Internet Archive getroffen door nieuw datalek via supportplatform

Het Internet Archive is opnieuw slachtoffer geworden van een hack, ditmaal via het Zendesk-supportplatform. De hack komt kort na een eerder incident waarbij gegevens van 31 miljoen gebruikers werden gestolen.

Volgens de aanvaller zijn api-keys die bij de eerdere hack werden buitgemaakt, nog steeds niet ingetrokken door het Internet Archive. De aanvaller heeft daardoor toegang gekregen tot ruim 800.000 supporttickets die sinds 2018 zijn verstuurd naar [e-mail]. Om zijn claim te bewijzen, heeft de hacker via het Zendesk-platform e-mails verstuurd naar mensen die ooit contact hebben gehad met het Internet Archive. Dat meldt BleepingComputer, dat berichten ontving van verschillende gebruikers.

De motivatie van de aanvaller lijkt niet financieel of politiek van aard. Volgens BleepingComputer gaat het waarschijnlijk om iemand uit de hackerscommunity die status probeert te verwerven door het succesvol hacken van een grote organisatie als het Internet Archive. BleepingComputer bevestigde de authenticiteit van de e-mails via DKIM-, DMARC- en SPF-checks. Dat zijn beveiligingsprotocollen die worden gebruikt om de herkomst en integriteit van e-mails te verifiëren en om spoofing en phishing tegen te gaan.

Het Internet Archive werd eerder deze maand getroffen door een hack. De dienst is daar nog steeds van aan het herstellen. Eerder bracht het al zijn Wayback Machine terug, zij het in een read-onlymodus waarmee gebruikers geen nieuwe links kunnen archiveren. Inmiddels is dat ook gedaan voor Archive-It. Sinds deze week is ook archive.org weer beschikbaar, zo bevestigde het Internet Archive in een blogpost. Daarmee is ook het volledige archief van oude games, tijdschriften, video's en meer toegankelijk.

Reacties (35)

[Robbierut4]

"Volgens BleepingComputer gaat het waarschijnlijk om iemand uit de hackerscommunity die status probeert te verwerven door het succesvol hacken van een grote organisatie als Internet Archive."

Je zou denken dat het Internet Archive door veel hackers op handen wordt gedragen. Ook onder normale IT-ers is het voor zover ik weet relatief populair/positief.

Dus weet niet bij wat voor groep hackers je hiermee een positieve status weet te verwerven.

[Polderviking]

Opportunisme is makkelijker dan principes.

[mg794613]

" is het voor zover ik weet relatief populair/positief."

Dat is het ook, en het wordt wereldwijd gezien als het afbranden van de bibliotheek van alexandrië.
Als dit echt voor "streetcred" is, denk ik dat de hacker niet heeft behaald wat hij of zij wilde.

Sure, wellicht bij sommige werkt het, maar ik denk dat ze van zichzelf een groter target hebben gemaakt, dan als ze een staat zouden aanvallen.

[Dutch_CroniC]

Ik vind het ook raar. Las voor de eerste hack al berichten op fora dat ze IA offline wilde halen.

Maaaar gelukkig was een hacker ze al voor.
Wat een toeval zeg.

[renecl]

Kleuters waarschijnlijk
Heb totaal geen respect voor dat soort losers. Mogen ze van mij aan de hoogste boom ophangen.

Bah

[ronaldvr]

Dit is geen ' hacken', dit is vandalisme. En hoe je op zo'n manier status denkt te kunnen verwerven is me een raadsel, maar goed het puberbrein is erg lastig te controleren blijkbaar zorgt het voor dit soort excessen

[.oisyn]

Dit is geen ' hacken', dit is vandalisme.

Wat is er precies vandalisme aan het vernielen van... *checks notes*... helemaal niets?

Ben het wel met je eens dat dit nauwelijks hacken te noemen is. Maar het is ook wel erg dom van het IA om die api keys niet in te trekken

[Reactie gewijzigd door .oisyn op 22 oktober 2024 10:06]

[Orangelights23]

Het verkrijgen van toegang tot informatie en het verzenden van berichten raken zowel de C als de I van de CIA-triade; confidentiality en integrity. Dus ja, hier is sprake van schade.

[.oisyn]

En is dat de schuld van deze persoon of van het Internet Archive die verzuimd heeft de API keys in te trekken nadat ze wisten dat die op straat lagen? Die C en I waren al gecompromiteerd, daar heeft deze persoon niets aan gewijzigd. Hij heeft alleen het systeem gebruikt om die email te sturen, waardoor het nu aan het licht komt. Wie weet wie er allemaal al in de systemen heeft rond zitten neuzen.

[Reactie gewijzigd door .oisyn op 22 oktober 2024 10:11]

[Polderviking]

Een inbreker die door een open deur loopt heeft nog steeds niks in je huis te zoeken.

[.oisyn]

Klopt, dat heet huisvredebreuk. En in dit geval is het computervredebreuk (volgens de NLse wet dan). Maar kun je de context van de discussie even meenemen? Je huis was al gecompromitteerd door de deur open te laten staan, niet door de persoon die naar binnen stapt.

[Reactie gewijzigd door .oisyn op 22 oktober 2024 10:15]

[Polderviking]

De open deur vind ik voor de schuldvraag maar beperkt relevant. mensen die daar zonder bevoegdheid doorheen lopen zijn nog steeds gewoon schuldig want je kan echt wel bij jezelf nagaan dat het niet de bedoeling is.

Hacker had het ook kunnen melden dat die keys nog niet ingetrokken waren/uitgelekt waren in plaats van te gaan lopen ouwehoeren.

[.oisyn]

Zeker, maar hoe is dat relevant voor de discussie of dit vandalisme is of niet? Wat deze persoon ook beter wel of niet had kunnen doen, hij is nog steeds niet verantwoordelijk voor het feit dat confidentialiteit en integriteit in gedrang zijn gekomen.

[Reactie gewijzigd door .oisyn op 22 oktober 2024 10:20]

[svennd]

Ik vermoed dat ronaldvr doelt op het feit dat "hacken" hier nogal een sterke term is. De meeste "hacks" zijn echter de fout van een persoon. Ik weet niet of the internet archive ergens een bug bounty had, want dat had -mogelijk- echte cred opgeleverd.

[sikkwittet]

Nope, opendeur door lopen is niet strafbaar. Dat is het als die deur dicht was, en of het hek gesloten is of als je over een slootje heen stapt. Dan word het huisvredebreuk.
Echter word dit als eerste waarschuwing gezien, waarbij er 2 maal gewaarschuwd word en bij derde keer er tot aanhouding mag worden overgegaan.

Dus stap over mijn slootje heen, en dan waarschuw ik je dat je huisvredebreuk pleegt en je gaat dan nog niet weg. Dan is er bij derde waarschuwing hiervan een aanhouding mogelijk.

Is de deur open, en jij loopt binnen dan was er niet een eerste maal als waarschuwing immers de deur was open. Dus dan moet ik je tweemaal echt waarschuwen voordat ik over mag gaan tot aanhouding.

Zo mag een ook bezoeker die (betaald met een kaartje) binnenkomt niet direct aangehouden worden voor huisvredebreuk, pas dus bij de derde waarschuwing.

[kujinshi]

Dat is heel raar. Ook al zet ik mijn voordeur open, dat geeft niemand het recht om ook maar in huis te stappen. Omdat dat prive woning is.

Voor tuin snap ik het wel, anders komt de postbode en glazenwasser ook niet meer.

In het buitenland is men veel harder op prive grond/huis bezit. Hebben we hier ook nodig.

[sikkwittet]

Tja zo werkt de wet.
Heb het zelf ook niet bedacht.
Maar zo kun je door blijven gaan met alles in de wet.

[Heroic_Nonsense]

Nope, opendeur door lopen is niet strafbaar.

Dat is het wel als het gaat over een woning. Artikel 138, lid 1, van het Wetboek van strafrecht. Er worden geen voorbehouden gedaan dat een woning afgesloten moet zijn (met een deur of anders).

Het voorbehoud over afsluiten geldt wel voor een erf en een lokaal - dat moet afgesloten zijn (fysiek met een hek, poort of deur, of met borden waarop staat dat het erf of lokaal besloten is).

[Gubbel]

Sure, maar inbrekers hebben sowieso nooit iets in je huis te zoeken. Hackers hebben ook nooit iets in andermans systemen te zoeken, dat heeft er niets mee te maken.

[LTwinter]

Kleine nuance. In dat geval zou het een insluiper zijn. Daadwerkelijk een juridisch verschil.

[Orangelights23]

Ik neem het woord schuld niet in de mond, dus ik weet niet zo goed waardoor je daar aan refereert. Als ik een kraan open laat staan en ik ga op vakantie, heb ik schade; als een inbreker een raam kapot slaat en een kraan openzet voor meerdere uren, heb ik schade.

Schuld is pas een tweede, het gaat om het feit dat er wel degelijk sprake is van schade en waarbij de gaten, zoals jij ook al beschrijft, zo snel mogelijk gedicht moeten worden.

[.oisyn]

Ik neem het woord schuld niet in de mond, dus ik weet niet zo goed waardoor je daar aan refereert

De discussie was of het vandalisme was, ik zeg dat deze persoon niets heeft vernield, jij zegt dat er wel schade is. Als jij niet wilde impliceren dat het deze persoon was die die schade heeft aangericht, snap ik niet zo goed waarom je op mij reageert . Als het niet deze persoon was, dan is het dus geen vandalisme.

[Reactie gewijzigd door .oisyn op 22 oktober 2024 10:18]

[Polderviking]

Internet Archive heeft er langdurig uit gelegen. Dat is toch wel gewoon schade.

[Reactie gewijzigd door Polderviking op 22 oktober 2024 10:06]

[.oisyn]

Het gaat hier om een andere hack.

[The Zep Man]

Wat is er precies vandalisme aan het vernielen van... *checks notes*... helemaal niets?

Vandalisme hoeft geen vernielen te zijn. Je kan iets bekladden zonder dat het onderdoet van de functie van het onderliggende, op een manier dat het schoon te maken is. Dat is niet vernielen. Denk aan het bekladden van treinen of een website defacement attack.

[Reactie gewijzigd door The Zep Man op 22 oktober 2024 10:47]

[kujinshi]

Bekladden is ook vernielen, je bent het oppervlak van iets aan het kapotmaken. En men moet moeite en geld er weer in steken om het in originele staat te brengen. Dat is niks anders als bij vernielen.

[The Zep Man]

Bekladden is ook vernielen, je bent het oppervlak van iets aan het kapotmaken.

Een oppervlak is niet kapot als het zonder schade schoongemaakt kan worden.

En men moet moeite en geld er weer in steken om het in originele staat te brengen. Dat is niks anders als bij vernielen.

Dat twee zaken een gezamenlijk kenmerk hebben maakt ze niet gelijk.

[Reactie gewijzigd door The Zep Man op 22 oktober 2024 11:46]

[jetspiking]

Wat is je bron voor dat er iemand uit die leeftijdscategorie achter zou zitten?

[KingLeaf]

Sorry maar als je naar een paar weken nog steeds uitgelekt API keys gebruikt dan is dit absoluut het beste uitkomen.

[meowmofo]

De complexiteit van een hack zegt helemaal niks over de definitie van hacken.

[desalniettemin]

Keihard aanpakken dit soort figuren.

[matthigast]

Wel een klucht allemaal, waarom waren die keys nog niet ingetrokken?

Als ik overvallen word en mijn sleutels worden gestolen is de sloten laten vervangen een hoogstaand prioriteit...

[maartenvdezz]

Misschien moeten alle mensen (vooral degene die altijd zeuren over ads, a la "ja geef me dan de optie om te betalen voor de dienst") een keer doneren aan zo'n ads-vrije gratis dienst... ik weet dat ze veel support krijgen van o.a. organisaties, maar IA is gewoon een dure dienst die megaveel storage nodig heeft, en als er meer geld beschikbaar is kan er ook een groter security team komen.

[xoniq]

Volgens de aanvaller zijn api-keys die bij de werden buitgemaakt, nog steeds niet ingetrokken door Internet Archive.

Dit vind ik wel bijzonder kwalijk. “Oh er is ingebroken, deuren heb ik eruit gehaald, het komt vol in de wereldwijde media, gebeurt vast niet nog een keer, dus koop later wel nieuwe deuren, lekker fris briesje”

[RetroGo]

Naar aanleiding van de eerste hack had ik een support ticket bij IA aangemaakt aangaande de hack en dit was de reactie, waarvan ik al het vermoeden had dat deze NIET van IA kwam:

The Internet Archive Team (Internet Archive)
Oct 20, 2024, 01:08 CDT

It's dispiriting to see that even after being made aware of the breach 2 weeks ago, IA has still not done the due diligence of rotating many of the API keys that were exposed in their gitlab secrets.

As demonstrated by this message, this includes a Zendesk token with perms to access 800K+ support tickets sent to [e-mail] since 2018.

Whether you were trying to ask a general question, or requesting the removal of your site from the Wayback Machine—your data is now in the hands of some random guy. If not me, it'd be someone else.

Here's hoping that they'll get their shit together now.

Zie ook mijn melding op de zelfde dag van het aanmaken van het support ticket nieuws: Internet Archive is slachtoffer van hack, data van miljoenen gebruike...

[Reactie gewijzigd door RetroGo op 23 oktober 2024 07:13]