15:44 door Anoniem (Goeroehoudjes): bijna altijd is er ook een usernaam nodig met een bepaalde minimale lengte In de meeste gevallen is dit een, voor aanvallers vaak eenvoudig te achterhalen e-mailadres (zeker voor aanvallers "met ervaring", zie verderop). Dat meestal onversleuteld wordt opgeslagen (want anders kun je klanten geen reclame e-mails sturen). En waarmee, wellicht, account-reset mogelijk is voor de betreffende website (als de aanvaller zo'n hele site weet te hacken, zal de account-reset info voor die site hem natuurlijk een biet zijn, maar voor andere sites kan deze info waardevol zijn). Helaas zie ik nog regelmatig meldingen van systemen die onderscheid maken tussen "wachtwoord onjuist" en "account onbekend". Daarmee kunnen aanvallers, die niet zeker weten of iemand een account heeft op een website, vaststellen of dat zo is of niet. Daarnaast kun je van veel mensen relatief eenvoudig achterhalen waar ze verzekerd zijn en bij welke ISP's ze mailboxes hebben. Als een aanvaller een website heeft ...