Spammers stelen e-mailadressen via Orbitz

Online reisbureau Orbitz heeft bij de FBI aangifte gedaan van diefstal van e-mailadressen door spammers, zo meldt ExtremeTech. Volgens een woordvoerdster van het in Chicago gevestigde bedrijf zou er sprake zijn van een recent beveiligingslek, waardoor derden e-mailadressen van een onbekend aantal Orbitz-klanten hebben kunnen bemachtigen. Het bedrijf, dat zo'n achttien miljoen geregistreerde gebruikers heeft, kwam achter het probleem toen diverse klanten klaagden dat zij junkmail hadden ontvangen op het e-mailadres waarmee ze zich bij Orbitz hadden geregistreerd. Hoewel totnogtoe minder dan vijftig klanten de dupe zijn geworden van de spammers, neemt het reisbureau de zaak zeer hoog op. Het bedrijf zegt dat er geen aanwijzingen zijn dat wachtwoorden of klantgegevens ook zijn uitgelekt. Het bedrijf is zelf een onderzoek gestart:

"A small number of customers have informed us that they have received spam or junk e-mail from an unknown party that apparently used unauthorized and/or illegal means to obtain their e-mail addresses used with Orbitz," spokeswoman Carol Jouzaitis said in a statement.

Reacties (23)

[a.prinsen]

ik weet precies waneer een bedrijf mijn info doorlekt..
ik gebruik namelijk mijn eigen domein naam om emails te ontvangen. Als ik dus mezelf bij een site opgeef dan geef ik met het volgende email op:

[e-mail]

als ik daar dus spam op krijg kan ik het makkelijk filteren EN weet ik wie de info heeft laten lekken..
Zoiets zal hier ook het geval zijn geweest (oid).. 50 mensen WETEN dat hun email is gelekt vanuit orbitz omdat ze spam krijgen op [e-mail] .

zodoende

[Timfonie]

Maar soms vervangen ze simpelweg de 'sitenaam' door "info". Dan weet je nog niet waar het vandaan komt en filteren wordt dan ook lastiger of onmogelijk.

[Robo]

En als je er dan ook nog de datum achteraan prikt wordt het nog mooier. Maakt het voor spammers een stuk lastiger om een goede naam te gokken en jij kan zonder problemen of nadenken meerdere email-adressen op geven!

Dus ik geef dit op:
[e-mail]

[Cavorka]

Hoewel totnutoe minder dan vijftig klanten de dupe zijn geworden van de spammers, neemt het reisbureau de zaak zeer hoog op.

totnutoe? Dasgeenwoord.
Edit: totnogtoe? Dashelaasookgeenwoord.

Maar ehm, hoe kunnen ze dit weten? Als 50 mensen op de 18 miljoen spam kregen... dat zegt dus minder dan helemaal niets.
Zoals ze ook al zeggen:

hebben kunnen bemachtigen

.
En die klanten weten dus 100% zeker dat ze dat e-mail adres alleen voor Orbitz hebben gebruikt? Een apart e-mail adres voor het aanmelden bij alleen Orbitz?

Dit rammelt.

@MaxxBass: Dit gaat over America, daar zal je dat vast ook wel hebben. Maar toch, hoe weten ze dit zo zeker? En zoals ik al zei: hoeveel procent van de mensen doet dit nou? Waarom niet gewoon op je reguliere adres? Je hebt zeker een punt, maar toch... 50 op 18 miljoen is gewoon nul... Nou ja 2.7x10^-6.

@a.prinsen: Hm, dat is inderdaad wel slim. Zou heel goed kunnen dat dat hier ook het geval is. Maar dan rijst weer de vraag: what about those other 17999950? Hebben die dan geen spam gekregen? Of valt het niet op in de melee van vandaag de dag (ja, opa vertelt) tussen alle andere spam e-mail?

Het is zou dus meer zijn (als hetgeen Weezer zegt over de systeembeheerders waar is) dat het klantenbestand is gejat... Of dit nu door spammers gebeurt, dat kunnen ze niet weten, noch zeggen, want er is niemand (50 mensen, zoals al 3 keer doogezaagd) gespammed. Om maar helemaal paranoïde te gaan: wie zegt dat ze niet gehacked zijn door concurrerende bedrijven? Of iemand uit dezelfde branche (reizen en dergelijke)?

[Anoniem: 81927]

Als jij als bedrijf zaken doet met circa 18 miljoen klanten en daar ook gegevens van bijhoud, dan denk ik dat je ook wel goede beheerders hebt die een lek vinden en kunnen achterhalen wat er uit is gehaald aan soort data.
Als je dat vergelijkt met de klachten die je krijgt dan is het bijna net zo simpel als 1+1=2 om te beredeneren dat er waarschijnlijk data is gejat.
En als je een bedrijf in de VS bent doe je er verstandig aan om direct aangifte te doen zodat je zelf niet aangeklaagt wordt door nalatigheid (of iig zodat men ziet dat je het hoog opneemt)

[IJsbeer]

Ja.. ik wou dat het zo makkelijk was... als het zo makkelijk is om je lek op te sporen, waarom doen ze het dan niet van te voren??? Dan kunnen we toch foutloze software maken! En wat was dat ook alweer... ow ja.. een utopia...

Het is via logs misschien mogelijk om zoiets te achterhalen, maar je weet niet in welke tijd het was, waar je het ongeveer moet zoeken, of het meermalen of eenmalig is, is er neit gebruik gemaakt van een bekende fout in bijv. je webserver zodat het helemaal niet gelogd is.... enz...

Dus helaas is het niet zo makkelijk als je stelt

[ronny]

maar ze hebben eerst mailtjes gekregen dat ze gespammed zijn. Daarna is waarschijnlijk de systeem beheerder gaan zoeken.
Het is altijd makkelijker zoeken als je weet waar je naar kijken moet.
En blijkbaar is er dus wel een lek gevonden, hoe ze dat gedaan hebben weet ik ook niet.
Ze kunnen natuurlijk ook geluk hebben gehad dat in het eerste logfiletje wat ze bekeken iets te vinden was.

Maar waar het om gaat is dat ze wel eerst op een spoor zijn gezet en niet uit zich zelf hebben gevonden hebben.

[MaxxBass]

Als je een adres hebt bij bijvoorbeeld tmfweb of demon, dan kun je je eigen pefix aan een adres geven: [e-mail]

Dan weet je dus waar je e-mail vandaan komt..

[leuk_he]

90% van mijn spam gaat naar "[e-mail]" dat ik ooit 1x op een nieuwsgroup heb gebruikt.

Kan er helaas niet op filteren omdat de to: zelden dit adres bevat.

[Anoniem: 9329]

Ik heb alle emailadressen van alle providers in nederland, bijvoorbeeld wanadoo:

http://www.google.com/search?hl=nl&ie=UTF-8&oe=UTF-8&q=site%3Awanadoo. nl+http%3A%2F%2F&btnG=Google+zoeken&lr=lang_nl

Zo zie je alle gebruikersnamen @ wanadoo.nl

Of @home:

http://www.google.com/search?hl=nl&ie=UTF-8&oe=UTF-8&q=site%3Amembers. home.nl+http%3A%2F%2F&lr=lang_nl

XS4All:

http://www.google.com/search?hl=nl&ie=UTF-8&oe=UTF-8&q=site%3Axs4all.n l+http%3A%2F%2F&lr=lang_nl

etc.
etc.

[reddog33hummer]

Daarmee vindt je alleen diegenen die een website hebben. Aangezien die adressen al publiek zijn gemaakt, is het niet verwonderlijk dat ze gespamd worden.

[rainmaker2k]

Afstraffen die handel. Niets is irritanter dan ongewilde post in je Inbox. En al helemaal als je geen "Nee" sticker op je e-mailadres kan plakken. Spammers zouden gewoon dikke straffen moeten krijgen voor het stalken. Waarom? Omdat ze mensen achterna zitten om hun mailadressen, zonder dat mensen dat willen. En als je dat doet, ben je dus in feite aan het stalken. Een hele groep mensen.

[voodooless]

Sinds midden vorige week is er ook een europese wet van kracht, die dit soort praktijken moet verbieden/bestraffen. Helaas zal hier waarschijnlijk weer eens weinig van terecht komen....

[voodooless]

Dat met die wachtwoorden snap ik nooit. Sla ze toch gewoon versleuteld op, en er is niets aan de had.

Verder vind ik 50 op de 18 miljoen nogal toevallig klinken... De rest zal wel door de spam bomen het bos niet meer zien Vaag is natuurlijk wel dat het lek alleen email adress heeft blood gegeven... Of men wil gewoon niet zeggen wat er nog meer buid is gemaakt.... of er is helemaal geen lek geweest... In ieder geval goed dat ze er toch achteraan gaan.

Hopen maar dat het goed komt. Dit soort email-jat praktijken zijn vreselijk irri

[Skyclad]

Wachtwoorden versleuteld opslaan is leuk, maar vergeet niet dat 99.999% van de mensen waarschijnlijk een wachtwoord van het type 'welkom69', 'wachtwoord1' of gewoon hun eigen naam hebben.

Tenzij je moeilijke passwords vereist (wat een groot deel van de (mogelijke) klanten zal afschrikken) is het niet moeilijk voor ze om wachtwoorden te krijgen als ze maar het passwd bestand in handen krijgen. Gewoon een kraak programma draaien.

Afgezien daarvan, spammers gaat het meestal alleen om die adressen, niet om de wachtwoorden. Dus ook de addressenlijst moet geencrypt staan, dat zou kunnen helpen.

[Anoniem: 14124]

Ik ben benieuwd wat er nog meer gelekt is. Tegenwoordig kun je reizen betalen met je creditcard.

Het ligt natuurlijk aan de opzet van de gegevens, of het scheiden van persoonlijke gegevens met kritische gegevens als creditcard gegevens, maar ik zou peentjes zweten als ik zojuist een reis heb geboekt met mijn creditcard bij orbitz, en toevallig een "enlarge your penis" mail krijg op mijn [e-mail] adres.

[a.prinsen]

nee hoor een telefoontje naar je creditcard maatschappij en het is kosteloos verholpen

ik zou eerder bang zijn bij het restaurant voor die kelner met een goed geheugen die jouw creditcard in zijn handen krijgt! (zoals gebruikelijk in veel landen)

het systeem van creditcards is dan stiekem zo lek als een mandje .. maar dat geeft niet omdat miljoenen mensen het gebruiken. de paar transacties die op die miljoenen transacties vals zijn nemen ze op de koop toe door de consument te verzekeren.

[memphis]

Nog maar weer eens een bewijs dat Spammers zich niet aan een normale legale methode van marketing houden.

Als ik een rechter was had ik gewoon keihard kunnen zeggen dat de opdrachtgevers opdrachten geven aan criminele organisaties en die groep hard aanpakken mede de feit dat die wel makkelijk op te sporen zijn.
Dat is namelijk ook een manier om Spam de wereld uit te krijgen.

[SkyStreaker]

Ik denk 50 'oplettende' mensen, die zich heel goed tegen spam verweren. Zoals alreeds gezegd. En dan komt er nog eens bij dat mailadressen vaak ook nog 'geruild/verhandeld' worden zodat je _nog_ meer mail krijgt, voor je eigen bestwil, jaja... Ze hebben het goed met ons voor nietwaar?

Het zal mij straks niks verbazen als elk mailadres een standaard actieve 'whitelist' heeft en alleen bij aanmelden specifieke mails doorlaat. Je zal zelf moeten aanvullen. Je kan het vergelijken met standaard de messenger-service uit hebben met WXP.

[awh84]

50 op de 18 miljoen is weinig maar er zullen er ook genoeg zijn die het niet melden, of die een goed spamfilter geinstalleerd hebben.