Hackers publiceren miljoenen mailadressen van Duitse gamesite

Hackers hebben miljoenen gebruikersnamen, e-mailadressen en versleutelde wachtwoorden gepubliceerd die afkomstig zijn van de gamesite Gamigo. De gegevens werden buitgemaakt bij een hack die in maart van dit jaar plaatsvond.

Een archiefbestand met daarin een dump van de database heeft het grootste deel van deze maand online gestaan, maar zou inmiddels bij hoster Sendspace verwijderd zijn, zo meldt Forbes. Een gebruiker van het Inside Pro-forum heeft de de dump echter opnieuw online gezet. Volgens website PwnedList, die datalekken bijhoudt, gaat het om een database met meer dan acht miljoen gebruikersnamen, e-mailadressen en versleutelde wachtwoorden. De opnieuw geüploade dump bevat echter rond de zeven miljoen adressen en wachtwoorden, de rest zou om dubbele entries gaan.

De database zou voornamelijk accounts uit Amerika, Duitsland en Frankrijk bevatten. Pwnedlist vond verscheidene e-mailadressen van grote bedrijven, waaronder IBM, Allianz, Siemens, Deutsche Bank, en ExxonMobil. Het forumtopic waar de dump oorspronkelijk in gepost werd, spreekt van md5-hashes, het is echter nog niet bekend of die ook vergezeld gingen van een salt. Is dat niet het geval, dan zouden de wachtwoordhashes eventueel via gebruik van rainbow tables te ontsleutelen zijn.

Gamesite Gamigo had kort na de hack in maart al erkend dat de database met persoonsgegevens buitgemaakt was, maar wil het aantal van meer dan acht miljoen niet bevestigen. Na de hack heeft Gamigo de wachtwoorden van zijn gebruikers gereset, gebruikers op de hoogte gesteld en zijn beveiligingsbeleid onder de loep laten nemen.

Reacties (19)

[iLikeNoobies]

Je kan hier controleren of je e-mail adres op de lijst stond.

Houd er wel rekening mee dat deze lijst niet specifiek op de Gamigo lek is gebaseerd. Als je e-mail op deze lijst wordt teruggevonden kan je het beste je wachtwoord aanpassen op de sites waar je dat e-mailadres gebruikt!

[Reactie gewijzigd door iLikeNoobies op 29 juli 2024 18:22]

[RobIII]

Ik zou daar sowieso niet "gewoon" mijn e-mail adres invullen. God weet waar dat weer gelogged of opgeslagen of weet-ik-het wordt. Je kunt er ook een SHA-512 hash van je e-mail adres invullen; dan geef je je adres niet prijs en kun je toch checken of je e-mail adres in de lijst(en) staat.

quote: http://pwnedlist.com

Don't trust us? You can also use a SHA-512 hash of your email as input. Just don't forget to lowercase all characters first.

Uiteraard moet je dan nog wel ergens een SHA-512 van je e-mail adres kunnen maken zonder dat je die naar een (andere) server stuurt. Dat kun je mooi (o.a.) hier doen. Daar gebeurt het geheel client-side _{(op het moment van schrijven, resultaten uit 't verleden bieden geen garantie voor de toekomst enzo )}.

[Verwijderd]

Alleen helpt dat natuurlijk helemaal niks.

Pwnedlist heeft alle originele emails, dus ook gewoon een SHA-512 -> email lookup table.

[RobIII]

Alleen helpt dat natuurlijk helemaal niks.

Dat helpt alles.

Ik hoef ze mijn e-mail adres ([e-mail]) namelijk niet te geven om te controleren of m'n adres op hun lijst staat als ik ze een SHA512 hash ervan geef. Ze kunnen op basis van de hash (voor [e-mail] is dat d995df514...a792e2dea) namelijk prima aangeven of die hash in 1 van de lijsten staat. Ze hebben inderdaad een e-mail <-> hash tabel. Maar met een hash hebben ze nog niet mijn originele e-mail adres ([e-mail]) als 't niet op de lijst staat En door ze alleen de hash te geven kan ik dus veilig wel hun lijst checken maar zorg ik meteen dat zij niet de kans hebben m'n e-mailadres op te slaan (al deden ze 't misschien niet eens bewust, het kom misschien ook wel in Apache logfiles, om maar eens wat te noemen, terecht, die ook weer kunnen "uitlekken").

Maar goed; mocht je me niet geloven: Als jij me dan even vertelt welk e-mail adres hier bij hoort?

bf46e9a1f51580a6267aa956c251ad7bbb89d0ce225db3bfb835612dc8bf285e1786dd49f339e254773e37dd7bd91d31266a57d7705a3c7644a02c1886fa9fcf

Snappie? Als die hash niet in hun tabel(len) staat weet ik dat 't adres niet gelekt is (lees: niet voorkomt in hun lijst(en)) en heb ik niet mijn e-mail adres hoeven verklappen

[Reactie gewijzigd door RobIII op 29 juli 2024 18:22]

[Rey Nemaattori]

Je kan hier controleren of je e-mail adres op de lijst stond.

Houd er wel rekening mee dat deze lijst niet specifiek op de Gamigo lek is gebaseerd. Als je e-mail op deze lijst wordt teruggevonden kan je het beste je wachtwoord aanpassen op de sites waar je dat e-mailadres gebruikt!

Dus omdat ze je mailadres weten, moet je je wachtwoord veranderen?
Kun je dan niet beter van addy wisselen?

[iLikeNoobies]

Als je iets verder leest dan het artikel op Tweakers.net kom je het volgende tegen:

Four months after the gaming site Gamigo warned users about a hacker intrusion that accessed some portions of its users’ credentials, more than 8 million usernames, emails and and encrypted passwords from the site have been published on the Web, according to the data breach alert service PwnedList.

Het is niet alleen je e-mail adres wat de hackers hebben buitgemaakt. En afgezien daarvan is PwnedList een verzamel site van allerlei database dumps. Het kan dus ook van een andere hack zijn waarbij je wachtwoord ook is buitgemaakt.

[Reactie gewijzigd door iLikeNoobies op 29 juli 2024 18:22]

[Verwijderd]

Het is sowieso verstandig om op verschillende websites ook verschillende wachtwoorden te gebruiken en deze ook periodiek te wijzigen.

[SinergyX]

Opmerkelijk, dat 5 verschillende emailadressen (ja ik heb er veel) allemaal deze melding geven:
It was last seen on 2012-07-06

Ik heb geen enkele website of account die al deze 5 gebruiken, er is verder geen history te zien welke sites op welk moment daar zijn verwerkt?

[Verwijderd]

Beetje jammer weer, waarom moet die lijst meteen online gegooid worden?
Wie denken ze dat daar precies de dupe van is. Het bedrijf natuurlijk, maar ook de mensen die een account hebben bij de betreffende website.

Uiteindelijk resulteert dat dan weer in dat de gamesite zijn beveiligingsbeleid onder de loep gaat nemen wat natuurlijk goed is, maar waarom moet de publiciteit gezocht worden?
Gaat het ze puur om de aandacht of willen ze het betreffende bedrijf aan de schandpaal nagelen?
Het publiceren van dergelijke gegevens vind ik persoonlijk echt belachelijk en totaal onnodig.
Ze kunnen het bedrijf op de hoogte stellen en ook de publiciteit opzoeken zonder deze gegevens ergens te publiceren, wie weet wie er dan mee aan de haal gaat.

[iLikeNoobies]

Het online gooien van de e-mailadressen is het bewijs dat het betreffende bedrijf gehacked is. Veel bedrijven hebben er tegenwoordig een handje van om datalekken en hacks in de doofpot te stoppen in de hoop dat men er niet achter komt.

Waarom ze in eerste instantie gehacked zijn is mij ook niet geheel duidelijk. Desalniettemin is het natuurlijk schandalig dat de hackers zoveel informatie over mensen online gooien terwijl ze eigenlijk het bedrijf willen pakken. Nu pakken ze de gebruikers.

Ik lees liever verhalen over hackers die bijvoorbeeld de financiele systemen van grote bedrijven aanpakken waardoor het bedrijf echte schade (geen reputatieschade) krijgt. Ik kan me alleen voorstellen dat dat wat moeilijker is waardoor ze gewoon voor de simpele databases + klantinformatie gaan.

[Verwijderd]

Het online gooien van de e-mailadressen is het bewijs dat het betreffende bedrijf gehacked is. Veel bedrijven hebben er tegenwoordig een handje van om datalekken en hacks in de doofpot te stoppen in de hoop dat men er niet achter komt.

Dan kun je altijd achteraf, wanneer het bedrijf dat ontkent, de gegevens publiceren.
Nu heeft het bedrijf de kans niet eens gekregen om correct te reageren.

Ik lees liever verhalen over hackers die bijvoorbeeld de financiele systemen van grote bedrijven aanpakken waardoor het bedrijf echte schade (geen reputatieschade) krijgt.

Ik lees liever verhalen van hackers die het betreffende bedrijf eerst op de hoogte gesteld hebben en het probleem hebben aangekaart alvorens meteen 8 miljoen mensen te duperen.

[Reactie gewijzigd door Verwijderd op 29 juli 2024 18:22]

[iLikeNoobies]

Klopt en ik ben het zeker met je eens!

Maar in dit geval is de oorzaak van de hack niet duidelijk. Het verschil tussen White en Blackhats is behoorlijk groot. Ik denk dan ook dat er hier sprake is van een Blackhat die schade wou aanrichten ipv het bedrijf op de hoogte stellen van een lek/beveiligingsissue.

[Reactie gewijzigd door iLikeNoobies op 29 juli 2024 18:22]

[RobIII]

Het online gooien van de e-mailadressen is het bewijs dat het betreffende bedrijf gehacked is.

Dat kan ook door een lijst te publiceren a-la:

[e-mail]
[e-mail]
[e-mail]
...

De rest van de velden hoef je niet eens te publiceren; en als je daar toch op staat dan kun je die ook 'anonimiseren' op eenzelfde manier.

Het slachtoffer van de hack kan deze lijst makkelijk naast hun klantenbestand leggen en verifieren dat alle (of de meeste of...) adressen inderdaad in hun bestand staan. Dat lijkt me bevestiging genoeg dat er een hack heeft plaatsgevonden en je klantenbestand dus in handen is van derden.

[Reactie gewijzigd door RobIII op 29 juli 2024 18:22]

[Indir]

Ik sta er ook op, was een tijd geleden dat ik me inschreef voor de open bèta van Black Prophecy, geen bericht gehad van Amigo betreffende de hack. Gelukkig is het maar een van mijn spam e-mails, just in case, dus niks van groot belang voor mijzelf, al zegt het veel over Gamigo.

[Reactie gewijzigd door Indir op 29 juli 2024 18:22]

[SinergyX]

Oooh, bij Gamigo heb ik ook een account.

Is die lijst ook ergens te vinden?

[dasiro]

klik op de link van pwnedlist en daar kan je het controleren, niet enkel deze lijst, maar ALLE lijstjes die ze zo hebben verkregen

[wica]

De lijst staat ergens op Internet, een directe link er naar, maar niet op tweakers geplaatst worden.

/edit
spuit11

[Reactie gewijzigd door wica op 29 juli 2024 18:22]

[pstalman]

En deze worden vast weer gebruikt voor de "combi" check met een ander gehackte website.

Heb je ergens anders dezelfde username + password, dan wordt een login poging gedaan met deze combinatie in de huidige actieve games.