Internet Archive is slachtoffer van hack, data van miljoenen gebruikers gestolen

Het Internet Archive, bekend van The Wayback Machine, is het slachtoffer geworden van een hack, waarbij cybercriminelen gegevens van 31 miljoen gebruikers hebben gestolen. Ook verscheen er enige tijd een pop-up op de website met een bericht van de criminelen.

Wie woensdag naar het Internet Archive ging, zag daar een pop-up met daarin het bericht dat de website gehackt is, schrijft Bleeping Computer. "Heb je ooit het gevoel gehad dat het Internet Archive op stokjes draait en voortdurend op het randje van een catastrofaal beveiligingsincident staat? Het is nu gebeurd! Zie 31 miljoen van jullie op HIBP!", zo las het bericht. Niet lang daarna werd de website helemaal onbereikbaar als gevolg van een ddos-aanval.

Met 'HIBP' verwijst de aanvaller naar datalekzoekmachine Have I Been Pwned. Troy Hunt, eigenaar en oprichter van deze dienst, bevestigt tegenover Bleeping Computer dat hij vorige week de authenticatiedatabase van het Internet Archive heeft ontvangen van de cybercrimineel. Daarin zitten onder meer 31 miljoen unieke e-mailadressen van geregistreerde gebruikers, gebruikersnamen, Bcrypt-gehashte wachtwoorden en een timestamp van wanneer het wachtwoord voor het laatst gewijzigd is. Hunt heeft de data geverifieerd en voegt het binnenkort toe aan Have I Been Pwned, zodat gebruikers kunnen zien of hun data ook uitgelekt is.

Brewster Kahle, oprichter van het Internet Archive, bevestigt de aanval op X. Volgens Kahle is de ddos-aanval afgeslagen en ook de pop-up is van de website gehaald. De organisatie is nu systemen aan het opschonen en de beveiliging aan het upgraden. De hacktivistgroepering BlackMeta claimt achter de ddos-aanval te zitten. De groep waarschuwt dat er meer aanvallen volgen.

Reacties (58)

[pbk]

Zie dit artikel met onderaan wat meer uitleg waarom BlackMeta de DDoS aanval uitvoerde: https://gigazine.net/gsc_...-archive-user-data-pwned/

Ze zijn blijkbaar ProPalestijns en het Internet Archive is Amerikaans. Dus dan voer je een DDoS aanval uit... Pff... Dan spoor je toch niet helemaal.

[Reactie gewijzigd door pbk op 10 oktober 2024 07:38]

[RobinR_]

Ze zijn blijkbaar ProPalestijns en het Internet Archive is Amerikaans. Dus dan voer je een DDoS aanval uit

Waar wordt dit beweerd?

[justme256]

Op het X-account van de aanvallers: https://x.com/sn_darkmeta...&t=TMs_Y8l4q89YnwpY86wpxg

[Steenvoorde]

Ze ageren tegen agressie van de staat Israel, er staat nergens dat ze pro-Palestine zijn. Veel Nederlanders denken dat dit conflict een soort voetbalwedstrijd is waar je gewoon partij kan kiezen, als je tegen de ene bent dan ben je voor de ander (of andersom) maar ik ben tegen zowel tegen die schoften in de Knesset als tegen die barbaren van Hamas. Beide partijen zijn schuldig aan de moord op onschuldige mensen. Of wil iemand hier beweren dat de kinderen onder de slachtoffers (aan beide kanten) dit verdienen?

[mbbs1024]

Volledig akkoord.
En zolang aan beide zijden, nationalistische en religieuze fanatici aan de macht blijven, zal het geweld daar blijven duren.

[sworpie]

Lees ik ergens overheen? Er staat in de laatste paragraaf van dat artikel dat BlackMeta's beweegredenen nog onduidelijk zijn.

[justme256]

Nope, ze claimen dat het van de USA is en die helpen Israel, dus moet het stuk. Rechtstreeks van hun X-account: https://x.com/sn_darkmeta...&t=TMs_Y8l4q89YnwpY86wpxg

[purplevendetta]

En dan wel Musk betalen voor een blauw vinkje. Rare club.

[guidogast]

Dat wordt in dat draadje ook gevraagd, daar reageren ze op met: "Wie zegt dat we voor dat blauwe vinkje hebben betaald ;)" in zeer gebroken Engels.

[The Zep Man]

Een kenmerk van hacktivisten dat ze delen met overheden is dat ze een andere benadering voor de verdediging vereisen ten opzichte van hackers die werken voor eigen gewin. Een hacker die uit is op eigen gewin wil de aanval zo goedkoop mogelijk uitvoeren om zoveel mogelijk de vruchten daarvan te plukken. De verdediging kan je simpelweg baseren op een kosten-batenanalyse: maak het te duur om je aan te vallen, en er zal weinig interesse te zijn om het te doen. Vergelijk het met het beveiligen van je woning. Uiteindelijk komt men altijd naar binnen (desnoods met een vrachtwagen of tank), maar als vooraf overduidelijk is dat het niet zal lonen of de risico's te groot zijn zal je niet veel last hebben van inbrekers.

Een hacktivist of overheid kan veel meer middelen inzetten ten opzichte van de baten die het oplevert voor zichzelf en de kosten die het slachtoffer maakt. Een kosten-batenanalyse vanuit een perspectief van een aanvaller is dus niet voldoende. Doordat hacktivisten veel overlap hebben met overheden is het ook een goede dekmantel voor overheden die geavanceerde aanvallen uitvoeren.

Het excuus voor de aanval is niet interessant. Het is een aanval die op geen enkele manier onder het kopje "ethisch hacken" kan worden geschoven.

[Reactie gewijzigd door The Zep Man op 10 oktober 2024 08:12]

[pbk]

Ik kan uit je verhaal niet duidelijk krijgen waarom nu de aanval op Internet Archive wordt uitgevoerd afgezien van het feit dat ze volgens BlackMeta Amerikaans zijn? Ik begrijp je punt niet met deze uitleg?

[wooha]

Ik was een tijd bezig met een nog omvangrijker verhaal over asymmetrie en de verschillende soorten kosten, baten en risico's, maar dat is denk ik niet van belang.

Je legt een paar keer de focus op een overeenkomst tussen hacktivisten en de overheid. Is er of vermoed je in dit geval een connectie of overlap tussen deze hacktivisten en een overheid, meer dan een grove overeenkomst in ideeën en sympathieën? Welke overheid dan en waarom juist deze aanval?

Er bestaat overlap in kosten/baten/risico's tussen allerlei aanvallers en allerlei verdedigers. Voor een lerende puber geldt ook een deel van de overlap met hacktivisten en overheden die je noemt.

[lb2001]

Ze zijn blijkbaar ProPalestijns en het Internet Archive is Amerikaans. Dus dan voer je een DDoS aanval uit... Pff... Dan spoor je toch niet helemaal.

En dan vooral ook dat IA een organisatie is die goed wil doen voor de maatschappij, door informatie te archiveren die anders verloren gaat of gecensureerd wordt, en dergelijke.

Inderdaad, zit ergens een steekje los bij die BlackMeta lui.

[svenslootweg]

en het Internet Archive is Amerikaans.

Nou ja, BlackMeta lijkt dus te geloven dat de Internet Archive van de Amerikaanse overheid is, en daarom pro-Israel is. Waaruit blijkt dat ze hun huiswerk niet hebben gedaan, want IA is juist een hele belangrijke bron gebleken voor volledige berichtgeving uit de Palestijnse gebieden, en essentieel voor een hoop mensen die het volgen.

Dat heeft inmiddels heel Twitter ze volgens mij ook al geprobeerd uit te leggen. Het is heel lang geleden dat ik mensen zo unaniem boos heb gezien...

[Martijn033]

Daarbij gaat The Internet Archive heel ver als het gaat om het verdedigen van een Open Internet en de Freedom of Information Act. Vaak hebben zij zelfs documenten of video's online staan die nergens anders (meer) zijn te vinden. Daarmee gaan ze regelmatig tegen de Amerikaanse overheid in.

[YGDRASSIL]

Amerika/Israel voeren oorlog vanuit hun luie stoel terwijl alles doordraait, de bevolking heeft er weinig last van. Ik snap best dat de propalestijnen makkelijke doelen aanvallen van een land dat meewerkt aan de wat is het nu? 100.000 doden in gaza tegenover de 1.000 gegijzelden. Ben niet propalestijn, maar ik mis wel veel nuances

[mambovipi]

Is het niet gewoon de bedoeling dat wij niet langer feiten boven water kunnen halen?

[k995]

Want palestijnen zijn terroristen? Absurde redenering

[Afgeleide]

Het ‘hacktivist’ label en dat ze de data zelf naar HIBP lijken te hebben gestuurd lijkt aan te geven dat ze geen hele slechte bedoelingen hebben. Maar waarom die DDoS dan?

[lightemup]

Ik had precies dezelfde gedachte, misschien staat het los van elkaar? Ondanks dat de timing wel heel toevallig is natuurlijk.

[Ramoncito]

Het ‘hacktivist’ label en dat ze de data zelf naar HIBP lijken te hebben gestuurd lijkt aan te geven dat ze geen hele slechte bedoelingen hebben. Maar waarom die DDoS dan?

Tsja, wie bepaalt dat je aan de juiste kant staat? Een dierenactivist die dierenleed aan de kaak wil stellen en daarbij een complete kippenstal verontreinigt/besmet, vindt zichzelf ook aan de goede kant staan evenals de talloze mensen die "de natuur hun gang willen laten gaan" en dan aan het bijvoeren zijn in de winter.

Als die activisten het vernachelen van andermans leven een goeie daad vinden, ...

[kozue]

Misschien was dat een andere groep? Hoeft niet perse met elkaar te maken te hebben, kan ook slecte timing zijn. Of een andere groep die BlackMeta zwart (pun intended 🤪) probeert te maken.

[Marcel Br]

Als je dit doet heb je slechte bedoelingen

[djwice]

De website onbereikbaar maken voor andere hackers die na jou ook het lek willen misbruiken om de data te vergaren?

Uiteraard hadden ze ook de lek gewoon kunnen melden bij het Internet Archive zodat die het kon dichten en niet alle data er uit halen.
Maar wellicht hadden ze de indruk dat andere groeperingen dat al wel deden of hadden gedaan, dus dat ze het voor de zekerheid bij HIBP hebben gebracht.
(Of dat een automatisch script het onverwacht binnen sleepte, dat kan ook natuurlijk)

[Switching Power]

Ik heb om 1:34 vannacht een email gehad van Have I Been Pwned dat mijn email in de lijst staat

[JDx]

Misschien moet het verplicht worden om net als je wachtwoord regelmatig je e-mailadres te veranderen, volgens mij zit elke inbox tegenwoordig vol spam, al dan niet gefilterd naar de spambox.

Alleen is dit wat omslachtig.

[glennoo]

Tip: maak een catch-all mailadres aan en gebruik per website een apart "[websitenaam]@[domein].[tld]" mailadres. Dan heb je het direct door als je mail is uitgelekt bij die partij, weet je direct waar het is uitgelekt en kun je een mailbox aanmaken die je daaraan vastknoopt en je mailadres aanpassen naar iets anders zonder dat je geen mail meer krijgt van ze.

[hoepstoep]

Mailadressen veranderen is vaak gewoon via de website mogelijk. Zo niet, dan kan je contact opnemen met de organisatie. Als je het gooit op recht op rectificatie onder de avg veranderen organisaties het mailadres. Ik heb in ieder geval nog nooit meegemaakt dat het heel omslachtig is.

Overigens kan je met SimpleLogin gemakkelijk mailadressen aanmaken en ook deactiveren, ook met een eigen domeinnaam. Hier maak ik veelvuldig gebruik van bij het wisselen van mijn mailadressen.

[JDx]

Het mailadres veranderen is natuurlijk peanuts, ik bedoel dat je bij elke instantie en ook sommige tweestaps verificaties je mail adres moet veranderen.

[hoepstoep]

Nog nooit problemen mee gehad. En ja, ik verander regelmatig mailadressen. Elk account wordt minimaal één keer per jaar gewijzigd van mailadres en wachtwoord. Wanneer mijn wachtwoordmanager aangeeft dat het wachtwoord is verlopen, vernieuw ik ook mijn mailadres voor dat account.

[JDx]

Als jij van e-mail adres verandert, weet je dan zeker dat je overal en iedereen je nieuwe mail adres hebt doorgegeven en dat doe je regelmatig? Dan moet je dus bij Tweakers, belastingdienst, uwv, gemeente, azerty, alternate, megekko, bol, amazon, twitch, discord, xbox live, netflix, je hele familie, al je vrienden, al je zakelijke contacten, linkedin, x, instagram, facebook, whatever je hebt je mail adres veranderen.

En dat regelmatig? Lijkt me een aardig probleem.

En dan vergeet je nog 50. Kom je een keer op een site waar je sporadisch komt, wachtwoord vergeten, oh, gaat naar oude mail, alles kwijt. Zo veel mail adressen is toch niet bij te houden.

[Reactie gewijzigd door JDx op 10 oktober 2024 09:17]

[kozue]

Gewoon aliassen gebruiken, en een maildienst die dat ondersteunt (ook het dichtzetten ervan). Met een eigen domein is dat helemaal makkelijk. Ik geef aan alle partijen een uniek adres waaraan ik kan zien wie het was. Dus tweakers@mijndomein, netflix@mijndomein, etc. Succes met accounts aan elkaar koppelen via emailharvesters.
Aangezien de meeste mensen geen eigen domein hebben, gebruik een dienst die mijnnaam+extensie@domein ondersteunt, en een filterfunctie die op ontvanger kan blokkeren. Dan kun je jdx+tweakers@domein gewoon wegfilteren as je tweakers account wordt gehacked

[hoepstoep]

Dus tweakers@mijndomein, netflix@mijndomein, etc.

In het verleden heb ik dat ook gebruikt, maar uit eigen ervaring weet ik inmiddels dat kwaadwillenden dan ook in staat zijn om bijvoorbeeld spotify@domein te bedenken voor Spotify. Dat vond ik dus geen fijn systeem.

[Tazzios]

Tip i.p.v. tweakers@mijndomein doe ik tweakerssdasd343@mijndomein om het wat meer random te maken.
Indien ze tweakers@mijndomein kunnen ze, als ze bol.com pishingmail willen versturen dat, eenvoudig raden dat je bol.com@mijndomein voor bol.com wordt gebruikt.

[e.dewaal]

Ik gebruik willekeurige woorden voor mijn e-mailadressen. Zo kan de hacker van 'tweakers' niet alle mailadressen waar 'tweakers' in voor komt uit zijn lijst filteren.
In alle jaren dat ik het nu gebruik is er één van mijn willekeurige e-mailadressen gelekt (die partij heeft dat nog steeds niet bevestigd). Van de bijna 300 accounts die een uniek e-mailadres hebben, ontvang ik nu dus op één e-mailadres spam.

Het levert soms wel komische situaties op als een telefonische klantenservice om je mailadres vraag en je bij (bijv.) Coolblue moet aangeven dat je e-mailadres [e-mail] is.

Hoe ik deze willekeurige e-mailadressen moet oppakken voor persoonlijke contacten zoals vrienden en familie, ben ik nog niet uit. Daarvoor gebruik ik nog mijn oude persoonlijke e-mailadres dat iedereen kent, waar ik in een week tijd honderden spammailtjes op krijg...

[karelvandongen]

Voor familie en dichtbij staande vrienden gebruik ik gewoon voornaam@domein of achternaam@domein.. evt met jaar van hun geboorte of kennismaking.

[hoepstoep]

Vergeten doe ik dat zeker, maar daar gebruik SimpleLogin voor. Ik geef in een notitie bij het specifieke mailadres aan waarvoor dat mailadres is. Bij de gegenereerde mailadressen zie je bovendien ook het laatste mailadres vanwaar een mail is verstuurd, meeste organisatie gebruiken hun domeinnaam. Vroeger hield ik het overigens bij met een eigen administratie.

Gelukkig heb ik verder vrij weinig accounts. Sociale media gebruik ik niet. Als ik al eens iets bij een webshop bestel, laat ik bij aflevering direct het account sluiten. Sites die ik sporadisch bezoek, maak ik überhaupt geen account voor aan. Als het zonder account niet bruikbaar is, gebruik ik het niet.

Familie en vrienden benaderen mij op andere manieren. Als ze mij iets willen mailen vragen ze gewoon naar het huidige mailadres. Dan genereer ik op dat moment een nieuwe.

Zakelijke contacten laat ik lopen via het mailadres van mijn werkgever. Dat verandert inderdaad niet regelmatig.

[Reactie gewijzigd door hoepstoep op 10 oktober 2024 09:49]

[Ramoncito]

Nou, je email veranderen (wat ik zelf ook ooit heb gedaan) is best wel lastig. Om de haverklap loop je weer tegen een vergeten account aan (krijg je belangrijke mail op je oude adres waar je niet meer naar om kijkt), en bij amazon was ik opeens mijn complete aankoophistorie kwijt.

[Borg Queen]

Ja, ik ook. Heb gelijk mijn wachtwoord veranderd.

[Chrono Trigger]

Jammer dat ze achter dit soort bedrijven aan gaan die hele nuttige rollen hebben voor het vrije internet terwijl het geld ligt bij de grote tech bedrijven.

[Coencordia]

Misschien is dat juist wel de grote rede om dit soort sites aan te vallen.

Het AD bijvoorbeeld heeft eigen artikelen van bijvoorbeeld de Rolodex-affaire verwijderd, waar hyperlinks in andere artikelen daar nog steeds naar wijzen.

[The Zep Man]

Bcrypt-gehashte wachtwoorden

Bcrypt is wat ouder ten opzichte van moderne alternatieven (zoals Argon2), maar relatief veilig omdat het qua rekenkracht duur is om te berekenen. Ondanks dat geldt het gebruikelijke advies: verander je wachtwoord, gebruik een willekeurig wachtwoord in combinatie met een wachtwoordbeheerder, etc. Gebruik idealiter ook een uniek e-mailadres/alias voor elke dienst, zodat je die kan afstoten wanneer blijkt dat die gelekt is.

Je e-mailadres als inlognaam en verificatie-/herstelmethode veranderen is wel moeizaam bij veel diensten. Het is per geval kijken wat het minste kwaad is als er geen mogelijkheid is om dit zelf te doen: een (AVG-)verzoek indienen om het te laten veranderen of een nieuw account aanmaken.

[Reactie gewijzigd door The Zep Man op 10 oktober 2024 07:53]

[Lucb1e]

Wel jammer dat het een cost factor 10 heeft in het door Bleepingcomputer genoemde voorbeeld. Die cost was een prima waarde in 2010, en ik zie het ook nog heel vaak terug bij klanten, maar CPU's zijn een stuk sneller geworden! Nog altijd zijn deze hashes best irritant om te proberen te kraken, maar wanneer de cost factor niet op 10 maar bijvoorbeeld 13 staat (wat bijna een halve seconde kost op mijn laptopcpu uit 2018) kan je als aanvaller nog maar een tiende van het aantal pogingen doen per hoeveelheid rekenkracht die je inkoopt

Wat ik had gehoopt dat de PHC zou oplossen is het upgradeprobleem: je kan wel denken "aha onze servers zijn nu sneller, laten we onze hashes sterker maken", maar dan kom je erachter dat eerst íedereen moet inloggen voordat alle hashes bijgewerkt zijn. Theoretisch kun je gewoon meer iteraties doen op de hashwaarde (zonder het wachtwoord te kennen) en die zo sterker maken, maar in de praktijk is daar geen standaardprocedure of tooling voor. Je moet al zelf iets gaan knutselen à la kdf(kdf(password)). In plaats van ook dat probleem op te lossen, heeft de PHC argon2 gekozen die wel wat goede eigenschappen heeft, maar nou niet zo noemenswaardig beter is dan wat we al hadden en de serieuze partijen al gebruikten (zoals bcrypt of scrypt). Ik denk dat veel van de oude cost-factors komen doordat je het niet zomaar kan wijzigen en alle accounts veiliger maken

[Reactie gewijzigd door Lucb1e op 10 oktober 2024 11:23]

[HansMij]

Als je accounts weggooit of invalideert na bijvoorbeeld 2 jaar, en de bestaande accounts upgrade naar een nieuw algoritme bij inloggen, dan heb je na die 2 jaar alle oude hashes weggewerkt.

[LaFleche]

Ik gebruik voor een fors aantal diensten waar ik geen belang heb om daadwerkelijk prive informatie te moeten delen 'weggooi' accounts bij hotmail.
Maar bijvoorbeeld voor mijn bank gebruik ik een 'echt' email-adres.
Beetje proberen te scheiden en zo gebruik ik ook voor internet-archive een hotmail account (waar ik dan wel zojuist het wachtwoord heb gewijzigd.... )

[HansMij]

Bleeping Computer schrijft ook dat er een record in de database staat van Scott Helme. Scott bevestigt dat de wijzigingsdatum van het wachtwoord in zijn password manager overeenkomt met de wijzigingsdatum uit de gelekte data.

Ook bevestigt Scott dat het bcrypt-gehashte wachtwoord uit zijn password manager overeenkomt. Hiermee lijkt me bewezen dat Internet Archive geen salt heeft toegevoegd voordat het wachtwoord werd gehashed.
De vraag die bij mij opkwam is of het volgens GDPR niet verplicht is zo'n salt te gebruiken (aan te raden is het sowieso wel).

[Reactie gewijzigd door HansMij op 10 oktober 2024 09:56]

[RetroGo]

Wat me stoort is dat er met enige regelmaat geen medling op de frontpage van een gehackte site wordt geplaatst dat er data gelekt is. Snap dat het geen reclame is maar vindt persoonljk dat je hier wel transparant in moet zijn. Heb er een mail aan gewaagt richting ‘the archive’ om dit te doen.

[nutty]

"De organisatie is nu systemen aan opschonen en de beveiliging aan het upgraden"
Dat had je voor de hack moeten doen.
Nu heeft het niet zo heel veel zin meer.

[Arunia]

Het is nu ook weer niet zo dat ze geen beveiliging erop hadden en je kunt je niet overal tegen wapenen.
Ik ben van mening dat je uitspraak wel erg kort door de bocht is.

Heb zelf net mijn wachtwoord gewoon veranderd en volgens mij als ik het goed lees zijn de wachtwoorden toch encrypted en ook weer niet zo makkelijk te decrypten.

[nutty]

Ze zijn nu ineens de beveiliging aan het opwaarderen, maw deze was niet op het niveau waarop het moest zijn.
Dat lees ik.

[3raser]

Die beveiligingsupgrade kan van alles betekenen. Bijvoorbeeld een systeem om beter DDoS aanvallen te kunnen weren. Dat was voorheen blijkbaar niet nodig.

[nexhil]

De hacktivist-groepering BlackMeta claimed achter de ddos-aanval te zitten. De groep waarschuwt dat er meer aanvallen volgen.

Ik vroeg me af, als dit 'Hacktivisten' zijn wat BlackMeta dan voor motieven zou hebben om TIA th hacken en te DDoSén

CoPilot komt met het volgende mocht je het je ook afvragen:

BlackMeta, ook bekend als SN_BlackMeta, is een hacktivistengroep die in november 2023 is ontstaan. De groep staat bekend om hun pro-Palestijnse ideologie en heeft aanvallen uitgevoerd op organisaties in Israël, de Verenigde Arabische Emiraten (VAE) en de Verenigde Staten12.

Een van hun meest opvallende aanvallen was een zesdaagse DDoS-aanval op een financiële instelling in de VAE in juli 2024. Deze aanval bereikte een piek van 14,7 miljoen verzoeken per seconde en duurde in totaal meer dan 100 uur12. De groep kondigde hun aanvallen vaak van tevoren aan op hun Telegram-kanaal1.

In mei 2024 claimde BlackMeta verantwoordelijkheid voor een meerdaagse DDoS-aanval op het Internet Archive in San Francisco. In april 2024 richtten ze zich op de Israëlische infrastructuur van de Orange Group, een Franse telecomprovider. Daarnaast hebben ze ook organisaties in Saoedi-Arabië en Canada aangevallen.

Nu weet ik het nog eigenlijk niet, misschien omdat TIA een Amerikaanse organisatie is(?)

edit: Ik snap de -1 niet echt.

[Reactie gewijzigd door nexhil op 10 oktober 2024 08:15]

[pbk]

Zie mijn andere reactie en dit artikel: https://gigazine.net/gsc_...-archive-user-data-pwned/

Ik vroeg het me ook af...