Gehackte YouTuber: tweefactorauthenticatie grootste zwakte
Regelmatig adviseren experts en internetbedrijven om tweefactorauthenticatie in te schakelen omdat dit een extra beveiligingslaag is, maar een securitybewuste YouTuber zag hoe de maatregel er uiteindelijk voor zorgde dat een aanvaller zijn account kon overnemen en tien jaar aan werk vernietigde.
"Boogie2988", zoals hij zichzelf noemt, maakt internetcontent en heeft een YouTube-kanaal met meer dan 3,5 miljoen volgers. Een aantal maanden geleden slaagde een aanvaller er in om zijn e-mailadres en andere social media-accounts over te nemen. De aanvaller verwijderde het YouTube-kanaal en leegde zijn PayPal-account. Daarnaast werkte zijn telefoon niet meer. Het toestel gaf aan niet meer met een telefoonnummer verbonden te zijn.
Naar eigen zeggen was hij altijd securitybewust. Zo wijzigde de contentmaker regelmatig zijn wachtwoorden en waren die altijd minimaal 16 karakters lang. Ook hergebruikte hij geen wachtwoorden en had tweefactorauthenticatie ingeschakeld. "Niet alleen voorkwamen deze maatregelen niet dat ik gehackt werd, het gebruik van tweefactorauthenticatie bleek mijn grootste zwakte te zijn", aldus Boogie2988 in een analyse van de hack.
De aanvaller had zijn telecomaanbieder Verizon gebeld en zich als de contentmaker voorgedaan. Hoewel de aanvaller niet over het social security nummer of de speciale code van zijn slachtoffer beschikte, die Boogie2988 als extra beveiliging had ingeschakeld, gaf de medewerker van Verizon hem toch toegang. De aanvaller liet de medewerker het telefoonnummer in dat van hem veranderen. Daarmee kon de aanvaller vervolgens het wachtwoord van het e-mailadres veranderen, wat hem toegang tot alle andere accounts van de contentmaker gaf.
Boogie2988 gebruikte namelijk hetzelfde e-mailadres ook voor zijn YouTube-kanaal en PayPal. Als eerste veranderde de aanvaller het wachtwoord van alle accounts. Die vond ook het tweede en derde e-mailadres van zijn slachtoffer en wijzigde ook daarvan de wachtwoorden. De gehackte social media-accounts gebruikte de aanvaller om links naar goksites te verspreiden. Vervolgens besloot de aanvaller alle accounts te verwijderen. "In minder dan een uur was deze jonge hacker erin geslaagd om kapot te maken wat me meer dan 10 jaar had gekost om op te bouwen", aldus de verbouwereerde contentmaker.
Met behulp van een Google-medewerker slaagde hij erin om zijn YouTube-kanaal terug te krijgen. De Google-medewerker waarschuwde ook dat de contentmaker hetzelfde e-mailadres als het recovery-adres voor alle accounts had gebruikt en dit een openbaar e-mailadres was. Ondanks de eerdere kritiek adviseert Boogie2988 toch het gebruik van tweefactorauthenticatie. "Maar gebruik een telefoonnummer dat je aan niemand geeft, of gebruik een app die alleen op je telefoon staat, zoals Google Authenticator." Als oplossing voor tweefactorauthenticatie maakt de contentmaker nu gebruik van een prepaidtelefoon waar zijn naam niet aan gekoppeld is.
Dit is geen hacking, dit is social engineering.
Telegraag koppen tijd mensen?
Je mag niet alleen je wachtwoorden niet meer hergebruiken, maar ook niet meer je e-mail adressen, je telefoonnummer,
wat je maar verzint. Maak voor ieder account een apart e-mail adres aan, neem een apart nummer voor je 2-factor
authenticatie....
Dit slaat toch gewoon helemaal nergens op! Verzin een goed systeem voor authenticatie liefst gecentreerd rond
een officieel ID bewijs wat je niet zomaar kunt overnemen. Zoals het nu gaat is het gewoon niet meer werkbaar.
Zoals de authy app.
"Boogie2988" zou Verizon aansprakelijk moeten stellen.
regel 1: deel geen e-mail adressen met belangrijke services
regel 2: koppen 2 factor niet aan je nummer
regel 3: social engineering werkt nog steeds, dat voorkomt geen enkele 2-factor authenticatie.
Dat is allang niet meer mogelijk in veel landen rondom Nederland, kwestie van tijd en het kan hier ook niet meer zonder legitimatie.
"Boogie2988" zou Verizon aansprakelijk moeten stellen.
Het is inderdaad erg jammer dat hier aan voorbij word gegaan. Het probleem ligt in dit geval heel duidelijk bij Verizon.
Dat gezegd hebbende is het natuurlijk bekend dat bij iedere beveiliging de mens meestal de zwakste schakel is dus daar kan je van te voren al rekening mee houden.
Een geheim nummer doet wonderen.
"Boogie2988" zou Verizon aansprakelijk moeten stellen.
Bij andere aanbieders kan je gewoon een OTP app gebruiken zonder gekoppeld te zijn aan een telefoonnummer
"Boogie2988" zou Verizon aansprakelijk moeten stellen.
Het is inderdaad erg jammer dat hier aan voorbij word gegaan. Het probleem ligt in dit geval heel duidelijk bij Verizon.
Dat gezegd hebbende is het natuurlijk bekend dat bij iedere beveiliging de mens meestal de zwakste schakel is dus daar kan je van te voren al rekening mee houden.
Dat rekening houden is een beetje lastig, als je een dienst afneemt zit er altijd ergens iemand die in staat is om jouw spullen aan een ander te geven, en dat blijkbaar soms ook doet. Het is natuurlijk heel klantgericht als de eerstelijn direct zaken voor de klant mag wijzigen, maar dan moet je ze wel verdraaid goed opvoeden tegen social engineering. Want dat bijt klantgerichtheid, dus daar zul je je mensen in moeten helpen.
Dat de mens de zwakste schakel is, vind ik nog altijd het stompzinnigste gezegde in beveiligingsland. Ja, zonder mensen is het pas 100% veilig. Maar helaas wordt ICT gemaakt door mensen voor mensen. Dus zonder mensen wordt het allemaal ook nogal zinloos.
Doet denken aan het vroegere beveiligingsniveau A0, waarbij je een computer in een metersdikke laag beton giet, Geheel veilig en compleet nutteloos.
Ik vraag me wel eens af of elke smartass die dit cliché bezigt, zichzelf ook overal voorstelt met "hallo, ik ben de zwakste schakel".
En als je behoefte hebt om je privacy te beschermen, bij de registratie niet een telefoonnummer gebruiken dat naar jou te herleiden is, bv ergens bij een bedrijf of een ver familielid oid.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
