijf concludeert dat het lek geen invloed had op andere aspecten van Tile. De admincredentials die gebruikt werden om toegang te krijgen tot de gegevens zijn inmiddels ingetrokken.

Bij het lek zijn gegevens als namen, adressen, e-mailadressen, telefoonnummers en identificatienummers van Tile-apparaten gestolen, meldt het bedrijf. Creditcardnummers, wachtwoorden, Tile-locatiegegevens of identificatienummers van overheden zijn niet gestolen, claimt Life360. Deze gegevens werden niet bewaard in het klantenserviceplatform dat werd getroffen door het lek.

Volgens 404 Media, dat als eerste het verhaal over het datalek naar buiten bracht, heeft de hacker ook toegang gekregen tot bepaalde interne tools van Tile. Daaronder valt een tool die gebruikt wordt om verzoeken tot locatiegegevens van autoriteiten te verwerken, zo meldt de hacker in een chatgesprek met dat medium. De dader heeft enkele gegevens en screenshots aan 404 Media verstrekt, waarna het medium die data heeft geverifieerd. Life360 antwoordde niet direct op de vraag of de hacker de vereiste toegang had om daadwerkelijk locatiegegevens van gebruikers op te vragen, meldt de nieuwswebsite.

De hacker zegt tegen 404 Media dat het de logincredentials van een voormalige Tile-medewerker gebruikte om toegang te krijgen tot het klantenservicesysteem. De dader zegt ook tools in handen te hebben voor het overzetten van een Tile-tracker naar een nieuw e-mailadres, het aanmaken van admingebruikers en het versturen van pushnotificaties aan Tile-gebruikers. De hacker zegt deze mogelijkheid niet te gebruiken.

Een Tile Mate-tracker. Bron: Tile

Reacties (21)

[CrimInalA]

'Daaronder valt een tool die gebruikt wordt om verzoeken tot locatiegegevens van autoriteiten te verwerken'

Wat??? Te zot voor woorden dat zo een tool zelfs bestaat .
Dus ze kunnen locatie van trackers opvragen en doorspelen aan derden zonder dat je daar zelf toestemming voor geeft !?
En dat is nu ook nog eens gestolen ?
Jezus ...

[friend]

Een beetje erg naïef. Zo'n beetje elk land waar een bedrijf als dit gevestigd is kan in bepaalde situaties, al of niet met een rechtelijk bevel, klantgegevens en in dit geval ook locatiegegevens opvragen. Dat zal ook in de voorwaarden staan.
Dat ze hiervoor een tool hebben gebouwd wil niet zeggen dat zonder menselijke interventie automatisch die gegevens verstrekt worden, alleen maar dat er een geautomatiseerd proces is om deze verzoeken te registreren en evt. beschikbaar te stellen wanneer het verzoek valide is. Er is niet uit het artikel te halen wat hiervoor de procedures en mogelijkheden zijn.

[Reactie gewijzigd door friend op 22 juli 2024 21:10]

[Mosterd]

Ze zijn wel zo eerlijk om te bevestigen dat het bestaat, weet men ook meteen welke partij je moet vermijden.

[Wraldpyk]

Ik denk dat je nu wel van het internet af kan gaan want elk bedrijf die groot is en met persoonsgegevens werkt heeft wel verzoeken gehad hiervoor. Grote kans dat zelfs Tweakers groot genoeg is dat ze deze verzoeken hebben gehad. Maar helemaal Reddit, Twitter, Facebook, LinkedIn, Amazon, Bol.com hebben hoe dan ook deze verzoeken gehad.

Elk bedrijf die met enige regelmaat zo'n verzoek kan verwachten optimalizeerd deze flow

[Mosterd]

Het is een keuze om daarin mee te willen werken, zie bijvoorbeeld het verschil tussen een Mullvad of een NordVPN. Beide schemeren met privacy maar Mullvad logt gewoon niks en dan houd het op voor dat soort verzoeken, NordVPN doet dat wel en geeft het braaf af.

Er zit dus wel degelijk verschil in met dat soort partijen, alleen omdat niet genoeg consumenten ermee afrekenen en de druk van overheden de drang voor privacy overstijgt dan krijg je dit. Kwestie van meer mensen die hierop moeten afhaken.

[Stijnvi]

Het is geen keuze om daaraan mee te werken of niet.
De enige keuze die je als bedrijf hebt is het wel of niet opslaan van gegevens die opgevraagd kunnen worden.

Ik wil Life360 hier niet verdedigen want het is volgens mij geen heel fantastisch bedrijf, maar omdat het hele businessmodel van Life360 het delen van locatiegegevens is en zij deze dus ergens verwerkt, moet Life360 meewerken aan een verzoek van de overheid om data als dat door de rechter is goedgekeurd.

Hierom heeft Google juist recent besloten de locatiegegevens van gebruikers niet meer centraal op te slaan maar alleen op de telefoon. Hierdoor is de "tijdlijn" functie in Google Maps binnenkort alleen nog maar op je telefoon beschikbaar, en niet meer beschikbaar op een PC.
Op die manier kan Google met andere woorden op zo'n verzoek antwoorden: "Dankjewel, maar wij hebben deze data niet meer. Die staat alleen nog maar op de telefoons van onze klanten. Wij kunnen niks voor jullie doen."

[i-chat]

probleem is natuurlijk dat je nu letterlijk appels met peren aan het vergelijken bent.

bij een bedrijf dat basically bestaat om illegaliteit te promoten en te faciliteren zoals bijvoorbeeld het omzeilen van copyright mag je aannemen dat ze extra investeren in een manier om de wet te omzeilen en zo te zorgen dat justitie ze zogenaamd niks kan maken. maar goed een VPN is dan ook niks anders dan een doorgeefluikje een soort papegaai bitjes en bytejes

Tile daarentegen is een bedrijf dat actief werkt met locatiegeschiedenis en het traceren van voorwerpen zodat jij ze wanneer je ze kwijt bent later kunt terugvinden omdat mogelijk te maken moeten ze deze data dus daadwerkelijk opslaan voor het geval je die later nodig hebt en zodraad data is opgeslagen kan een rechterlijk bevel je verplichten die data ook weer af te geven

het feit dat ik je dit überhaupt moet uitleggen laat eigenlijk wel zien hoe gemakkelijk sommige mensen maar wat lopen te roep Doetinchem over iets waar ze kennelijk veel te weinig verstand van hebben. dan is de wereld ineens heel erg kwaadaardig en 'tegen mij' in plaats van gewoon gebaseerd op logische oorzaak en gevolg

[latka]

Ga er maar gewoon van uit dat al dit soort oplossingen een dergelijk onderdeel bevatten.

[Anoniem: 1883242]

Alleen lieve trackers gebruiken
.

[Reactie gewijzigd door Anoniem: 1883242 op 22 juli 2024 21:10]

[Perihelion]

Nouja, KPN heeft ook zulke tools om uit te peilen waar jouw mobieltje is, en zelfs logs waar die is geweest. Dat moeten ze zelfs volgens de Wet bewaarplicht telecommunicatiegegevens. Ik vind het ook ruk dat de wereld zo werkt dat je bij voorbaat gewantrouwd wordt maar als je dat anders wilt moet je de politiek in.

[AzaZPPL]

Het toont weer aan hoe cruciaal 2FA is, zelfs op een admin account. Je zou denken dat dit van nog groter belang is, maar uit gemak en de "Ik weet wat ik doe"-mentaliteit wordt het vaak niet ingesteld.

[Orangelights23]

Niet alleen 2FA, maar ook netwerksegmentatie, principle of least privilege, patch management en het zero trust principe zijn belangrijk. Steunen op één beveiligingslaag is onvoldoende.

[Polderviking]

Als je logins van mensen die gewoon toegang hebben niet uitzet als ze weggaan zijn al die maatregelen in dit geval verder wel ten spijt.

[Xorgye]

Je kunt prima admin credentials zo inrichten dat je voor een aantal taken 'elevated rights' nodig hebt die via een meer-ogen principe gaan.

[supersnathan94]

Ja of een stepping stone server die je alleen op het netwerk kunt gebruiken.

Dus waar je ook nog een VPN voor nodig hebt, losse creds voor de stepping stone server en allemaal dat soort zaken.

[Orangelights23]

Incorrect. Dat is het mooie van defense in depth: als 1 laag faalt, zijn er andere beveiligingsmaatregelen om de CIA te beschermen.

Netwerksegmentatie en juist het zero trust principe voorkomen dergelijke incidenten. Segmentatie omdat ze niet kunnen doorhoppen naar verschillende omgevingen (idealiter is gevoelige data verspreid) en het zero trust principe blokkeert dit soort acties vanuit het Assume Breach gedachtegoed.

Ik heb genoeg vergelijkbare events gezien die geen incidenten zijn geworden door defense in depth. Zeker het zero trust principe is iets waarvan men een onvoldoende beeld heeft bij de voordelen.

[Reactie gewijzigd door Orangelights23 op 22 juli 2024 21:10]

[Erik1337]

Zeker waar! Overigens is twee-factor authenticatie per definitie al beveiliging in twee lagen (iets wat je weet zoals gebruikersnaam en wachtwoord icm bijvoorbeeld iets wat je hebt, zoals een fysieke pas).

[Orangelights23]

Niet vanuit de informatiebeveiliging, het gaat immers beiden om het stuk authenticatie/autorisatie. Een kwetsbaarheid in deze laag en je bent binnen. Maar heb je bijvoorbeeld een IDS/IPS, wordt de inlogpoging in quarantaine gezet of, idealiter, automatisch geblokkeerd.

[Erik1337]

Authenticatie en autorisatie is niet hetzelfde, dat zijn al twee lagen van beveiliging .

[Skit3000]

Of je afvragen waarom al deze gegevens überhaupt (langdurig) opgeslagen worden.

[Polderviking]

Ik ben altijd voorzichtig met sterke meningen rond datalekken maar accounts van vertrokken medewerkers nog actief hebben is echt wel echt ontzettend slordig.
Dan ben je volgens mij gewoon echt niet genoeg met je security bezig.

[Reactie gewijzigd door Polderviking op 22 juli 2024 21:10]