'Filamentverkoper eSun reset wachtwoorden gebruikers naar e-mail'

ESun, een verkoper van printmaterialen voor 3d-printers, heeft mogelijk de inloggegevens van alle bestaande gebruikers met een account gereset naar het gekoppelde e-mailadres. Intussen zou het Chinese bedrijf alle standaardwachtwoorden hebben verwijderd en een resetlink hebben gestuurd.

Verschillende gebruikers meldden in eerste instantie op Reddit en via het Tweakers-forum dat het bedrijf gebruikers via een mail inlichtte over het resetten van alle wachtwoorden naar het bijbehorende e-mailadres. Dit zou het bedrijf gedaan hebben omdat het naar een nieuw websitesysteem is overgestapt. Omdat e-mailadressen constant bij datalekken betrokken zijn, is dit een relatief onveilige manier om wachtwoorden te resetten. Een kwaadwillende zou op basis van e-maildatabases kunnen proberen om alleen met een e-mailadres bij eSun in te loggen om zo eventuele gebruikersgegevens te stelen.

Intussen meldt een getroffene dat eSun alle bestaande standaardwachtwoorden, wat dus e-mailadressen waren, opnieuw heeft gereset. In een nieuwe mail zegt het bedrijf dat gebruikers alleen hun wachtwoord kunnen instellen met een meegestuurde link. Het bedrijf biedt zijn excuses aan voor het beveiligingsrisico dat door het incident is ontstaan.

Reacties (45)

[CAPSLOCK2000]

Soms zou ik willen dat IT een beroep is dat je alleen met een diploma mag beoefenen. Dit voelt als een beginnersfout of een beslissing waarbij veiligheid niet is meegewogen.

Natuurlijk, vergissen is menselijk en overal worden fouten gemaakt, maar de lasten van deze fout komen waarschijnlijk grotendeels terecht bij de klanten en niet bij het bedrijf dat de fout heeft gemaakt. Omdat andere mensen in gevaar komen door dit soort incompetentie (en niet alleen het bedrijf zelf) zou je het aan gediplomeerde professionals moeten overlaten.
Er zijn wel wetten die ons proberen te beschermen, bv door te stellen dat je gevoelige data op een passende manier moet beveiligen, maar er is eigenlijk geen toezicht op. Achteraf kun je misschien boetes en schadevergoedingen opleggen maar het verdronken kalf komt niet meer terug.

Je kan ook niet verwachten dat iedereen met een bedrijfje alles weet van IT-veiligheid. Een goede website bouwen is al lastig en duur genoeg. De meeste bedrijven zijn voor hun veiligheid volledig afhankelijk van hun leverancier terwijl (voor leken) eigenlijk niet te beoordelen is welke leveranciers betrouwbaar zijn. Er zijn wel wat standaarden en keurmerken maar niet voldoende om echt op te vertrouwen (en de waarde van een keurmerk beoordelen lukt ook weer niet als je zelf niet in het wereld zit).

Ik zie dat er een paar dagen geleden toevallig een nieuw keurmerk is gelanceerd vanuit de overheid gebaseerd op NIS2. Dat is een mooie stap de goede kant op maar ook niet meer dan dat.

Daarom denk ik wel eens dat we de verantwoordelijkheid maar helemaal bij de IT-leverancier neer moeten leggen. Ieder bedrijf heeft tegenwoordig een website, e-mail, computers, etc maar je hebt een heel team aan dure specialisten nodig omdat te managen, zelfs als je alles kant-en-klaar inkoopt. Kleine bedrijven een eenmanszaken kunnen dat gewoon niet en die zijn dus volledig afhankelijk van de leverancier die ze zelf niet kunnen controleren.

[wica]

Soms zou ik willen dat IT een beroep is dat je alleen met een diploma mag beoefenen. Dit voelt als een beginnersfout of een beslissing waarbij veiligheid niet is meegewogen.

Een diploma zegt niets over de stom zinnigheid van mensen/bedrijven.
Heb mee gemaakt, dat mensen vol met beveiligingscertificaten, de domste fouten maken.
Zie dat bedrijven met miljoenen/miljaren omzet, de stomste fouten maken.

En zoals je aangeeft, voor de bedrijven zijn er nauwelijks gevolgen.

[Bor]

En zoals je aangeeft, voor de bedrijven zijn er nauwelijks gevolgen.

Reputatieschade, verlies van klanten (en daarmee omzet) zijn een aantal zaken die wel degelijk een gevolg kunnen zijn.

[evers97]

Valt vaak wel mee denk ik, mensen vergeten zulke zaken zeer snel

[HooksForFeet]

Niemand geeft hier ene moer om de volgende keer dat ze filament moeten kopen.

[CAPSLOCK2000]

Reputatieschade, verlies van klanten (en daarmee omzet) zijn een aantal zaken die wel degelijk een gevolg kunnen zijn.

Dat zou je denken maar in praktijk zie ik er weinig van.

Ik lees nooit dat een bedrijf failliet is gegaan na een hack omdat klanten het bedrijf in de steek hebben gelaten. Ik lees wel iedere dag over een of andere nieuwe hack en dan zien we alleen nog maar het topje van de ijsberg.

De zaken die ik van dichtbij heb gezien hadden juist het tegenovergesteld effect. De aandacht in de media levert meer nieuw klanten/gebruikers op dan er vertrekken.

Een typisch voorbeeld is AshleyMadison, een datingsite voor mensen die vreemd willen gaan. Je zou denken dat privacy daar essentieel is. Maar zelfs deze site bestaat nog steeds nadat de data van tientallen miljoenen (!) gebruikers is uitgelekt.

Dat was dan nog een zaak die heel veel aandacht in de media heeft gehad en waarbij voor iedereen duidelijk is dat privacy belangrijk is. De meeste hacks worden voor kennisgeving aangenomen door de klant die z'n data toch al kwijt is en er niks meer aan kan doen. De gevolgen voor bedrijven zijn over het algemeen heel klein. De afdeling Communicatie heeft een drukke week, er wordt een extra security applicatie gekocht door IT en dan is het weer voorbij.

[aikebah]

[...]
Ik lees nooit dat een bedrijf failliet is gegaan na een hack omdat klanten het bedrijf in de steek hebben gelaten.

Dus je hebt het DigiNotar drama gemist? Dan kun je het nu nog even teruglezen.

Al geef ik meteen toe dat het aantal 'failliet door slechte beveiliging' veel en veel lager ligt dan het aantal 'gehackt/gelekt door slechte beveiliging', het is niet zo dat het nooit gebeurt.

[CAPSLOCK2000]

Ok, vooruit, eens in de 15 jaar onder extreme omstandigheden.
Het is de uitzondering die de regel bevestigt.

[Rogers]

Een diploma garandeert geen goede ITer maar naar mijn ervaring maken de mensen die zomaar overstappen naar IT zonder opleiding wel de grootste zooi.

[Reactie gewijzigd door Rogers op 14 oktober 2024 21:59]

[CAPSLOCK2000]

Een diploma zegt niets over de stom zinnigheid van mensen/bedrijven.

Zeker waar, maar heel veel domme fouten zijn wel te voorkomen met een beetje kennis.

Diploma's lossen niet alle problemen op maar een klein beetje minder zou al veel verschil maken. Al is het maar zodat we tijd over houden om over belangrijke zaken te denken die we nu verspillen aan het blussen van brandjes.

[wica]

zodat we tijd over houden om over belangrijke zaken te denken die we nu verspillen aan het blussen van brandjes.

Waar kan ik deze droom baan vinden?

Ik snap wat je bedoelt, ik doel gewoon op, dat ik ondertussen met alle soorten mensen heb gewerkt. En dat ze allemaal hun eigen fouten maken. De ene omdat ze het niet beter weten en de andere omdat ze het niets boeit, want toc geen verantwoording.

Ik heb geen enkele diploma of certificaat, maar een passie voor ICT en verantwoordelijkheid gevoel om iets goed op te leveren. Maar werk weer wel met kritieke systemen. Maar zie ook "collega" die alles hebben (ze zijn in mijn mening meer bezig met certificaten te behalen) en beveilig niets boeit.

Vandaar mijn reactie

[CAPSLOCK2000]

Ik heb geen enkele diploma of certificaat, maar een passie voor ICT en verantwoordelijkheid gevoel om iets goed op te leveren. Maar werk weer wel met kritieke systemen. Maar zie ook "collega" die alles hebben (ze zijn in mijn mening meer bezig met certificaten te behalen) en beveilig niets boeit.

Ik snap waar je vandaan komt maar ik denk dat het deel van de professionalisering van IT is. Een diploma is niet alleen een bewijs dat je een bepaald niveau hebt maar er zit ook een verantwoordelijkheid bij.
Passie en interesse zijn veel belangrijker om te beoordelen of iemand een goede werknemer is dan diploma's en certificaten. Een diploma voorkomt vooral dat mensen kunnen zeggen "ik wist het niet en hoe had ik het moeten weten?".

[Bor]

Een diploma is niet alleen een bewijs dat je een bepaald niveau hebt maar er zit ook een verantwoordelijkheid bij.

Bij een diploma zit doorgaans geen enkele verplichting of extra verantwoordelijkheid. Je hoeft een diploma niet te tonen of te gebruiken. Het vrijwaart ook niet van fouten of domme keuzes.

[Bor]

Soms zou ik willen dat IT een beroep is dat je alleen met een diploma mag beoefenen. Dit voelt als een beginnersfout of een beslissing waarbij veiligheid niet is meegewogen.

Grote kans dat "IT" deze aanpak niet heeft bedacht en er zelfs mogelijk tegen heeft geadviseerd. Het IT personeel is lang niet altijd de partij die de keuzes maakt.

Ik zie dat er een paar dagen geleden toevallig een nieuw keurmerk is gelanceerd vanuit de overheid gebaseerd op NIS2. Dat is een mooie stap de goede kant op maar ook niet meer dan dat.

Waar je in dit geval niets aan hebt gezien eSun gewoon een Chinees bedrijf is van Shenzhen Esun Industrial Co., Ltd. Daar is de NIS2 helemaal niet op van toepassing (want geen EU).

Kleine bedrijven een eenmanszaken kunnen dat gewoon niet en die zijn dus volledig afhankelijk van de leverancier die ze zelf niet kunnen controleren.

Leveranciersmanagement en het maken van goede afspraken zijn hier een oplossing. Een leverancier kan nooit helemaal verantwoordelijk zijn.

[Reactie gewijzigd door Bor op 14 oktober 2024 21:15]

[CAPSLOCK2000]

Grote kans dat "IT" deze aanpak niet heeft bedacht en er zelfs mogelijk tegen heeft geadviseerd. Het IT personeel is lang niet altijd de partij die de keuzes maakt.

Dat denk ik ook, daarom wil ik dat dit soort beslissingen worden genomen door mensen die wel verstand van zaken hebben.

Waar je in dit geval niets aan hebt gezien eSun gewoon een Chinees bedrijf is van Shenzhen Esun Industrial Co., Ltd. Daar is de NIS2 helemaal niet op van toepassing (want geen EU).

Je kan er wel opletten dat je zaken doet met een bedrijf dat aan NIS2 voldoet, of dat nu binnen de EU is of niet.

Leveranciersmanagement en het maken van goede afspraken zijn hier een oplossing.

Mijn punt is juist dat dit in praktijk niet werkt omdat kleine bedrijven niet kunnen beoordelen welke leveranciers goed zijn en ook niet weten welke afspraken ze moeten maken. Het is goed dat de overheid wat houvast geeft.

[Bor]

Je kan er wel opletten dat je zaken doet met een bedrijf dat aan NIS2 voldoet, of dat nu binnen de EU is of niet.

De NIS2 is een EU aangelegenheid. Een bedrijf buiten de EU zal niet gaan voldoen aan de NIS2 en valt hier ook helemaal niet onder. De Network and Information Security directive 2 is vastgesteld door de EU en bedoeld om de cyberbeveiliging en weerbaarheid van essentiële diensten in EU-lidstaten te verbeteren. In dit geval hebben we het over een Chinees bedrijf. De NIS2 is ook geen certificering zoals bv ISO 27001 dat is. De NIS2 is volledig irrelevant in dit geval.

[Reactie gewijzigd door Bor op 15 oktober 2024 18:20]

[CAPSLOCK2000]

Waarom zou een Chinees bedrijf niet vrijwillig aan NIS2 kunnen voldoen?

Ze maken nu ook spullen die voldoen aan Europese regels & keurmerken zodat ze die hier mogen verkopen. Waarom zou dat anders zijn voor IT?

[Bor]

Waarom zou een Chinees bedrijf niet vrijwillig aan NIS2 kunnen voldoen?

Weet je wel wat de NIS2 inhoudt? Het is geen afvinklijstje met bv maatregelen of een keurmerk maar gaat ook over meldplicht, toezicht, aansprakelijkheid etc. Niet alle sectoren vallen onder de NIS2 (net als bij de NIS het geval was ondanks dat de NIS2 voor meer sectoren geldt). Je kan als partij die hier niet onder valt hier niet aan (aantoonbaar) aan voldoen.

[CAPSLOCK2000]

Weet je wel wat de NIS2 inhoudt? Het is geen afvinklijstje met bv maatregelen of een keurmerk maar gaat ook over meldplicht, toezicht, aansprakelijkheid etc. Niet alle sectoren vallen onder de NIS2 (net als bij de NIS het geval was ondanks dat de NIS2 voor meer sectoren geldt). Je kan als partij die hier niet onder valt hier niet aan (aantoonbaar) aan voldoen.

Dan richten ze een Europees kantoor in, net zoals ze dat in andere sectoren gaat. Ik zie geen probleem.

[Bor]

Daarmee val je nog steeds niet "automagisch" onder de NIS2 directive waardoor deze nog steeds niet automatisch van toepassing is. Er is bepaald welke sectoren hier onder vallen, welke niet en wat hierbij de voorwaarden zijn. Daarbij is de NIS2 zoals gezegd geen keurmerk of certificering. Het brengt echter wel veel verplichtingen met zich mee zodra je hier onder valt welke vanuit ondernemerschap niet allemaal absolute voordelen zijn. Voor een buitenlands bedrijf is er geen enkele winst te halen door te proberen onder de NIS2 te gaan vallen nog los van het feit dat dat in meerdere gevallen niet eens kan. Zoals gevraagd; weet je wel wat de NIS2 inhoudt?

Update: @CAPSLOCK2000 wat betreft je edit; jammer dat je niet wilt aangeven wat jouw kennis van- en ervaring met de NIS2 is gezien je reacties onder dit item. Ik ben oprecht benieuwd gezien je er allerlei irrelevante zaken bij lijkt te halen.

[Reactie gewijzigd door Bor op 15 oktober 2024 20:31]

[CAPSLOCK2000]

Dat heb ik nergens gezegd. Ik ga niet meer reageren want je lijkt op zoek te zijn om iets om over te vallen.

[Reactie gewijzigd door CAPSLOCK2000 op 15 oktober 2024 18:18]

[aikebah]

[...]
De NIS2 is een EU aangelegenheid.

En HIPAA is een Amerikaanse aangelegeheid, maar als een bedrijf HIPAA compliant claimt te zijn hebben ze bij mij op 'kans dat het goed zit met beveiliging' een streepje voor op bedrijven die helemaal geen compliancy met bepaalde locale richtlijnen claimt (niet een voldoende zekerheid, wel een voordeel van de twijfel ten opzichte van anderen als ik een shortlist zou moeten maken en de andere kandidaten niks aan compliancy claimen)

[Bor]

Een bedrijf die aan de Health Insurance Portability and Accountability Act voldoet zal een US based bedrijf zijn. Dat is immers waar de HIPAA van toepassing is. Het toezicht of het bedrijf daadwerkelijk voldoet vindt dan ook daar plaats, niet in Nederland of de EU. Nu naar de NIS2: Als bedrijf buiten de EU val je simpelweg niet onder de NIS2. Dat kan je vanuit bv China (waar het hier om gaat) dus ook niet claimen.

[Reactie gewijzigd door Bor op 15 oktober 2024 22:32]

[aikebah]

Ergens aan moeten voldoen is nog altijd iets anders als 'je houden aan alles wat relevant is voor' en dat laatste kan zeker relevant zijn voor een bedrijf als die zaken wil doen met bedrijven die WEL aan die richtlijnen moeten voldoen. Dus ook europese bedrijven, als ze zich op Amerikaanse bedrijven in de gezondsheidssector richten kunnen baat hebben bij een assesment dat hun systemen/processen HIPAA compliant ingericht zijn en niet-EU bedrijven die zaken willen doen met NIS2 gereguleerde bedrijven in de EU ook bij een assessment dat hun systemen/processen NIS2 compliant zijn ingericht.
Voor de specifieke case van deze webwinkel niet relevant, maar voor de algemene case van 'bedrijven buiten de EU' wel degelijk.

[Bor]

Echter is de NIS2 geen standaard als een ISO 27000 of 270001 waarbij je kan spreken van "compliant ingericht" en je je kan laten certificeren. Juist het deel toezicht, meldplicht en aansprakelijkheid maakt dit mede anders. Val je niet onder de NIS2 dan zijn die zaken niet van toepassing. Dit is echt appels en peren.

[CPV]

Soms

Ik heb dat veel vaker.

[nullbyte]

IT een beroep is dat je alleen met een diploma mag beoefenen.

Cyber security is decennia lang een ondergeschoven kindje geweest. Dat diploma zal recent van aard moeten zijn.

[Bor]

Niet alleen dat; heel erg veel opleidingen die een diploma in de IT opleveren (bij slagen) besteden absoluut onvoldoende aandacht aan (cyber) security waardoor simpelweg het vereisen van een diploma absoluut onvoldoende is. Daarbij is "IT" een dermate brede term dat niemand alle expertise binnen het vakgebied zal hebben.

[Drone_701]

Is dit een geval van "Real men test in production"?
Wat een onvoorstelbare fout...

[trab_78]

Omdat e-mailadressen constant bij datalekken betrokken zijn, is dit een relatief onveilige manier om wachtwoorden te resetten.

Dat is nog tamelijk mild geformuleerd. Het is het meest onveilige wat je kan doen, gelijk aan geen wachtwoord eigenlijk.

[Moaske]

Dit geeft te denken over hoe en wat ze allemaal opslaan daar bij eSun.
Ik heb er namelijk ooit één keer een spoel besteld (wnt meeste is gewoon op Bol te krijgen), maar heb toen de PayPall checkout knop gebruikt, dus in principe géén account bij ze gemaakt.... tóch krijg ik die mail.
Vrees dat ze dus schaduw accounts maken van iedere besteller ongeacht checkout methode.

[Llopigat]

Oef, gelukkig heb ik hier nooit besteld omdat dit zo'n merk is dat van die irritante kartonnen spoelen gebruikt. Daar kan mijn printer niet goed mee overweg. Daar zijn wel workarounds voor (overspoelen of een soort opklikrandjes printen) maar daar heb ik gewoon geen zin in als ik ook gewoon plastic kan krijgen.

Dus mijn gegevens hebben ze gelukkig niet.

[IHVD]

Wat voor printer heb jij dan? Kartonnen spoelen werken op onze prusa's prima. We hebben ook wel eigen spoelhouders gemaakt, maar zelfs op de standaard spoelhouder die er bij komt werken de paar kartonnen spoelen van PolyMaker / PolyLite bijvoorbeeld prima.

[leidel77]

bambu lab met AMS denk ik

[Xm0ur3r]

Om @leidel77 hierboven aan te vullen:
Kartonnen rollen kunnen problemen geven op ten duur in de Bambu Lab AMS unit. Het gruis wat door het vele rollen eraf komt kan in de tandwieltjes terechtkomen en voor vastlopen zorgen.

Ik zelf heb er inderdaad opklik randen voor geprint. Maar ik snap wel dat niet iedereen daar zin in heeft.
Daarnaast vindt ik eigenlijk Bambu filament net zo goed printen en is ook net zo duur, in veel gevallen.
Met ook voordeel dat er een nfc op zit.

[Bas_f]

Bij mijn printer (FlashForge Adventurer 5M pro) heb ik meer "last" van gruis van plastic rollen, dan de kartonnen varianten. Maar de rol hangt achter de printer, wat voor velen kennelijk een nadeel is, maar daardoor heb ik nergens last van.

Het is trouwens "op den duur" en niet "op ten duur".

[Llopigat]

Ja Bambulab met AMS zoals anderen al zeiden. Die slippen met kartonnen rollen. Ik haal ze meestal van sunlu nu, die zijn ook veel goedkoper dan die van Bambu zelf.

[iMars]

Nou ik heb totaal geen last van die kartonnen spoelen (gebruik geen eSun maar veel Polymaker). Zowel op de X1C (AMS), MK4, XL, Voron, Magneto, Zaxe ... geen issues. Hoor zoveel "horror" verhalen over kartonnen spoelen in de AMS, heb daar nooit last van gehad.

Het enige wat ik soms merk als ik wat test filament krijg van een leverancier (de wat mindere bekende merken) dat het zodanig vacuum verpakt is, dat de kartonnen randen verbuigen, wellicht dat dat ook bij eSun gebeurd?

[pirke]

@Llopigat Ik krijg gewoon plastic spoelen van ze... Prima printkwaliteit ook voor amper 15 euro/kg (in de aanbieding).

[Reactie gewijzigd door pirke op 14 oktober 2024 19:58]

[Llopigat]

Oh hoe gaat dat dan? Kan je kiezen op wat voor spoel je het krijgt? Dat is wel interessant dan want ik hoor er wel goede dingen over.

[pirke]

Geen idee, ik heb daar in totaal 2x een flinke order geplaatst in de afgelopen 2 jaar. Alles kwam gewoon op een plastic spoel. Maar als ik nu op hun website kijk lijkt het inderdaad een kartonnen spoel te zijn. Persoonlijk zou ik die liever hebben zelfs. Ik heb redelijk wat open verpakkingen in verschillende kleuren die niet meer vacuum sealed zijn en dat karton neemt eerder vocht op dan het PLA zelf gok ik zo... Ik heb altijd wel zo'n zakje hydrokorrels erbij, maar meer vocht absorberen is beter dan minder Karton is ook stevig genoeg lijkt me, er komen normaliter geen krachten op te staan tijdens het printen.

[CrystalViriS]

Hier alleen sunlu, gelukkig. Print ook prima!

[Metal spoon]

Oei, heb gelukkig geen account bij hun maar gebruik hun PLA+ filament wel veel, print prachtig

[flaskk]

Ik dacht eerst valt wel mee, maar als ik het goed begrijp waren de wachtwoorden het zelfde als het mail adres zelf?

Rob Geus vind hier wel wat van...

[admini-strator]

Ik dacht gisteren dat het een spam mail was van hun, ik dacht namelijk dat geen bedrijf in deze tijd nog je wachtwoord reset naar je emailadres