Politie: vijf miljoen Nederlandse e-mailadressen op lijst cybercriminelen

waarschijnlijk ook password er bij, als ik naar de log in activity kijk:

Recent activity
Time (CET)Session TypeApproximate location
Handheld device icon2 hours agoUnsuccessful sign-inEl Salvador
Handheld device icon2 hours agoUnsuccessful sign-inBrazil
Handheld device icon3 hours agoUnsuccessful sign-inFrance
Computer icon5 hours agoUnsuccessful sign-inUnited States
Computer icon6 hours agoUnsuccessful sign-inLiechtenstein
Automatic syncing device icon9 hours agoAutomatic Sync United States
Handheld device icon10 hours agoUnsuccessful sign-inUnited Kingdom
Handheld device icon10 hours agoUnsuccessful sign-inBrazil
Computer icon11 hours agoUnsuccessful sign-inIreland
Computer iconYesterday 11:33 PMUnsuccessful sign-inUnited States
Computer iconYesterday 10:43 PMUnsuccessful sign-inLiechtenstein
Handheld device iconYesterday 10:23 PMUnsuccessful sign-inBrazil
Handheld device iconYesterday 8:24 PMUnsuccessful sign-inUnited States
Handheld device iconYesterday 6:23 PMUnsuccessful sign-inUnited States
Handheld device iconYesterday 3:40 PMUnsuccessful sign-inUnited States
Computer iconYesterday 1:18 PMUnsuccessful sign-inUnited States
Computer iconYesterday 12:21 PMUnsuccessful sign-inUnited States
Handheld device iconYesterday 12:08 PMUnsuccessful sign-inMexico
Handheld device iconYesterday 11:01 AMUnsuccessful sign-inBrazil
Handheld device iconYesterday 10:52 AMUnsuccessful sign-inUnited States

en gaat zo maar door

MS doet er niks tegen. en zolang ze je password niet goed hebben hoef je niks te doen. hoop dat ze dit niet zo doen bij Azure klanten. want dit is echt ontoelaatbaar. ik zou graag GEO locatie willen kunnen blokkeren

[Reactie gewijzigd door Master_duck op 28 maart 2024 10:51]

Omdat als een sessie al leeft, kan het zijn dat ondanks het wijzigen van het wachtwoord, de sessie in leven blijft.

Ik ben dan toch benieuwd waarom deze adviezen worden gegeven. Zie geen (technische) relatie tussen een gelekt e-mail adres en ingelogde sessies op een computer.

Er bestaat wel degelijk een technische relatie tussen een gelekte e-mail adres een een ingelogde sessie, namelijk session hijacking.

Als een hacker tussen jouw en de website komt, of al toegang heeft tot jouw systeem, kan hij de sessie cookie clonen en een replay aanval doen, zodat ze op een andere machine ingelogd zijn met de session cookie die jij al hebt gegenereerd.

Stel dat je wat wilt bestellen bij een webwinkel, je hebt je product gevonden en logt daarna in, zodat het product onder jouw account wordt gekocht. Nu heb je een actieve sessie lopen (net zoals Tweakers de optie geeft om alleen deze sessie te beëindigen, of alle sessies). Zodra een hacker de session cookie weet te pakken, begint het proces pas. Eenmaal ingelogd kan je natuurlijk de email adres wijzigen, of extra bestellingen doen (afhaaladres wijzigen + achteraf betalen op naam van het slachtoffer). En dan begint de ellende pas.

In dat geval is de schade nog enigszins beperkt, maar als ze de session cookie hebben van je mailadres (Outlook, Gmail), dan is de schade aanzienlik groot en héél risicovol, gezien ze dan wachtwoorden van verschillende sites waarop je bent ingeschreven, kunnen wijzigen.

Ja, het is makkelijker om ingelogd te blijven en je sessie te verlengen, maar hier kleven natuurlijk weer risico's met zich mee. Ik meende dat al de huidige session cookies een geldigheid hebben van 15 minuten, zodat de kans op een replay aanval klein is.

Dus nee, het is niet gek dat de advies luidt om op alle apparaten uit te loggen, je cookies te verwijderen en desnoods je apparaat opnieuw te installeren, mocht je echt gecompromitteerd zijn.

OnTopic:
Ik vraag mij af of deze mailadressen niet per toeval uit een onontdekte database van Genesis Market komen (helaas ben ik daarvan ook een van de getroffene en heb de nodige maatregelen genomen).

Feit blijft dat vroeg of laat, je gegevens wel een keer op straat komen te liggen, vooral als een derde partij (bijv. de gebeuren rondom Blauw Research), ook jouw gegevens heeft gehad dan wel heeft verwerkt.

Security kost geld en hoe hoger de gestelde security eisen, hoe minder gebruiksvriendelijk het product of dienst is. Een passphrase dat bestaat uit 15 karakters incl. hoofdletters, kleine letters, cijfers en lees tekens / vreemde symbolen + MFA zorgt er voor dat hackers buiten de deur blijven en hopelijk dat hackers dan het opgeven (wat ze niet doen).

Zou ook lekker zijn als je een domein kunt checken (ivm met catchall)

Toevallig typ ik net een reactie over een serie autobranden waarbij ik mij afvraag wat de consequenties zijn voor iemand met een laag inkomen wiens derdehands auto door een pyromaan in rook opgaat.
Zover ik weet mag je het als slachtoffer lekker allemaal zelf uitzoeken want verzekering en justitie doen verder niets voor je waar het aankomt op het verhalen van gevolgschade. Maar dan moet ik als slachtoffer wel weten wie ik aansprakelijk kan stellen.

Als mijn gegevens voorkomen in deze set en ik de daders aansprakelijk wil stellen voor (eventuele) schade ten gevolge van het verhandelen of misbruiken van mijn gegevens dan zal ik wel de gegevens van de daders moeten hebben om stappen tegen ze te kunnen ondernemen. Tenzij de politie het mij toestaat dat ik zelf sting operaties uitvoer om deze persoonsgegevens zelf te achterhalen (wat mij dan wel een goed excuus geeft om op allerlei verkeerde sites bezig te zijn 'nee, nee, ik kocht alleen drugs teneinde de dealer te kunnen achterhalen').
Dus hoe is dat dan geregeld?
Ik heb recht om iemand aansprakelijk te stellen maar hoe moet ik dat doen als de politie mij de gegevens van die persoon niet geeft?

Onder digitaal onderlegd zijn valt volgens mij dat we ons bewust zijn dat deze lijsten en criminaliteit dagelijkse praktijk zijn, met miljoenen pogingen per dag. Dus dat het niet bijzonder is dat men op een lijst staat. Dus dat het niet bijzonder is dat criminelen je als doel kiezen voor bankfraude enz. Terwijl dit waarschuwen zich niet richt op dat duidelijk maken.

Het mag dus te verwachten zijn dat een niet onderlegd persoon dit bericht opvat alsof men alleen of vooral om deze lijst moet opletten. Het mag dus te verwachten zijn dat een niet onderlegd persoon hieruit op maakt dat op een ontdekte lijst staan meer risico geeft dan op niet door de politie ontdekte lijsten staan. Dit waarschuwen is dus niet zomaar op te vatten alsof dit waarschuwen werkelijk meer helpt dan schade doet. Hoe goed bedoeld het ook mag lijken.

Het lijkt mij pas te helpen als de politie duidelijk is dat dit verhandelen absoluut niet bijzonder is. Dat het grootste deel van de bevolking hoe dan ook kans maakt doelwit te zijn en niet van deze gevonden lijst af hangt. Dat de politie vooral persoonlijk waarschuwd omdat het door het vinden mag, niet dat het om het kunnen waarschuwen er bijzonder meer risico is.

Tenzij ze een ISDN lijn hadden met nummerherkenning dan had je nummer spoofen in de jaren 90 niet bijzonder veel nut, want bijna geen enkele telefoon gaf het nummer weer dat jouw belde

Over 2 weken staat je nieuwe mail adres op een lijst. Wat maakt het uit.

Ik blijf spam emails af en toe wel leuk vinden om te lezen.

zo kon ik laatst nog 44 miljard claimen via de Federal Reserve Bank. Wat lief.
Wel moest ik eerst een iTunes kaart van $100 kopen en de code of foto van deze kaart doorsturen naar een email adres om gebruik te kunnen maken van de 44 miljard. Wel kon ik maar 40k per dag opnemen. Dus over 1,1 miljoen dagen heb ik mijn hele bedrag binnen!

Ik blijf altijd lachen over hoe dom die emails geschreven worden.

[Reactie gewijzigd door nemesis2212 op 28 maart 2024 10:37]