Hacker verkoopt logingegevens van overheidssites

Een onbekende hacker verkoopt op het internet databasetoegang tot overheidssites, vanaf slechts 55 dollar. Ook roottoegang tot militaire websites wordt aangeboden. Onduidelijk is of de hacker echt toegang tot de gegevens heeft.

Beveiligingsbedrijf Imperva ontdekte de website van de hacker, die voor lage prijzen toegang tot overheidssites verkoopt. Voor het luttele bedrag van 55 dollar geeft de hacker roottoegang tot de mysql-database van Michigan.gov. Ook logingegevens van sites van andere overheidsinstellingen uit de Verenigde Staten en Italië worden verkocht, waaronder ook sites van het Amerikaanse leger.

Zo kost roottoegang via ssh tot een site van het Amerikaanse leger 500 dollar. De site is op het moment van schrijven offline gehaald; het is onduidelijk of dit verband houdt met de ontdekkingen van Imperva. Ook logingegevens voor sites van universiteiten en gezondheidsinstellingen worden verhandeld, evenals lijsten met persoonsgegevens, die bijvoorbeeld voor 20 dollar per 1000 records worden aangeboden. De hacker geeft ook gratis logingegevens weg.

Het is onbekend wie de hacker is, die eveneens aanbiedt om een doorsneewebsite voor 10 dollar te kraken. Zijn website is gehost in Duitsland, maar de whois-gegevens zijn door de organisatie PrivacyProtect afgeschermd. Volgens beveiligingsexpert Brian Krebs zorgt de aandacht voor grote beveiligingsproblemen zoals het Stuxnet-virus ervoor dat deze kleinere kwetsbaarheden uit het oog worden verloren. De desbetreffende overheden hebben niet bevestigd dat logingegevens te koop stonden en het is onbekend of dit inmiddels is verholpen.

Reacties (85)

[richwish]

Het hek is blijkbaar nu echt van de dam. Vandaag in de NRC stond een goed stuk over de totaal andere wereld die wij krijgen na de 'Wikileaks'. Privacy, was al op sterven na dood en binnenkort gaan we het begraven. Misschien moeten we ook naar een maatschappij waar alle informatie 'open' is. De vraag is eigenlijk niet meer of het gewenst is maar wat we kunnen doen om gegevens af te schermen.... KAN het nog wel?

[psychodude]

In een hutje in het bos gaan wonen.... dat is zo'n beetje je enige optie. Zodra je je ook maar enigzins tot de samenleving keert verlies je vaak al snel de controle over een belangrijk deel van je privacy.

Maar een nog belangrijkere vraag is, wie interesseert het? Wat betreft het individuele belang lijkt het ver gezocht om privacy kosten wat kost te waarborgen aan de ene kant.... terwijl aan de andere kant meer dan de helft van de bevolking toch alles open en bloot loopt te verkondigen via social networking diensten.

Wordt al snel een beetje dweilen met de kraan open zo.


Wat betreft bedrijven en overheidsinstanties is het wisselend, alhoewel de toegang vaak zo gemakkelijk is relatief gezien dat de interesse tot het gesloten houden van deze informatie nu ook niet bepaald hoog lijkt te staan bij velen.


Het grootste probleem is natuurlijk we hebben altijd in vrijwel volledige anonimiteit geleefd, maar de laatste 20 jaar is het door de echte doorbraak van het internet allemaal heel snel gegaan. En daarbij is het verlies van privacy op zich niet eens zo'n punt, maar meer wat kunnen andere doen met jouw voorheen prive informatie. En met name dat laatste is vaak onduidelijk en slecht geregeld.

[kimborntobewild]

Maar een nog belangrijkere vraag is, wie interesseert het?

Criminelen natuurlijk. Die maken de gegevens te gelde.

[Shadowhawk00]

De vraag wie interreseert het nu en in de toekomst is niet te beantwoorden omdat we niet zeker zijn van die toekomst.
Nu maakt het misschien niet veel uit dat de overheid alles van je weet maar wie zegt dat er over 10jaar niet een gek aan de macht komt die daar misbruik van maakt.
Is 60jaar geleden ook gebeurt met grote gevolgen voor een bevolkingsgroep ( joden ) die er eerder geen gevaar in zagen om hun geloof te registreren.

[blouweKip]

Is 60jaar geleden ook gebeurt met grote gevolgen voor een bevolkingsgroep ( joden ) die er eerder geen gevaar in zagen om hun geloof te registreren.

Het treurige is dat dezelfde problemen nu weer opkomen (niet alleen europa maar ook de vs), maw: privacy is juist in deze tijd van de opkomst van gevaarlijke ideologieen erg belangrijk (al geeft waarschijnlijk 90% van de nederlanders er helemaal niets om)

[? ?]

Desinformatie aanbieden.
Als er maar genoeg instanties onware informatie over onze personen aanbiedt, zorgt het rommelige effect van internet er voor dat niemand op den duur nog weet wat wel en niet waar is

[Cronax]

Als je gegevens echt veilig wil stellen, encrypteer ze dan. Alle encryptie en beveiliging is te kraken maar met een deftige encryptie kost het dusdanig lang dat het de moeite niet is...

[BlueLed]

Iedereen vind dit - net als Wikileaks helemaal super, maar zo geweldig vind ik dit niet. Natuurlijk is het leuk dat het kan, dat dit soort websites gehacked worden maar hier moet wel een stop toe gezet worden. Je brengt hier gebruikers en bedrijven schade mee toe, en dat kan in heel veel vormen, ook die niet direct zichtbaar zijn.

[Zoop]

Die gebruikers en bedrijven brengen zichzelf schade toe.

Als je je voordeur van je huis openlaat staan, dan kun je zeggen dat het nog steeds even fout en illegaal is dat er iemand naar binnen wandelt. Maar dat je je deur laat open staan is natuurlijk ook gewoon slecht!

Is het niet deze hacker, dan is het wel een ander ...

Het goede van deze zaken is, dat mensen op de feiten worden gedrukt en er dan hopelijk wat aan doen. Feit blijft dat die hacker fout bezig is, uiteraard.

[DarkTemple]

Die gebruikers en bedrijven brengen zichzelf schade toe.

Pertinent NIET. Het is nog altijd de cracker die de schade toebrengt. Je kunt hooguit zeggen dat de bedrijven zich niet genoeg inspannen om het moeilijker te maken.

[Reactie gewijzigd door DarkTemple op 24 juli 2024 06:33]

[Zoop]

In de huidige cultuur waarin we leven, geldt dit dus gewoon wel. Security is niet iets van gisteren, het is iets wat al jaren loopt. Wanneer er een netwerk of werkomgeving opgezet wordt, MOET er gewoon aandacht besteedt worden aan veiligheid. Ook MOET het regelmatig bijgehouden worden. Er zijn genoeg bedrijven die hier lak aan hebben, en vervolgens ach en wee roepen wanneer het fout gaat.

Tuurlijk, het is makkelijk de schuld af te schuiven op 1 hacker, maar is het niet die ene hacker, dan is het wel een ander. Dat is de realiteit, schuld afschuiven schiet je nergens wat mee op. De mensen/bedrijven dienen gewoon zelf actie te ondernemen.

Dusja, gewoon wel eigen verantwoordelijkheid.

[Cronax]

Dit is struisvogelpolitiek, alleen omdat niemand er gebruik van maakt zijn de gaten in je beveiliging niet minder...

[Exorcist]

Je deur niet dicht doen is zelden een bewuste keuze. Evt. poorten of lekken in een website zijn geen bewuste keuze, en een ander dient dan ook niet zichzelf toegang te verschaffen.

Netter zou zijn om van je hobby een baan te maken, door bijv. overheidsinstellingen te adviseren mbt beveiliging(en) van websites. Dit is gewoon geld verdienen mbv criminele activiteiten.

[blouweKip]

Dit is vrijwel zeker een scam, maar het gebrek aan verantwoordelijkgheid wat digibete actoren in het bedrijfsleven (en de overheid) mbt persoonlijk data tentoonstellen is ook behoorlijk ernstig waardoor men de indruk kan krijgen dat dit misschien wel waar zou kunnen zijn.

Wikileaks is natuurlijk wat anders, het is ronduit treurig het niet meer over de inhoud gaat (zoals de oorlogsmisdaad waar het hele wikileaks gebeuren mee gestart is) maar napraters die zich nu in groepjes fanatici bevinden.

Eigen verantwoordelijkheid dient wel van belang te worden, niet meer andere mensen de schuld geven voor je eigen problemen, niet meer slacken als het gaat om beveiliging en mensen die pleitten tegen vrijheden niet meer zomaar achterna lopen..

[Elmo_nl]

Hahaha, ik geloof niet dat het echt is. Is het dat wel dan vraag ik mij 2 zaken af. De eerste: hoe denkt deze hacker hier ongestraft mee weg te komen? De tweede: hoe vaak veranderen de bovengenoemde instanties hun (root)/(beheer) wachtwoorden? Het zou wat zijn als het toch waar blijkt te zijn. Ben benieuwd of sites als EDP EPD en DigID ook vatbaar zijn voor zulke hacks. Zo ja, dan is echt het hek van de dam want je kunt BSN en medische gegevens niet even veranderen...

EDP = moet EPD zijn.

[Reactie gewijzigd door Elmo_nl op 24 juli 2024 06:33]

[Nickname55]

Nou dat veranderen van root wachtwoorden zal ik nog maar niet al te veel vanuit gaan. Ik denk dat er beroert weinig instanties zijn die serieus dat bijv. elke maand doen. Bovendien wat haalt het uit. Als een hacker hem eenmaal weet heeft het niet veel zin meer om em dan nog te veranderen. Dan is het tijd om het stekkertje uit de router / switch te trekken en een format te doen.

[Jeroen]

Een format doen want dat heeft nut.

[densoN]

De hacker zal dan niet snel meer binnendringen

Dat dit soort berichten op t.net wordt overgenomen verbaast me. Er is toch niet meer dan boerenverstand voor nodig om in te zien dat dit scam is. Iemand met genoeg kennis om al deze sites te hacken heeft geen dollar donaties nodig om rond te komen ,maar werkt voor een jaarloon waar Rutten u tegen zegt..

[robvanwijk]

Zodra iemand je root password heeft kun je er niet meer op vertrouwen dat je systeem "schoon" is; als je beveiliging echt serieus neemt moet je er vanuit gaan dat er een gerootkitte (onzichtbare) backdoor op je systeem zit. De enige zekere manier om die te verwijderen is door middel van een format. (Blijft de vraag over, welke backup kun je veilig terugzetten...!?)

[rorydeleur]

Die tweede vraag durf ik wel te beantwoorden, ik gok zelden tot nooit.

Als je zo'n omgeving ineens moet beheren weet je niet welke processen er afhankelijk van zijn (lees cached credentials) en hoe goed het gedocumenteerd is. Meestal is de website opgeleverd door derden, die er af en toe nog bij moeten.. etc. etc..

Er zijn genoeg redenen waarom ze niet worden gewijzigd.

[michiel_]

Ben ik nu blind of staat de daadwerkelijke site van de hacker nergens? In ieder geval, voor de mede-blinden: *knip* (via google)

Admin-edit:

Zulke linkjes willen we niet in de reacties zien, het feit dat hij niet in het artikel stond had een duidelijk hint kunnen wezen...

[Reactie gewijzigd door Dirk op 24 juli 2024 06:33]

[Barracuda]

ja, was inderdaad niet moeilijk te vinden, haal dan geen informatie weg uit de plaatjes (of doe het goed)

[Jay-v]

Ik denk dat ze de link niet voor niets weghalen. Mensen die geïnteresseerd zijn vinden het vast zelf wel via Google .

[azerty]

Gelukkig moet je gewoon de naam intikken in google die je kunt lezen als je op een fotootje klikt ^^

[Verwijderd]

Vind t juist wel super van die gast,
slimme manier om beetje geld te maken
alleen komt het ongeloofwaardig voor dat je zoiets voor 500 dollar kan kopen...
eerder een scam ofzo

maar vind het mooi dat hij laat zien dat al die overheids instellingen zo slecht beveiligd zijn.

[Malarky]

U dient nog een aantal redenatie lessen te volgen op school. Vandaag is diefstal via Internet 'slim, super en vet' omdat je ermee aantoont hoe slecht iets beveiligd is, morgen betoogd Severion dat diefstal bij de supermarkt 'slim, super en vet' is, want daarmee laat je maar weer even zien hoe makkelijk het is. De moord op de J.F.Kennedy, heeft u daar toevallig ook van genoten? Liet toch maar weer mooi zien, hoe slecht die president beveiligd was.

Ik ga er overigens vanuit dat u een trol bent, anders is het wel heel treurig gesteld.

[Reactie gewijzigd door Malarky op 24 juli 2024 06:33]

[Cronax]

Kom op zeg, er is wel even een gigantisch verschil tussen de twee. Ik geef toe dat het een dun lijntje is dat de twee schijdt maar om hacken ineens gelijk te stellen aan diefstal...ten eerste wordt er niets fysiek weggenomen, ten tweede is er nog het verschil tussen hacken en cracken.

Hacken is vergelijkbaar met binnenlopen in het witte huis, een foto nemen van jezelf in de oval office, en daarmee naar de beveiliging aldaar stappen om aan te geven dat er iets mankeert aan de beveiliging, waarbij je liefst nog aangeeft hoe je ben binnengekomen. Het gaat een hacker meer om de sport en om het beveiligingsniveau van zijn 'doelwit' te verhogen.

Cracken daarintegen is als binnendringen in datzelfde witte huis en de oval office eens flink beginnen vandaliseren, om vervolgens weer buiten te sluipen met wat gevoelige documenten om daar vervolgens nog eens je voordeel mee te doen. Hier gaat het de cracker om het aanrichten van zoveel mogelijk schade en liefst er zelf nog beter van te worden.

[Verwijderd]

Hacken is by far niet vergelijkbaar met zoiets persoonlijks (!!) als moord/diefstal, punt .

Als je een pak sokken gaat jatten bij de hema dan wordt je er constant aan herinnert dat je het eigenlijk niet hoort te doen (denk aan mensen om je heen) . Dit zorgt voor een soort schaamtegevoel vooraf en een schuldgevoel naderhand.

Hacken daarentegen doe je op een donkere zolderkamertje, je verzint een slimme manier om binnen te komen en voila; het is moord/roof/diefstal.

MAAR als je hacken tegen wilt houden dan moet je er voor zorgen dat de 'dieven' wel 15x nadenken voordat ze een 'hack' begaan. Of dat dmv extreme sancties moet is te betwisten tough.


OFFT@densoN: dat is hetzelfde als een computerleek uitleggen dat het geen proc is maar een PIV Northwood ofzo, voor de meesten is er geen noemenswaardig verschil tussen hacker/cracker. Voor de meeste mensen geld: hacker: iemand die computer beveiligingen omzeilt en eventueel bestanden jat.

[Reactie gewijzigd door Verwijderd op 24 juli 2024 06:33]

[densoN]

Zoals eerder aangegeven gaat het hier (ondanks de 'vormfout' van t.net) om een cracker en niet een hacker.

Binnen de hackersgemeenschap wordt wel onderscheid gemaakt tussen hackers en crackers. Een veelgenoemd verschil tussen hackers en crackers is dat hackers hun handelingen vaak verrichten als uiting van constructieve creativiteit ("voor de kunst van het bouwen") of als goedbedoelde handelingen (zoeken naar veiligheidslekken om deze later te kunnen dichten; soms huren bedrijven hackers in om de beveiliging van hun systemen te testen). Crackers handelen uit crimineel, ideologisch of vernielzuchtig oogpunt.
Hackers zelf noemen degenen die uit criminele oogmerken een systeem "kraken" ook wel black-hat hackers. Zelf noemen ze zich white-hat hackers, analoog aan cowboyfilms waarin de "kwaden" zwarte hoeden droegen en de "goeden" witte hoeden, ofschoon hackers zichzelf niet als zodanig benoemen. Ook zijn er grey-hat hackers, een kruising tussen crackers en hackers. Het komt voor dat crackers proberen hun activiteiten te verhullen door zich als hacker voor te doen.
Hackers hebben ook normen, de zogenaamde hackersethiek. Deze is terug te vinden in de indeling "black-hat/grey-hat/white-hat hackers". Ook is het zo dat een hacker in de wereld van de hackers status kan verwerven door zijn of haar kennis te delen met anderen. Dit doet men door opensourcesoftware te schrijven.
Woordenboeken maken geen onderscheid tussen 'goede' en 'kwade' hackers. Zo omschrijft de Van Dale een hacker als: "iem. die inbreekt in een computer om gegevens te achterhalen of te wijzigen, meestal met het doel de zwakke plekken aan te tonen". Merriam-Webster definieert de term als: a person who illegally gains access to and sometimes tampers with information in a computer system.

[Reactie gewijzigd door densoN op 24 juli 2024 06:33]

[i-chat]

hoewel ik je argumenten steun staat er in het tnet artikel ook gewoon hacker (tnet zou zich daar wellicht voor moeten schamen, als zelfs een techsite het verschil niet ziet),

maar probeer nu ajb en discussie niet te beslechten met een 'vormfout' we hebben hiet hier volgens mij allemaal over die dickhead die persoonsgegevens van 'onschuldige' slachtoffers probeert te verkopen.

[lenn2l]

maar vind het mooi dat hij laat zien dat al die overheids instellingen zo slecht beveiligd zijn.

Zijn daar geen andere manieren voor dan de gegevens van gebruikers door te spelen? Lekker doordachte reactie! Moggûh!

[Verwijderd]

blijkbaar zijn die andere manieren er niet slimmerik
dit is de enige manier waarop ze het mischien eens zullen leren dat beveiliging HEEL belangrijk is.

[lenn2l]

...lees het artikel nog eens. Een database op straat gooien oké, maar de gegevens doorverkopen? Gaat mij iets te ver om het ze op deze manier te leren!

[Verwijderd]

Haha
Nja waarschijnlijk woont deze hacker in een niet zo rijk land, en probeert zo zijn centjes te verdienen, het is niet netjes nee.
maar ik vind het vele malen erger dat overheid sites zo laks met hun beveiliging omgaan, het feit dat hij die gegevens kan achterhalen is al genoeg om geen vertrouwen te hebben in al die informatie die online wordt neergegooid...

[Gerardus]

Scam, scam, scam, en nogmaals scam.

Ik geloof er geen zak van. Ik kan ook wel een website laten hosten met "look I have got root access to www.nasa.gov!" of iets dergelijks. Koop nu en wordt gescammed, als je het mij vraagt. >.>

[Guru Evi]

Niet noodzakelijk. De meeste van die sites zijn gemakkelijk te kraken met een scriptje. Als je eens zou weten hoe slecht overheids en school/universiteitswebsites omgaan met hun beveiliging. Hier (ik werk voor een Top 25 Universiteit in de US) zijn ze onlangs gestart met het inventariseren van hun servers nadat (reeds 3 jaar geleden) hun database gekraakt werdt en er informatie van 2000 studenten op straat kwam te liggen.

Ze zijn nu pas gedaan met de inventaris en ze weten nog steeds niet wat ze hebben. Er zitten servers tussen met Apache 1.2, PHP 4.1, IIS 5 etc. Ik had onlangs een vergadering voor mijn departement met centraal IT en het enige dat ze wisten is dat ons departement een webserver had omdat ze via de firewall gezien hadden dat poort 80 en 443 open waren. Ze wisten niet eens de hostname en dat er meerdere sites draaiden alhoewel centraal IT zelf de DNS draait. En dan hebben ze enkel maar de officiele websites, sommige labs draaien hun eigen servers op een workstation.

De momentele oplossing is een $250,000 IDS van IBM te draaien die de klassieke scriptjes blokkeert.

[CMG]

Alternatief is je eigen subnet met NMAP scannen en laten inventariseren wat er draait en dan gewoon software gaan patchen?

[RvanderV]

Severon said:
Vind t juist wel super van die gast,
slimme manier om beetje geld te maken
alleen komt het ongeloofwaardig voor dat je zoiets voor 500 dollar kan kopen...
eerder een scam ofzo

maar vind het mooi dat hij laat zien dat al die overheids instellingen zo slecht beveiligd zijn.


Als dit inderdaad een scam is van een of andere cracker, hoe laat hij hiermee dan zien dat overheidsinstellingen zo slecht beveiligd zijn? Het kan aan mij liggen maar ik snap je redenatie in ieder geval niet.

Verder zijn illegale praktijken natuurlijk altijd 'slim'...

[Reactie gewijzigd door RvanderV op 24 juli 2024 06:33]

[genius66]

het lijkt me eigenlijk sterk dat het hele verhaal klopt.
mischien zullen er een paar elementen kloppen, maar stel gebruikers kunnen voor een paar dollar gevoelige informatie kopen, dan kan dit voor een paar duizend dollar doorverkocht worden aan de pers en zouden we er meer over horen niet?
of zit ik nu verkeerd te denken

[modelmark]

Ik betwijfel het ook of dit waar is. Hoe moet je hem betalen? Via paypal? Dat is toch helemaal in handen van de heersers? Lekker anoniem ben je dat achter privacy protect. De hele financieele wereld is aan de leiband der heersers gelegd, om de belastingslaven beter uit te kunnen zuigen. Nu zouden hun websites gekraakt zijn en hebben ze nog meer macht nodig. Waarschijnlijk nog grotere databases met gegevens over de onderdanen.

[MrPepper]

Het lijkt mij onwaarschijnlijk dat dit ook echt waar is. Dat hij runescape accounts heeft is alles behalve indrukwekkend (hang even een keylogger in een internetcafé en waarschijnlijk kom je dan al een heel eind) maar toegang tot zoveel overheidssites kan haast niet. Misschien dat er bij een van de sites een bug is.

Waarschijnlijk zijn er genoeg gekken die even $500 dollar hiervoor betalen en er later achterkomen dat de gegevens niet juist zijn. Je kan er dan niet mee naar de politie dus de scammer zit goed!

[Lokomoko]

Waarom zou een hacker, die zo professioneel is dat het zelfs lukt overheids sites te hacken, runescape accounts hacken? Wat is dat nou voor logica?

[Cronax]

Als hij geld wil verdienen zal hij alles wat los en vast zit cracken...

En ja, er is een wezenlijk verschil tussen hacken en cracken, zoek het ajb op.

[Tha_T]

Hij heeft in ieder geval wel op zijn free logins de hele website defaced .

[r.e.s]

Denk eerder dat dit gewoon een scam is, mensen welke 500 dollar betalen voor illegaal toegang tot een defensie website gaan echt geen aangifte doen als dit nep blijkt te zijn.