Belgische ISP Telenet lekt gegevens *update2*
Volgens berichten op het forum van de Belgische internet service provider Telenet, heeft de ISP massaal klantgegevens gelekt. Website backups, verborgen mappen van privé webruimte, interne wachtwoorden van databases, een database van telenet, telenet scripts en een versleutelde auth.log waren geruime tijd via de Telenet webserver te downloaden.
Een van de Telenet abonnees zou 600MB aan dit soort gegevens hebben gedownload, en eist dat iedereen een maand gratis internet krijgt, Telenet z'n excuses aanbiedt en maatregelen neemt om dit in de toekomst te voorkomen. Volgens de cache van Google zouden de gegevens al sinds 14 januari door iedereen te downloaden zijn geweest.
Een van de abonnees denkt dat Telenet een probleem met één of andere server had, en alles tijdelijk naar een andere server kopieerde. "In plaats van een goede Virtual host op te zetten hadden ze echter alles geforward, waardoor bepaalde mensen de volledige url van hun pagina zagen. De persoonlijke informatie van de abonnees kon gezien worden doordat ze niet de juiste permissions aan onderliggende subfolders hadden gegeven."
*Update 19:10
Volgens de Telenet Internet Klantenvereniging gaat het niet om een security-probleem, maar betreft het een privacy-probleem, waarbij het volgende zichtbaar was:
* een mirror van de userpages. Deze zijn op zich al publiek, hoewel sommige bestandsnamen niet evident zijn
* standaard scripts zoals gastenboek, mailformulier,...
* ftp-logs: welke bestanden werden opgeladen en afgehaald
* http-logs: welke pagina's werden bekeken
Telenet zou na ingelicht te zijn geweest het probleem binnen 15 minuten verholpen hebben.
*Update2 11:39*
Telenet bevestigt dat door een fout in de configuratie van een webserver het inderdaad mogelijk was om tijdelijk toegang te krijgen tot een aantal files op www.users.pandora.be. Deze fout is intussen rechtgezet.
Vermits per definitie de webfiles op users.pandora.be publiek zijn, is er geen gevoelige informatie gelekt. Paswoorden van gebruikers bevinden zich bijvoorbeeld niet op deze server en geen enkele klant moet zich daarom zorgen maken dat zijn website kan aangepast worden door anderen. Op geen enkel moment was het mogelijk om toegang te krijgen tot persoonsgegevens van klanten. Tevens wil de ISP onderstrepen dat alle informatie die een klant op zijn/haar website zet per definitie publieke informatie is.
volledige management moeten ontslaan. Een foutje kan
gebeuren, maar dit zijn geen slordigheden meer. Bij Telenet
doen ze kennelijk geen zinnige moeite om fouten te voorkomen.
anderhalve week bezig met de nieuwe Telemeter en die werkt nog altijd
niet naar behoren. Het is een waar schandaal aan het worden bij Telenet.
En inderdaad ik ben het er volledig mee eens.. het management van
Telenet is niets waard en zou collectief zijn ontslag moeten geven. Het
wordt steeds erger en erger. En wij maar betalen voor een dienst die
steeds slechter wordt.
ogenblikkelijk naar een Nederlandse provider overstappen.
Daar was het ook zo`n zooitje.....medewerkers die honderden gigs aan
films en mp3`s hadden staan. (op de bedrijfsservers)
Er werd daar ook vanalles verzet, aangepast en "gedeeld" door mensen
die hun eigen (thuis) pc niet eens kunnen updaten.
Ja, Dan kun je er op wachten met zo`n goedkope junior in dienst.
bedrijf is later overgenomen door UPC !? zegt al genoeg.
groet
niet de eerste keer dat we hier in Belgie een probleem hebben. Buiten
telenet zijn er ook nog andere incidenten geweest,....
Er zijn logins gelekt via de ftp logs, geen wachtwoorden,
geen adresgegevens en voor de rest files en logfiles van de
webserver. (alleen dingen uit de www-root, niet eens de root
van de server...)
Ik heb het probleem zelf gemeld aan Telenet en het was
binnen de 15 minuten opgelost. Meer duidelijke info op deze
link:
http://pub.telenet.be/forum/viewtopic.php?t=4787
Klinkt al heel wat minder dramatisch zo natuurlijk...
eindelijk eventjes de aandacht gekregen heeft waar ze al zo
lang om smeekt. Voor de rest is dit eerder een non-event.
Ik wens haar in ieder geval veel succes met haar poging tot
afpersing van Telenet. Dat ze maar oplet dat dit niet als
een boemerang tegen zich keert...
Amedee (localhost op pub.telenet.be/forum)
overdreven gereageerd wordt.
Ok, het is inderdaad een domme fout dat dit kon gebeuren en
een tijd ongemerkt bleef, maar zoals luc hierboven duidelijk
maakt: het is niet dat al jou adresgegevens, kredietkaard
nummers en weet ik veel wat te grabbel stonden.
Er wordt graag op Telenet's dak gezeten en een voorval zoals
dit wordt daarmee dan ook ineens opgeblazen.
Een maand gratis internet als vergoeding?
Ridicuul.
Volledig ontslag van het telenet management?
Zowaar nog ridiculer.
Dit voorval eerst verspreiden op een druk bezocht forum en
daarna pas Telenet op de hoogte stellen vind iker al
helemaal over.
te houden...
zoals ze met alle blunders van telenet proberen.
Voor een klantenvereniging vind ik dit niet passen.
Zoiets zou je als klantenvereniging zelf moeten meedelen aan
jullie leden.
Zodat mensen die gedupeerd kunnen worden, hun files op hun
webspace alsnog kunnen aanpassen.
Vergeet niet dat dat lek al dagen in google te lezen was.
Toen het op pub kwam, kon het al dagen misbruikt geweest zijn.
Foei voor PUB en Telenet
Het is niet de eerste blunder die Telenet zou begaan. Ze
zijn al bijna
anderhalve week bezig met de nieuwe Telemeter en die werkt
nog altijd
niet naar behoren. Het is een waar schandaal aan het worden
bij Telenet.
En inderdaad ik ben het er volledig mee eens.. het
management van
Telenet is niets waard en zou collectief zijn ontslag moeten
geven. Het
wordt steeds erger en erger. En wij maar betalen voor een
dienst die
steeds slechter wordt.
Als het management ontslag moest nemen, dan zijn er nog maar
een handjevol medewerkers die dan alles moeten ondersteunen,
wat dus geen oplossing is.
Telenet is een bedrijf dat zeer dringend zijn processen
terug onder de loep moet nemen en wat meer aandacht geven
aan de technische kant van de business ipv de marketing c.q.
management kant.
(anders zouden we het echt niet op ons forum laten staan).
En in tegenstelling tot de meeste andere mensen hebben wij
van zodra we hier iets over wisten direct Telenet verwittigd
om er iets aan te doen (slechts één iemand anders heeft dat
gedaan vziw).
Nu iemand die walgt van pub.
Pub doet al jaren niks anders meer, dan de belangen van
telenet verdedigen.
De klanten worden daar niet meer geholpen.
Enkele voorbeelden in dat topic :
Uw webspace is iets public, dus als daar dingen uit
gestolen worden is dat uw probleem.
Ook het limietenprobleem, doet pub al jaren niks aan, buiten
nieuwsbrieven schrijven. (wie kan dat nu niet)
Wij telenet klanten, lopen overal tegen de muur, tot bij de
klantenvereningingen toe.
Soms heb ik het idee, dat alles omgekocht is door telenet.
Ik ben dankbaar dat dit uitgelekt is, dat ik het te weten
ben gekomen. Ik had namelijk dingen op mijn space staan,
die niet voor iedereen bestemd waren.
En voor pub, pfuw, ga weg, maak plaats voor een
plaatsvervanger, die er wel werk van maakt.
Gr Dirk
goede condities. Nu halen we amper een snelheid van 2Mbit en
krijgen we te horen dat onze snelheid dit jaar verdubbelt nogwel.
Jawel hoor, ze is verdubbeld, 4Mbit nu. Hoera!!! Als ge hierover
mails stuurt naar de staff van telenet dan moogt ge nog
oppassen als ge na twee maanden volledige stilte uw mond nog
eens opendoet, dat ge niet het verwijt krijgt dat ge nooit een mail
gestuurd hebt. Uiteraard zal het afhangen van de inhoud van de
mail of die ooit is aangekomen of niet. Indien er een probleem is
met uw verbinding, eenderlei, check dan vooral eerst uw modem,
want dat is toch het eerste en veruit het enige dat ze op de
helpdesk ook zullen doen. Verder weet de helpdesk van toeten of
blazen van wat er zich hogerop afspeelt. Technische kennis is niet
belangrijk, vooral het zeveren en onzin kunnen vertellen en goed
rond de pot kunnen draaien is een minimum vereiste om er als
werknemer aan de slag te kunnen. Ik heb drie maanden moeten
wachten eer ik zelfs nog maar op het beheer van mijn
homepagina kon geraken. Hier kreeg ik een foutmelding zodra ik
probeerde om hem gewoon nog maar aan te klikken. Als ge dan
daar iets op durft zeggen krijgt ge als reactie "is het zo dringend?
" Wel ja, het is natuurlijk altijd fijn om geld te verdienen op de kap
van de brave vaste klant die vooral niet te veel mag verwachten
van zijn geweldige provider. Een simpele tip: kijk eens naar de
kostprijzen en de service die ge krijgt bij providers van de
omringende landen en ge weet direct hoe ge hier in België in de
zak gezet wordt door onze geweldige telecombedrijven... geen
monopolie meer? theoretisch niet nee, maar achter de gordijnen
gaan we maar beter niet kijken.
permissie-vergissing heeft gemaakt de eerste steen werpe...
Om dan nog maar te zwijgen van de linux kiddies hier die het
denken beter te kunnen omdat ze 1 keer in het jaar eens een
0774 naar 0644 hebben moeten doen.
Dit is een kleine fout met beperkte inpakt. "help help, de
bestanden van mijn site kan je gewoonweg downloaden" .....
mensen toch, als je er niets van kent oordeel dan maar niet
te snel. De enige fout die hier al is vermeld is dat
management geen betere infrastructuur geven aan hun
medewerkers om dit soort problemen op een betere manier op
te vangen
van de maatschappij. Op zen Belgisch... Of op zen vlaams toch allezins.
eindelijk eventjes de aandacht gekregen heeft waar ze al zo
lang om smeekt. Voor de rest is dit eerder een non-event.
Ik wens haar in ieder geval veel succes met haar poging tot
afpersing van Telenet. Dat ze maar oplet dat dit niet als
een boemerang tegen zich keert...
Amedee (localhost op pub.telenet.be/forum)
Ik citeer even van http://www.tik.be/forum/viewtopic.php?p=49456#p49456
[quote="bambipower"]Gans belgie een maand gratis internet
OF IK GOOI ALLES PUBLIC :twisted:[/quote]Achteraf gezien was dit uiteraard ironisch bedoeld. Ik heb daar de fout gemaakt om de man (of in dit geval de vrouw) te spelen, en daarvoor wil ik me verontschuldigen.
Ik blijf echter bij mijn standpunt dat er voor de klanten geen enkel voordeel bij was om Telenet aan de schandpaal te nagelen. Het probleem moest opgelost worden, en snel. En in de Belgische security community is daar wel degelijk nog een hartig woordje over gepraat. Maar zo lang er geen kredietkaarten of dergelijke gelekt zijn, lijkt me dit niet iets waar het grote publiek zich zorgen over moet maken.
Het lijkt me ook dat toen, op dat moment, er een verschil van interpretatie was over welke gegevens er nu "gelekt" zouden zijn: publieke gegevens of private gegevens. Het leek me ook dat de aanpak die bambipower op dat moment voorstelde, in tegenstelling was met de 'hacker ethic' die Luc & ik toen hanteerden.
Uit de overige commentaren hier op security.nl blijkt dat Luc en ik het toen correct hebben aangepakt wat betreft het verwittigen van Telenet. Maar nogmaals: mijn verontschuldigingen aan wie ik ad hominem aangepakt heb. Daar sta ik nu niet meer achter.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
