KPN stuurt wachtwoord en e-mailadres in één brief
KPN heeft klanten een brief met hun wachtwoord en e-mailadres gestuurd, tot woede van abonnees. De combinatie zou namelijk tot fraude kunnen leiden, zo meldt de Telegraaf vandaag. Naar aanleiding van de aanval op het bedrijf en het verschijnen van klantgegevens, besloot KPN de toegang tot twee miljoen webaccounts te blokkeren. Ook vroeg het klanten om hun wachtwoord te wijzigen. De wijziging zou per brief worden bevestigd.
"Iedereen die deze brief in handen krijgt, kan al mijn gegevens bij KPN inzien én veranderen of bestellingen op mijn naam doen”, aldus een klant tegen de krant. "Onbegrijpelijk", reageert een ander. "Ik krijg al jaren verkeerde post en kon nu zo in de KPN-gegevens van anderen kijken."
Brief
Vanaf zondag stopt KPN met het versturen van de bevestigingsbrief. "We zijn het met de kritiek van klanten eens", aldus een woordvoerder. "We gaan onze werkwijze in fasen aanpassen, want het is een omvangrijke operatie."
Wie zijn wachtwoord vergeet en opnieuw opvraagt, krijgt nog steeds het wachtwoord per brief toegestuurd, maar dan zonder e-mailadres. Inmiddels hebben 500.000 mensen na de eerste oproep hun wachtwoord gewijzigd, aldus het telecombedrijf op de eigen website.
Ten eerste koppel je die gegevens los
En ten tweede met een 2 pass verificatie...
Wat een farce...
http://www.telegraaf.nl/digitaal/11510372/___Geef_KPN_megaboete___.html
Zijn ze besmet met het no brain virus ofzo?
Dat deel je in tweeen en ga nu maar uitzoeken hoe je dat moet doen want de oplossing is zo simpel...Maar ga nobrains die op een verkeerde stoel zitten niet alles voorkauwen.
Tegen zoveel domheid kan je je niet wapenen ...
DDK
Als je je KPN wachtwoord hebt gereset via de speciale server van KPN, dan krijg je trouwens geen bevestigingsbrief.
Wat ik wel gaar zou vinden (als dit idd zo is), is dat ze het wachtwoord zelf sturen dat je zelf hebt gekozen. Dit wachtwoord is immers al bekend bij de klant neem ik aan? Beetje administratie aan de kant van de klant kan geen kwaad lijkt me.
"Het door u gekozen wachtwoord wat u met behulp van uw oude wachtwoord heeft veranderd, is op onze servers ingesteld. Bel bij vermoeden van fraude gratis met de helpdesk van KPN. Wij hopen u hiermee van dienst te zijn".
Nu blijkt dat ik inmiddels wel online m'n wachtwoord kan wijzigen, maar het huidige wachtwoord is al gewijzigd door de helpdesk. Dus toch een brief.
Zelden zo'n major cluster-fail gezien in IT-land. De overheidsroots bij KPN blijven zichtbaar.
of iig door KPN te de-crypten ..
ik vraag me af wat de grootste faal is - de technische of de communicatieve ....
DDK
Indien KPN de wachtwoorden van klanten wijzigt, dan moeten ze de klanten daarover toch informeren ? Hoe weet je anders welk wachtwoord je moet gebruiken ?
En dan wil ik nog niet eens beginnen over wat de klant ervan vindt / zou moeten vinden.
Indien KPN de wachtwoorden van klanten wijzigt, dan moeten ze de klanten daarover toch informeren ? Hoe weet je anders welk wachtwoord je moet gebruiken ?
Als KPN het wijzigt dan zit er wat in. Maar in het artikel staat:
Het lijkt dus zo te zijn dat de klant zelf zijn wachtwoord wijzigt en het dan per post thuisgestuurd krijgt.
Verder natuurlijk belachelijk dat de wachtwoorden niet als hash worden opgeslagen, te decrypten zijn en dan ook nog eens ongevraagd per post worden verzonden.
Uw email-adres; directeur@knp.nl
Uw wachtwoord: Oenkwadraat
Moet een wachtwoord automatisch worden gegenereerd - i.c. de KPN mail problemen leek dat nodig - en moet dat wachtwoord dan vervolgens aan de houder bekend worden gemaakt, dan moet het generatieproces het wachtwoord afdrukken op een gesloten carbon-envelop die aan de accounthouder kan worden gestuurd. Ongeveer zoals ook met pincodes bij pinpassen wordt omgegaan.
Slecht de met het wachtwoord corresponderende hash benodigd voor authenticatie wordt opgeslagen.
Kortom, het kan op een behoorlijke wijze, opslag van wachtwoorden is idioot, en ongelooflijk dat KPN dit zo heeft gedaan, bij KPN zijn er echt wel geschoolde mensen die weten hoe het wel moet.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
