KPN haalt maildienst offline na publicatie accountgegevens

De maildienst van KPN is vrijdagmiddag onbereikbaar gemaakt. De dienst is offline gehaald nadat er een groot aantal accountgegevens met wachtwoorden van KPN-klanten online is gezet. Deze zouden bij de hack zijn buitgemaakt.

Webmail.kpnmail.nl en pop3.kpnmail.nl zijn sinds vrijdagmiddag niet bereikbaar. KPN heeft de mailservers uit voorzorg offline gehaald na de publicatie van wachtwoorden van mail-accounts van klanten. Verdere details geeft het bedrijf niet: net als op eerdere vragen over de hack van zijn systemen, luidt het antwoord dat het onderzoek in volle gang is en dat KPN hier verder geen uitlatingen over doet.

Diverse mensen bevestigden op Twitter, al voor het offline halen van de webmaildienst, dat de accountgegevens authentiek zijn. Onduidelijk is wie de gegevens op Pastebin gezet heeft, maar duidelijk is dat de hackers hiermee wilden aantonen dat er wel degelijk gebruikersgegevens zijn buitgemaakt. KPN ontkent dit, maar een bron van Tweakers.net vertelde dat er 16GB aan data aan een gehackte server onttrokken is.

Onduidelijk is hoe de hackers aan de wachtwoorden komen. De gepubliceerde wachtwoorden zijn relatief eenvoudig en als er gebruik is gemaakt van md5-hashes, zijn deze makkelijk via brute force te kraken. Ook is het mogelijk dat de wachtwoorden onversleuteld waren, al lijkt dit niet waarschijnlijk.

Reacties (256)

[Anoniem: 125370]

info http://www.kpn.com/corporate/Digitale-inbraak.htm

ook de home.planet.nl servers zijn offline ken niet op mijn site komen

[Reactie gewijzigd door Anoniem: 125370 op 24 juli 2024 17:22]

[R15]

Niet alleen webmail is offline, maar ook sites die bij KPN gehost zijn, zijn offline (in ieder geval de gratis sites bij home.kpn.nl).
Mijn site is vanaf omstreeks 14:00 niet meer te bereiken. Ook via FTP kom ik niet bij de bestanden.

[_Piwi_]

Admin-edit:

We werken hier niet mee aan het verspreiden van wederrechtelijk verkregen persoonsgegevens. Wie die lijst wil inzien gaat zelf maar op zoek

[Reactie gewijzigd door Rataplan op 24 juli 2024 17:22]

[Peter F]

Opvallend dat er geen @kpnplanet.nl accounts bij staan.
mogelijk hebben ze dus toch neit alles in handen gehad

[uashy]

Kan natuurlijk ook zijn, dat ze maar een beperkt aantal accountgegevens openbaar maken nu, maar dat ze wel de beschikking hebben over veel meer.

Er is 16gb gedownload en dit zijn 'maar' 539 regels... heb de indruk dat we komende dagen nog wel meer dumps gaan zien als kpn niet voldoende openbaarheid geeft en verstandig gaat handelen in plaats van proberen zich in te dekken.

[kimborntobewild]

Ontkennen dat er data is gekopieerd, is toch iets anders dan je indekken.

...heb de indruk dat we komende dagen nog wel meer dumps gaan zien als kpn niet voldoende openbaarheid geeft

Dan verwacht ik nog meer dumps; want de kans dat KPN voldoende openbaarheid geeft binnen afzienbare tijd acht ik nul .

[Xirt]

Het grootste probleem is denk ik dat KPN momenteel handelt in eigenbelang en niet in het belang van de echte gedupeerden: de gebruikers. De hackers, die zelf aangeven niet kwaadwillend te willen handelen, reageren hierop door druk te zetten op KPN om openbaarheid te geven en de waarheid te vertellen (vooral dat laatste is belangrijk, want met deze dump wordt aangetoond dat KPN heeft gelogen door te zeggen dat er niets buit was gemaakt).

[huntedjohan]

sorry maar hackers die aangeven niet kwaadwillend te willen handelen zijn geloofwaardig als ze daarna alle prive gegevens van MENSEN openbaar maken die toevallig klant zijn van KPN? volgens mij is het openbaar maken van je jatwerk toch niet echt een liefdadigheids actie of wel?

hiermee pakken ze niet alleen KPN maar ook iedereen die op die lijst staat.

[Anoniem: 444773]

Er wordt niets aangetoond, het is heel goed mogelijk, mede omdat deel van wachtwoorden foutief zijn dat dit een dump is n.a.v. een phishing aanval. KPN zet enkel uit voorzorg hun mailservers e.d. offline. Het bewijst nog niets.

[Dynacomp]

Het kan ook zijn dat ze de wachtwoorden uit de buitgemaakte verkeersdata hebben gehaald. Verkeer richting een pop server is niet geencrypt, dus daar kunnen ze dan de bij de mailadressen behorende wachtwoorden uitgehaald hebben. Zonder dat de overige wachtwoorden gecompromiteerd zijn.

[_Piwi_]

Het zijn ook maar een minimaal aantal accounts ;-) Staat er anders wel al even op, benieuwd wanneer pastebin dit offline haalt

[seapip]

pastebin haalt het niet offline tot er iemand is die het eist om het offline te halen zoals alle andere account leaks op pastebin

[Gepetto]

Als je op "create new version of this paste" klikt, dan maakt hij een nieuwe pagina aan met diezelfde lijst. Hoeveel mensen zullen dit inmiddels gedaan hebben, dus met andere woorden, hoeveel sites zijn er inmiddels al met deze lijst? Ik denk honderden, zo niet duizenden.

Het lijkt me dat het minste wat KPN kan doen is al deze mensen persoonlijk benaderen met het advies overal hun wachtwoorden te wijzigen en eventueel een nieuw telefoonnummer te neman.

[DonLexos]

Ja net ook gezien, pastebin + KPN was voldoende in Google om m naar boven te toveren, je zal erop staan (volledige NAW + email + password).. pff

Nogmaals : gebruik NOOIT ergens hetzelfde wachtwoord!

[My-life]

Als je nooit ergens hetzelfde wachtwoord gebruikt hebben veel mensen vele tientallen wachtwoorden. Hoe wil je die bij gaan houden, allemaal in een database zetten en bij elk forum waar je wilt inloggen de account gegevens gaan opzoeken?

[Rataplan]

Heb je tooltjes voor, bijvoorbeeld keepass of lastpass.

[dezejongeman]

en dat vind ik dus niet handig hdd crash en alles is weg.
ik groepeer zeg maar wachtwoorden
hoe belangrijker iets is hoe unieker het wachtwoord dan hoef je maar een stuk of 5 te kennen

[hellbringer]

Lastpass werkt zowel lokaal als op internet, je datastore is volledig encrypted opgeslagen (zelf de mensen van lastpass zelf kunnen je niet helpen als je je password vergeet)
Dus als je HD crashed heb je al je passworden nog gewoon.
Ik gebruik het al jaren, 250+ verschillende passworden zijn anders moeilijk te onthouden.

OT:
Wat is het toch ook een stelletje oplichters bij KPN "Nee er zijn geen gegevens buitgemaakt" right, als hackers ruim een week toegang hebben tot de systemen.....
Was ook zo met hun online backup dienst "Nee er is niets kwijt" (maar veel mensen waren 'ineens' hun complete backup historie kwijt)
Ik probeer zo min mogelijk zaken te doen met KPN, maar helaas kom je er vaak niet onderuit.

[Reactie gewijzigd door hellbringer op 24 juli 2024 17:22]

[kimborntobewild]

(zelf de mensen van lastpass zelf kunnen je niet helpen als je je password vergeet)

Geloof ik niet.
Lastpass kan vast sowieso je password resetten. En dus kunnen ze er (dan) ook zelf bij.

[Mmore]

Nee, je password kan niet gereset worden. Kwijt is kwijt.

Dus geloof ik het wel.

[Eagle Creek]

Dat is onzin: resetten is geen opvragen. Het kan best zo geprogrammeerd zijn dat door het instellen van een nieuw wachtwoord, het bestaande archief permanent onbereikbaar wordt.

[hellbringer]

Hoe kan Lastpass je password resetten dan? De data wordt lokaal versleuteld en geupload naar Lastpass daar staat alleen een versleutelde kopie van je 'vault'
Het resetten van je account kan alleen als je (op een vertrouwde pc) hebt ingesteld dat er een 'disabled One Time Password' opgeslagen wordt, dan kun je alleen vanaf die pc het wachtwoord resetten.

Zie ook:
http://helpdesk.lastpass....ion/why-is-lastpass-safe/
en:
http://helpdesk.lastpass.com/account-recovery/

[Franckey]

De Keepass db kan je op een USB stick zetten die je met TrueCrypt beveiligd.

[ShadyNetworker]

Da's dubbelop. Keepass DB wordt al versleuteld opgeslagen. Natuurlijk is een extra laag nooit weg, maar het is niet nodig.

[Franckey]

Je hebt gelijk. Wat ik eigenlijk doe is dat ik een usb stick heb met een backup van belangrijke data en dat de Keepass db onderdeel is van die data.
De manier waarop je met TrueCrypt een USB stick beveiligd vind ik overigens wel briljant. Een vinder weet niet eens dat er data op staat. Windows zegt meteen: "onbruikbaar medium, zal ik het formatteren?"

[HoeZoWie]

OffTopic:
Dat is niet dubbelop, dat is extra zekerheid omtrend beveiliging van de backup:
- USB-Stick is de Backup,
- TrueCrypt is de Beveiliging van die Backup
(voor als die fysiek in verkeerde handen valt)

Edit:
Niet goed gelezen, mijn opmerking is eigenlijk overbodig door: Franckey....

[Reactie gewijzigd door HoeZoWie op 24 juli 2024 17:21]

[Whieee]

Is niet van toepassing bij Lastpass (data staat niet alleen maar op je harddisk). Persoonlijk gebruik ik 1Password, en sync ik mijn passwords naar een encrypted volume in dropbox.

[BeosBeing]

En Dropbox geeft jouw info aan NSA, FBI en CIA dus tenzij jij die encryptie er zelf op zet, dus buiten Dropbox om, kunnen zij overal aan.

[Shamalamadindon]

Je kunt die databases ook opslaan in een dropbox map.

[Gepetto]

Handig als je het wachtwoord van je internet account kwijt bent.

[Eagle Creek]

Dan vraag je even aan de buren of je daar in mag loggen, of kijk je op je werk, of op je mobiel... "beschikbaarheid" is dan wel een van je minste zorgen. Wanneer je specifiek over dropbox praat, zou ik me meer zorgen maken over de opslag aldaar, en de communicatie van hier naar daar.

[supersnathan94]

maakt niet uit. staat namelijk ook gewoon offline opgeslagen op je PC, maar om nou te stellen dat dat echt veilig is voor wachtwoorden vind ik niet.

[ASS-Ware]

en dat vind ik dus niet handig hdd crash en alles is weg.

Wat dacht je van een backup ?

[ppl]

Non-argument aangezien je altijd dient te backuppen als je gegevens (wat voor gegevens dan ook!!!) je lief zijn. Sterker nog, je bent wettelijk verplicht om bepaalde data te behouden voor x aantal jaar. Dat geldt niet alleen voor dingen als brieven van de belastingdienst maar ook je digitale aangifte e.d. Als je hdd crasht en alles weg is dan is dat geheel en volledig op je eigen conto te schrijven. Niet backuppen is hetgeen wat niet handig is en niet alles in een password app stoppen is juist [i[wel[/i] handig. Je moet wel met je vinger naar het juiste probleem wijzen!

[Reactie gewijzigd door ppl op 24 juli 2024 17:22]

[ShadyNetworker]

Zoals al gemeld, je kunt je data opslaan in een cloud, zoals bijvoorbeeld via Dropbox.
Sowieso, van belangrijke data heb je een backup op een aparte drager. Bijvoorbeeld een USB stick. Of een externe harde schijf. Of beide.
Verder is de zwakste factor ALTIJD de mens.

De meeste mensen willen er niet aan om een lang wachtwoord te bedenken, "want omg dat onthou ik noooooooit". Luiheid en gemakzucht dus. Totdat ze ineens slachtoffer zijn, want ze gebruikten overal hetzelfde makkelijke wachtwoord.
Wat trouwens ook niet helpt is dat wereldwijd nog steeds bar slechte regels voor het opstellen van een wachtwoord worden gegeven. Minstens 8 tekens. Tenminste 1 cijfer en 1 hoofdletter. Niet gelijk aan je laatste 3 wachtwoorden. Geen wonder dat mensen dan steeds hetzelfde makkelijke wahctwoord gebruiken.

Laatst met die sweep van Tweakers was ik toch erg blij met de suggestie om een kort zinnetje oftewel een passphrase in te stellen. Als je dit ook nog eens in een andere taal doet dan engels of Nederlands, slimme vent die dat brute forced
Enige argument dat nog kan overblijven is dat je misschien 3 seconden langer moet typen voordat je op Facebook kan. Boehoe

[Anoniem: 126717]

DigiD heeft een maximum van 8 karakters...
Ik wist niet meer welk wachtwoord ik had, en moest jaaaaaren terug grijpen. Ik gebruik Lastpass en mijn wachtwoorden zijn normaalgesproken 16 karakters lang. En per site verschillend.
En DigiD is overheid.... Jammer dat je dan geen veilig ww kan hebben.

[W.Wonderland]

DigiD maximum 8 karakters????
Vreemd mijn wachtwoord bestaat uit 15 karakters en hier nog iemand met er één van 17 karakers. Inlognamen ook langer dan 8 karakters.
Misschien dat alleen de eerste 8 gebruikt worden maar ik kan gewoon die 15 karakters invoeren.

[deltaVsquared]

Mijn DigiD wachtwoord heeft anders 18 karakters... Get your facts straight!

[ShadyNetworker]

Tnx voor de update. Misschien dan toch ens mn wachtwoord versterken...

[lameeuw]

digid met 33 karakters wachtwoord... werkt al sinds het begin ?

[bbob]

Je kan een combinatie maken van een vast password met iets van de website waarop je in moet loggen.

[kimborntobewild]

Stel je ene password is kr48gglj52$3gjg45%paypal.
Je password op google is dan kr48gglj52$3gjg45%google?
Dan geldt nog steeds: er hoeft maar 1 password te lekken, en je bent 't haasje.

[Mic2000]

Dan kan je beter het woord google of paypal verkleinen tot 1 of twee letters. Bijvoorbeeld:

Standaard woord: kr48gglj52$3gjg45%

plus laatste letter of twee letters van domein:

Google -> kr48gglj52$3gjg45%le of kr48gglj52$3gjg45%e

Paypal -> kr48gglj52$3gjg45%al of kr48gglj52$3gjg45%l

[nuuwnhuusk]

Zelfde websites, zelfde wachtwoord maar dan minder duidelijk.

krP48ggljl52$3gjg45%
krG48gglje52$3gjg45%

Je hoeft niet de hele naam te gebruiken, je kunt ook letters op vooraf bedachte plaatsen zetten.

[FireDrunk]

Jij denkt dus dat hackers in al die (100-den, 1000-den, miljoenen) wachtwoorden gaan kijken of ze er 1 kunnen vinden waar ze misschien per ongeluk express wel kunnen raden wat het wachtwoord is van hun andere accounts? Echt niet, veel te veel moeite.

[PilatuS]

en dat vind ik dus niet handig hdd crash en alles is weg.

Je maakt dus nooit ergens backups van.

[Anoniem: 329694]

KeePass is echt superhandig, ik maak er zelf ook gebruik van. Sinds ik het programma gebruik heb ik voor iedere website een unieke wachtwoord, en geen makkelijke.. maar denk aan wachtwoorden die tussen de 20 - 60 karakters heeft.

De 60 haal ik niet, want dat doe ik de databases niet aan ( die geen encryptie hebben ). Maar zo ben je wel zeker van je zaak!

[JivZ]

Dat is anders een stuk gemakkelijker dan je denkt. Ik gebruik zelf Keepass hiervoor, en merk eigenlijk nauwelijks vertraging in mijn surfen.

[Anoniem: 399807]

Nee, je zet alles lekker ouderwets op papier. En dan lees je het van papier af en voer je het in. Dat is het veiligst.

[BeosBeing]

Tot je papier tussen een stapel zoek raakt, nat wordt, verbrand of wegwaait. Daarnaast kan iemand anders het ongemerkt overschrijven en er daarna geen acht meer op slaan.

[nuuwnhuusk]

Ik heb 3 verschillende basiswachtwoorden, deze variëren in lengte de langste worden gebruikt bij belangrijke websites.

Verder gebruik ik in mijn wachtwoord op bepaalde plaatsen enkele tekens uit de URL. Om het duidelijk te maken even een voorbeeldje..

tweede en laatste teken URL: tweakers.net
op 5e en laatste plek in wachtoord: xxxxWxxxxxS

Zo word het heel makkelijk te onthouden, en heb je wel vrijwel overal een ander wachtwoord.

[HoeZoWie]

Ik doe ook zo iets, maar dan anders:
Ik gebruik meerdere woorden met vreemde en koppel-tekens, en
vervang alle eerste 2 (mede)klinkers in elk woord met een cijfer of
een vreemd teken (waar kan), zo als:
0=O, l=1.Z=2, E=3, 4=h, 5=S, 6=b, 7=V, 8=B, 9=g, a=@, B=ß, c=©, R=®
Hierdoor blijft het door de koppeltegens en 'cijfers' logisch leesbaar,
en dus makkelijk 'overtypbaar' zonder te hoeven 'copy - pasten',

Ik verhoog de moeilijkheidsgraad, door een emotie van mijzelf toe te voegen
aan het woord, door de betekenis te reflecteren bij wat ik er bij voel:
Ik ben bv een '' koffieleut'/koffie-fan en koop graag een goed apparaat hiervoor:

"Koffieboonmaalmolen"
wordt:
'K0ff1e-ß00n~M@@l_M0l3n'!¡

(26 Karakters, goed te onthouden, simpel te typen.)

[Franckey]

Ik gebruik Keepass om passwords te genereren en het Master Password in Firefox om de passwords automatisch te laten invullen bij websites.
http://luxsci.com/blog/ma...efox-and-thunderbird.html

[Dykam]

Ik gebruik PasswordMaker, nog steeds 1 master wachtwoord, echter is die gehashed met de site als salt. Je kan zelf de lengte en het hashalgoritme kiezen.

Er zijn verscheidene plugins en er is een web/javascript versie.

[Ulysses]

Tip: Notitieboekje. Zo veilig als de rest van je huis.

[Gertjezzz]

Wat dacht je van papier en pen?

Edit: Te laat...

[Reactie gewijzigd door Gertjezzz op 24 juli 2024 17:22]

[Anoniem: 114278]

Hopelijk krijgt KPN een verschrikkelijk dikke boete vanwege het niet up to date en dus niet veilig houden van hun servers.

Privacy van klanten schijnt niet hoog in het vaandel te staan bij KPN.

[Amrod]

Leuk idee, wie denk je dat dit uiteindelijk gaat betalen? Eigenlijk zouden dit soort boetes uit de zak moeten komen van degene die er verantwoordelijk voor zijn.

[Franckey]

En als de overheid geen zaak tegen KPN begint hoop ik eigenlijk dat er een aantal klanten zijn die een civiele zaak aanspannen tegen KPN. Ik denk dat je als consument best nog wel een kans maakt als een bedrijf zo slordig (opslaan van passwords) met je gegevens omgaat.

[GeeBee]

Volgens mij moet je inlognaam en ww hetzelfde zijn als dat van je modem.
Daar ga je dus al...

[Franckey]

Da's toch ouderwets? Ik zit bij dochter XS4ALL en daar hoeft al jaren geen password in je modem te staan voor je ADSL verbinding. Door je fysieke aansluiting weten ze toch al wie je bent en welk abbo je hebt.

[VeterisVulpes]

In België moet dat altijd, zowel bij Belgacom, Telenet als bij de kleinere ISP's.

[zvbhvb]

Ga er altijd van uit dat er wel iemand mee kijkt en gebruik pgp of gpg wanneer je een beetje privacy wilt.

[Franckey]

Wow... eigenlijk heel slecht dat je dat hier post, maar ik kon het toch niet laten om even te kijken... bizar... vooral omdat het ook passwords bij staan. Het zou wettelijk verboden moeten worden om passwords van klanten op te slaan.

[Zoefff]

Onduidelijk is hoe de hackers aan de wachtwoorden komen. De gepubliceerde wachtwoorden zijn relatief eenvoudig en als er gebruik is gemaakt van een md5-hashes zijn deze makkelijk via brute force te kraken.

Het lijkt mij persoonlijk sterk dat de wachtwoorden versleuteld waren en dat de hackers de moeite hebben genomen om deze eerst te decrypten.

Zeer kwalijk dat iedere huis-tuin-en-keuken-programmeur inmiddels al heeft geleerd dat het opslaan van plain-text wachtwoorden een no-go is, en dat een groot bedrijf als KPN deze basale regels aan zijn laars lapt.

Los daarvan is het natuurlijk duidelijk dat, als deze lijst inderdaad authentiek is, alle wachtwoorden van de gebruikers eigenlijk niet meer bruikbaar zijn. De enige juiste oplossing die ik zie is het resetten van alle wachtwoorden en de gebruikers per brief op de hoogte stellen van een nieuw wachtwoord. Maar dat impliceert indirect dat ze daarin ook nog meer publiciteit aan de hack moeten geven, iets wat ze volgens mij juist liever niet doen om 'paniek te voorkomen'

De lijst geeft overigens ook weer een interessant inzicht in de zwakte van de gemiddelde wachtwoorden die 'we' verzinnen. Het meestgebruikte 'welkom' zit er niet tussen, maar veel eenvoudige wachtwoorden met (delen van) de naam of een combinatie van naam / telefoonnummer / geboortedatum zijn volop aanwezig. De bekende 'qwerty' is uiteraard aanwezig. Bonuspunten voor * met een wachtwoord '*' als samentrekking van zijn voor- en achternaam!

Gevolgen van deze hack zijn trouwens nog veel verder strekkend dan KPN alleen. Zoals onder andere @AlexanderNL al bevestigd gebruiken veel mensen hetzelfde wachtwoord voor meerdere services. In combinatie met de beschikbare email adressen, lukt het na een paar pogingen al om met deze gegevens in te loggen op Marktplaats, Facebook en weet ik hoeveel andere diensten.

edit:
Herleidbare naam / wachtwoord maar even weg-geëdit.

[Reactie gewijzigd door Zoefff op 24 juli 2024 17:22]

[HoppyF]

Plain text wachtwoorden opslaan zou natuurlijk echt pas schandalig zijn. Laten we hopen dat dit niet waar is.
Verder zijn de getoonde wachtwoorden wel erg simpel zoals je zegt.
Het is bijna niet voor te stellen dat dit echt de wachtwoorden zijn die men gebruikt.
Door zomaar een voornaam te gebruiken maak je het hackers wel heel erg makkelijk.
Misschien is deze lijst toch een hoax maar dan wel een goede omdat het mensen wijst op de zwakheden in het systeem.

[Sorcerer8472]

Als md5 opslaan (zonder salt) is eigenlijk even erg hoor, en met salt hadden ze er niet zo veel kunnen bruteforcen...

[Gepetto]

Hoe moeilijk is het om wachtwoorden van 6 of 7 karakters te bruteforsen?

6 karakters met alleen (kleine) letters en cijfers levert 6,1 miljard mogelijke combinaties. Nou niet echt een astronomisch getal voor de huidige cpu's. Half uurtje per wachtwoord moet haalbaar zijn lijkt me. Als het Anonimus is geweest, dan kunnen ze dit eventueel ook nog distributed doen en heb je er zo een paar honderd per dag gedecrypt.

[Franckey]

Bruteforsen van passwords op een website wordt hopelijk voorkomen door met een max aantal login pogingen te werken of een steeds groter wordende interval tussen pogingen.

Maar na alle berichten geloof ik niet dat KPN een dergelijke beveiliging tegen bruteforsen van passwords van passwords heeft.

[Elmo_nl]

Als md5 opslaan (zonder salt) is eigenlijk even erg hoor, en met salt hadden ze er niet zo veel kunnen bruteforcen...

Wellicht publiceren ze juist enkel en alleen die wachtwoorden die ze tot nu toe wel hebben kunnen achterhalen middels bruteforce en zie daar de verklaring voor 'maar' zo weinig gegevens. Vergis je niet dat je met een low-budget pc + mid range videokaart en de juiste software (zowel voor het kraken zelf, de dictionary/word files + sl33t rules en cuda/opencl support) al snel alle 8 character wachtwoorden te pakken hebt. Heb je een botnet of een andere vorm van veel rekenkracht onder je beheer gaat het alleen maar nog sneller.

[Crazy Harry]

Als ik de wachtwoorden van mensen die ik help met hun computer vergelijk, is het niet moeilijk voor te stellen dat dit de gebruikte wachtwoorden zijn.
Men komt echt niet verder dan de getoonde wachtwoorden helaas.
En daar kan je ze duizenden keren op wijzen, het enige dat je te horen krijgt, is dat je niet moet zeuren...

[ger0448]

ik als klant van kpn was er van verbaast dat toen ik mijn ww veranderde ik het via de post thuis kreeg waar ik mijn ww in had veranderd......
dus ik vermoed wel degelijk dat als je toegang tot de DB hebt gewoon de ww in plain text kan bekijken

[ultimasnake]

De brief zou eventueel tegelijk met je wijziging op de DB kunnen plaatsvinden, een pdfje direct genereren aan de hand van de post data en die laten drukken in hun fulfillment center (gokje) en daarna beveiligd opslaan... AL betwijfel ik het ook hoor...

[Flozem]

inderdaad - gewoon onaangetekende brief met daarin zowel password als username....

Wat is er mis met namen en jaartallen + tekens? Als de hacker in kwestie jou niet persoonlijk kent, en die gegevens nergens uit kan halen, wordt je password er niet makkelijker van.... het blijven dan "random" tekens die alleen door brute-force attacks te kraken zijn.

Niet overal hetzelfde password gebruiken, en geregeld het password aanpassen is nog het beste dat je zelf voor je privacy kunt doen.

En ach - ieder password is wel te kraken met een brute-force attack. Duurt misschien iets langer. Daar staat tegenover dat je account bij een beetje provider na een x aantal pogingen wordt geblokkeerd.

[Reactie gewijzigd door Flozem op 24 juli 2024 17:22]

[Gertjezzz]

En dan nog de 06-jes die erbij staan...

OT: ik vind het goed dat er wordt aangetoond dat een bedrijf als KPN, na meerdere bekende problemen met de gehackte server, ook niet altijd alles op orde heeft. Dat de buit gemaakte data dan weer open en bloot op straat komt had nou ook weer niet gehoeven.

"De hack heeft plaatsgevonden in een onderdeel van het KPN-netwerk dat voor veel verschillende zaken wordt gebruikt. Dat varieert van Internetplusbellen tot het aan- of afsluiten van internetklanten." http://www.nu.nl/internet...ooft-beterschap-hack.html
Met deze gegevens is niemand meer zeker met het internet dat KPN levert.

"Ook zou er wel degelijk informatie zijn gedownload, maar liefst 16 gigabyte aan gegevens. Volgens de hacker is die informatie inmiddels vernietigd omdat ze alleen de 'zwakheden wilden blootleggen' en geen kwaad in de zin hadden." http://www.rtl.nl/(/actue...had_erger_kunnen_zijn.xml

Goed dat de hacker niets met de data doet, maar anderen die dit eventueel in handen kunnen krijgen?

[Reactie gewijzigd door Gertjezzz op 24 juli 2024 17:22]

[Rekcor]

@superbig91: vind je niet dat je een beetje onethisch bezig bent om die link hier te pasten? Nu doe je mee aan het schenden van de privacy!

[Gepetto]

Als niemand hier op Tweakers had geweten hoe Google werkte had je gelijk gehad, maar wat maakt het nou voor verschil om die link te posten of zelf even pastbin en kpn in Google in te typen?

[kimborntobewild]

Dat maakt principieel gezien een groot verschil.
In het eerste geval is Tweakers (mede)verantwoordelijk; in het tweede geval niet.

[Gertjezzz]

Misschien is hij de hacker wel, je weet maar nooit

Maar ik ben het met je eens, die link had hier niet hoeven staan!

[Andros]

Het zou die ratten sieren als ze dat ding meteen offline halen en de gegevens bij de KPN mensen onder de neus schuiven. Niemand heeft er baat bij om andermans gegevens zomaar openbaar te gooien, al helemaal geen wachtwoorden.

[densoN]

nieuws: Hacker had toegang tot privégegevens KPN-klanten - update

Volgens woordvoerder Patrick Mikkelsen van de provider kon de hacker bij klantgegevens. Het ging onder meer om naw-gegevens, telefoonnummers en bankrekeningnummers. "Uit onderzoek is niet gebleken dat de gegevens zijn misbruikt of gekopieerd", zegt hij.

KPN probeerde dit incident dus onder het kleed te schuiven uit vrees voor gezichtsverlies. In mijn ogen moet een organisatie altijd transparant zijn naar hun klanten toe wanneer hackers toegang hebben (gehad) tot hun klantgegevens. In dit geval had men namelijk al hun gegevens kunnen wijzigen voordat deze werden gepubliceerd.

[.oisyn]

Uit onderzoek is niet gebleken dat de gegevens zijn misbruikt of gekopieerd

Ik zie niet helemaal in hoe het transparanter moet zijn. Ze hebben onderzoek gedaan, maar daarmee hebben ze niet kunnen vaststellen of de gegevens zijn gekopiëerd. Dat jij die zin interpreteert als "uit onderzoek is gebleken dat de gegevens niet zijn gekopieerd" is je eigen fout.

[Reactie gewijzigd door .oisyn op 24 juli 2024 17:22]

[kimborntobewild]

In het artikel staat anders duidelijk: "...dat er wel degelijk gebruikersgegevens zijn buitgemaakt. KPN ontkent dit, ..."

[Zer0]

Wat in het artikel staat komt uit de pen van de schrijver, niet uit de "mond" van KPN.

[kimborntobewild]

Dus volgens jouw liegt Olaf van Miltenburg in dit artikel .

[Anoniem: 126610]

Ehh, die hackers zeggen dat ze 16 gig hebben gekopieerd.

KPN zegt van niet.

De ratten leveren het bewijs: KPN liegt

En wie was volgens jou de rat? Hadden die hackers naar KPN moeten stappen, dat al heeft aangekondigd de hackers te willen laten vervolgen? Wat verwijt je de hackers? Dat zij begonnen met terugslaan? KPN was verantwoordelijk voor de beveiliging van mijn gegevens, niet die hackers.

[Andros]

Leuk en aardig. Ga er mee naar de politie, de NMa, de OPTA, de weet ik het wie maar gooi het NIET openbaar of eventueel geblurred/gecensureerd zoals het screenshot hierboven. Nu pakken die scriptkiddies er onschuldige mensen mee en dat is hier NOOIT de bedoeling.

[Anoniem: 16536]

Leuk en aardig. Ga er mee naar de politie, de NMa, de OPTA, de weet ik het wie maar gooi het NIET openbaar of eventueel geblurred/gecensureerd zoals het screenshot hierboven. Nu pakken die scriptkiddies er onschuldige mensen mee en dat is hier NOOIT de bedoeling.

Die kiddies "pakken" helemaal niemand, de mensen die deze gegevens gaan misbruiken "pakken" mensen. En KPN "pakt" mensen door vertrouwen te kweken maar niet betrouwbaar te zijn. De hackers valt niets te verwijten, al helemaal niet omdat KPN ze direct maar voor het gerecht wil slepen in plaats van ze gewoon netjes in dienst te nemen als beveiligers, of gewoon contact met ze op te nemen om te vragen hoe het dan zit.

[Martreides]

KPN heeft geen enkele keuze wat betreft het wel of niet vervolgen van de hackers. Dit is een eis die elke verzekeringsmaatschappij stelt, mogelijke schadeclaims worden anders niet uitgekeerd.

[Xubby]

KPN heeft het er zelf naar gemaakt: keihard zeggen dat er niks is gedownload aan gegevens ...
Dan vraag je om publicatie van klantgegevens.
Het was wel netjes geweest als de wachtwoorden deels verminkt werden.
Voor de rest: bij een bedrijf dat gewoon lijkt te liegen over meerdere zaken, laat de inbraak meld, en zegt dat er geen data is opgehaald: volkomen terechte publicatie. Eigen schuld, dikke bult, voor KPN.

En wat betreft de "slachtoffers" van de publicatie: weer de gebruikelijk verzameling "simpele" wachtwoorden waar je niet goed van wordt.

Edit:
Naar nu blijkt zijn de gepubliceerde gegevens niet van KPN, maar zijn het klant gegevens van baby dump, met een kpn e-mail adres. De aanleiding voor het publiceren van juist deze gegevens is voor speculatie vatbaar.

[Reactie gewijzigd door Xubby op 24 juli 2024 17:21]

[HoppyF]

Ik ben voor transparantie en ook voor plaatsen van dit soort artikelen. Zonder wachtwoorden uiteraard.

[Reactie gewijzigd door HoppyF op 24 juli 2024 17:22]

[G70boX]

Wachtwoorden zijn blijkbaar unencrypted. Is dit iets specifiek voor mail servers, of nalatigheid van KPN?

[Maxxi]

Of ze zijn gedecrypt..

[DonLexos]

Dan zijn ze niet geSALT, want er staan non-dictionairy wachtwoorden tussen met getallen erin, die staan niet in de rainbow tables.

Tenzij je van een systeem de SALT af zou kunnen plukken natuurlijk .. maargoed, KPN zal ook post versturen (post post, dus met postNL) met je l/p erin om je te informeren, dus ergens in dat proces is het ww ook unencrypted beschikbaar,

[Aesculapius]

Het lijkt erop dat KPN deze wachtwoorden inderdaad unencrypted opslaat.
Toevallig vorige week nog bij een klant het verhaal moeten horen dat na veel problemen een mailbox opnieuw werd aangemaakt. Er werden toen een aantal brieven verstuurd met account gegevens, waaronder hetzelfde wachtwoord als dat deze klant in kwestie enkele jaren geleden opgegeven had.

Als KPN dat wachtwoord plain text in een brief kan zetten, moeten ze het dus ergens unencrypted hebben staan... en daar zal dit account echt geen uitzondering op de rest zijn.

Ronduit triest dat dit nog voorkomt anno 2012...

[werchter]

Als KPN dat wachtwoord plain text in een brief kan zetten, moeten ze het dus ergens unencrypted hebben staan... en daar zal dit account echt geen uitzondering op de rest zijn.

Er zijn ook andere manier om iets te versleutelen dan een one-way hash, zoals symmetric key encryption.

Ik geef toe, het is niet waarschijnlijk dat men deze methode gebruikt voor opslaan van wachtworden (de sleutel moet dan immers ergens ook opgeslagen worden, en kan dus door hackers worden buitgemaakt), maar we kunnen het niet uitsluiten.

[Reactie gewijzigd door werchter op 24 juli 2024 17:22]

[HoppyF]

Bron: http://www.telegraaf.nl/b...reigt_met_celstraf__.html

OM dreigt journalisten met celstraf

AMSTERDAM - Het Openbaar Ministerie (OM) dreigt met celstraffen voor iedereen die gebruik maakt van de gestolen gegevens van KPN-klanten. Ook journalisten die gelekte gebruikersnamen en wachtwoorden 'uittesten' op andere sites (zoals Marktplaats en Facebook), riskeren vervolging en zelfs celstraf.

“Dat is gewoon inbreken en dat is strafbaar óók voor journalisten”, aldus een woordvoerder van het Landelijk Parket tegenover NU.nl.

Vier jaar cel

Volgens de zegsman hebben diverse 'inbrekers' al gebruik gemaakt van de gegevens. "Wie inlogt riskeert twee jaar cel en wie gegevens wijzigt riskeert vier jaar cel", luidt zijn waarschuwing.

Vrijdagmiddag werd bekend dat de hackers privégegevens van ruim vijfhonderd klanten op internet hebben gezet. Het gaat om voorletters, achternaam, geslacht, adres, postcode, woonplaats, 06-nummer, e-mailadres en wachtwoord.

De omgekeerde wereld...
Het OM zou KPN moeten aanpakken voor het onveilig opslaan van klantengegevens.
Natuurlijk is het misbruik maken van accounts strafbaar maar de oorzaak van het probleem zit niet bij de journalisten maar bij KPN zelf.

[Master_duck]

De Politie die blaft maar wat maar dat moeten ze ook. anders gaat iedereen aan de haal met die gevens. Als je een sleutel vind op straat en je probeerd deze bij de dichtbij zijnde huis en die gaat open heb je nog niet ingebroken.
Dit heet huisvredebreuk / computer vredebreuk of account vredebreuk. pass wanneer je misbruik van gaat maken wordt het wel erger en dan gaat het verhaal van de politie wel op.

Hoe dan ook. je moet het niet proberen. want je haalt wel de ellende op je. ook al heb je toch gelijk.

verder valt het op dat vele bedrijven gekraakt/hacked wordt. En ik maak me daar wel grote zorgen over. zeker nu de laaste tijd dat bedrijven zoals KPN die Getronics als ict service verlening heeft zou alles tip top moeten zijn. Laten we het hopen dat het laks heid is van KPN. Anders kunnen we terug naar onze overschrijf boekjes want de banken zouden dan geen haar veiliger meer zijn. Maar hier kraait niemand naar of wordt het de kiel in gesmoren.

[Soldaatje]

Hier een directe link naar het nu.nl artikel:
http://www.nu.nl/tech/273...isbruik-gegevens-kpn.html

Zijn organisatie heeft inmiddels vastgesteld dat diverse mensen hebben ingelogd en stelt dat daar nu ook aandacht voor is. “Wie inlogt riskeert twee jaar cel en wie gegevens wijzigt riskeert vier jaar cel.”

NOS-medewerker Rachid Finge van de NOS zegt op Twitter in te hebben gelogd bij Marktplaats. Ook internetexpert Alexander Klöpping heeft ingelogd. “Ik heb al met verschillende gegevens kunnen inloggen op marktplaats / Facebook accounts. Mensen gebruiken overal zelfde wachtwoord”, schrijft hij op Twitter.

Dus straks NOS journalist en Alexander de bak in, haha.

[chielsen]

Als je met de juiste gegevens inlogt, dan is het toch in ieder geval geen inbreken. Misschien computervredebreuk, maar zelfs dat lijkt me niet aan de orde.

Verder vind ik dat een journalist best mag testen of dit werkt, als deze verder geen schade toebrengt en dit voor journalistieke doeleinden doet.

[Franckey]

Dus als een journalist jouw huissleutel op straat vindt mag hij ook gewoon even rondkijken in jouw huis?

[Freakertje]

1) Het gaat hier niet om een losliggende sleutel, maar om een loper waarmee je zomaar bij zeg eens 12% van de bevolking binnen kunt komen.
Het verschil is dat jouw verloren sleutel geen nieuwswaarde heeft. Als de sleutel geprobeerd wordt om de eigenaar terug te vinden, heb ik er geen probleem mee, maar binnentreden en rondkijken op dat moment wel.
Bij de loper kan aangetoond worden dat je zomaar overal binnen kan komen. En dat heeft wel degelijk nieuwswaarde. Je gebruikt de sleutel dan niet om de eigenaar terug te vinden, maar om aan te tonen dat er structureel iets fout zit.

In beide gevallen blijft inloggen in het witte gebied, zolang je intenties maar goed zijn. In het geval van de individuele sleutel is dat echter moeilijk aan te tonen, in tegenstelling tot de loper (als je journalist bent).
In beide gevallen is het binnenlopen een grijs gebied, waarbij je afhankelijk bent van de eigenaar of die erover valt (een aanklacht indient) ja of nee.
In beide gevallen is het openbaar maken van zaken (privacy) en gebruiken / misbruiken van dingen voor mij in ieder geval een zwart gebied

2) Dus jij bent tegen de acties van Alberto Stegeman met Undercover in Nederland? (en pik dan niet 1 specifieke actie eruit, maar alle: Schipholbeveiliging, drugs kopen, heling van Ikea spullen, kinderporno bekijken, etc. etc. etc.)

[Deem]

Oohjeej we gaan allemaal de cel in. help...

[REDFISH]

Ze moeten sowieso mailservers bij providers afschaffen. Gaat altijd wat mis en dan zitten meteen weer een half miljoen mensen zonder mail. Neem gewoon een gmail of hotmail adres.

[kwakzalver]

Erg kortzichtig, ook Gmail and Hotmail hebben een historie van hacken. Google er maar eens op.
Als je het goed wilt doen moet je alle mailservers afschaffen.....lekker rustig opeens...

Hacken zal altijd gebeuren. Het blijft gewoon een wedstrijd tussen beveiligen en gehacked worden.

Laten we hopen dat KPN de klanten inlicht daarover en de wachtwoorden wijzigt.

[3dfx]

Neem gewoon een gmail of hotmail adres.

Right, alsof dat zo fool proof is:
nieuws: Gmail-gebruikers maken melding van lege mailbox - update
nieuws: Gmail lek: adressen contactpersonen op straat
nieuws: Onbekenden publiceren ook Gmail- en Yahoo-inloggegevens -update

Daarnaast, misschien willen mensen helemaal niet hun mail op een server van een bedrijf buiten Nederland? *mompelt iets over patriot act*

Of bij een bedrijf dat continu reclame toont als je inlogt via webmail.

[Rembert]

Nee, da's fijn. Gmail en Hotmail vallen onder de Patriot Act regelgeving ook al vallen ze ook onder de European Safe Harbour regeling. Daarnaast, Gmail en HotMail zijn ook niet onfeilbaar: als die plat gaan dan zijn er vele miljoenen mensen zonder email. Ik backup mijn gmail daarom ook regelmatig.

Mailservers moeten gewoon voldoende beveiligd worden maar 0-day exploits zullen altijd blijven bestaan.

@rinusnl en anderen: op pastebin staan alleen @kpnmail accounts. 539 accounts in 58 KB. Kortom, 9 accounts per KB. Er is 16 GB data onttrokken, als dat alleen maar accounts zijn, dan zijn dat dus 1,9 miljoen accounts. Ik geloof nooit dat er zoveel kpnmail accounts zijn. Even in financiele cijfers van KPN gekeken: ze hebben 2.5 miljoen breedband klanten. Dat zal vast ook alle xs4all, hetnet en planet klanten omvatten. planet klanten maken gewoon gebruik van de kpnmail servers, net als volgens mij hetnet klanten. Xs4all klanten maken gebruik van andere servers en zijn dus vast niet gehacked (maar ook zij zijn in het verleden wel gehacked, onder andere door mijzelf - wel keurig gemeld met mededeling van een root wachtwoord).

[DarkForce]

Er kunnen bij 2,5Milj. klanten een totaal aantal van 12,5Milj. adressen bestaan daar iedere KPN klant 1 POP3 adres direct al krijgt bij aanmelding en dan nog een 4 extra adressen kan aanmaken.

Dus die 1,9Milj. is zonder problemen haalbaar.

[HoppyF]

Die 16 GB data kan van alles bevatten, dit hoeven dus niet uitsluiten NAW + email account gegevens te zijn. De komende dagen kunnen we dus nog wel meer "dumps" verwachten van de gestolen data als bewijs dat er daadwerkelijk privacy gevoelige gegevens zijn buitgemaakt.

[smspvdm1]

En dat is dus ook de reden dat bij het overnemen door KPN Xs4all toendertijd heeft bedongen dat ze onafhankelijk blijven. D.w.z. hun eigen servers beheren etc.
Dat betaalt zich nu uit.

[MTDjassen]

Uiteraard belachelijk en onverantwoordelijk van KPN om hier een prestigekwestie van te maken. Dat je (om wat voor reden dan ook) je software niet updatetet en dientengevolge het slachtoffer bent van een hack is tot daar aan toe. Vervolgens bij hoog en laag volhouden en bezweren dat er 'niets is buitgemaakt' gaat me echt te ver. Dat is spelen met vuur en dit is heel schadelijk. Op een dergelijk moment moet je met de billen bloot en uitkomen voor alles en/of je onkunde toegeven, en géén valse informatie verspreiden want daar wordt niemand beter van, getuige ook dit. De (enigszins harmless) hackers worden zodoende uitgedaagd om aan te tonen hoe intensief de hack eigenlijk wel niet was. Dit is het resultaat. Schandelijk.

[FiscBiker]

Hoezo zouden ze dat hebben ontkend?
http://tweakers.net/nieuw...gegevens-kpn-klanten.html

[Reactie gewijzigd door FiscBiker op 24 juli 2024 17:22]

[bangkirai]

Simpel, omdat ze op hun eigen website zeggen, dat er bepaalde gegevens NIET op de gehackte systemen stonden(en dus veilig waren), terwijl die gegevens nu publiekelijk getoond werden.

Dus ja, eerlijk zijn ze niet geweest.

[Anoniem: 218643]

"De webmail van KPN is uit voorzorg uit de lucht gehaald om reden dat vermoedelijk klantgegevens online zijn gezet."

uhu

http://forum.kpn.com/t5/N...gitale-inbraak/ba-p/16889

[toonp]

Je kunt echter nog wel gewoon aanloggen bij Mijn KPN.
Dat heb ik net gedaan om de wachtwoorden van m'n eigen account en dat van m'n ouders te veranderen...

[justme256]

Nu ook niet meer. Net geprobeerd. MijnKPN is nu ook offline.

[Voutloos]

Hoezo 'Uhu'?

Dit is een logisch gevolg op dit artikel he. Als wachtwoorden gelekt zijn moet je vooral niet alles open laten staan.
[/captain obvious]

[HoppyF]

Juist, maar dat wist KPN gisteren (of de dagen daarvoor) ook al.
Ze hadden zeker kunnen vermoeden dat de gegevens bekend waren bij hackers daarvoor had KPN echt niet hoeven te wacht op het "bewijs" zoals het stukje tekst wat nu is gepubliceerd.

[Kees]

dat "vermoedelijk" hadden ze ook wel weg kunnen laten.

[BeefHazard]

Marketing, mijn vriend. Dit zorgt dat klanten nog een klein beetje hoop hebben en ze bellen zo niet de dramatische helpdesk van KPN plat.

[DonLexos]

Vraag is of ook de POP servers zijn downgehaald, als je die hebt kan je alsnog de hele mailbox uitlezen (en dat kan meen ik ook gewoon via proxy/vpn)..

[JorisPenders]

Dat lijkt er wel op. pop.planet.nl geeft bij mij een "Connection Timed out"-foutmelding.

[DonLexos]

Gelukkig!