Aanvaller metro San Francisco gehackt via geheime vraag
De aanvaller die achter de ransomware-aanval op de metro in San Francisco zit is zelf op eenvoudige wijze gehackt. Een onderzoeker wist toegang tot zijn e-mailaccount te krijgen door het antwoord op de geheime vraag te raden. Zo kon de onderzoeker het wachtwoord van het e-mailaccount wijzigen.
Dit weekend raakten verschillende systemen van de Municipal Transportation Agency (SMTFA) in San Francisco besmet met ransomware, waaronder de kaartjesautomaten. De SMTFA besloot vervolgens om alle reizigers gratis te laten reizen. Op de kaartjesautomaten verscheen een bericht "You Hacked, ALL Data Encrypted", gevolgd door een e-mailadres om de decryptiesleutel te bemachtigen. Hiervoor moest de SMTFA ruim 69.000 euro in bitcoin betalen. Het e-mailadres, dat bij de Russische provider Yandex was geregistreerd, werd door de San Francisco Examiner openbaar gemaakt.
Een onderzoeker wist vervolgens via de geheime vraag toegang tot het account te krijgen. Ook een aan dit e-mailadres gekoppeld back-up-account kon hij hacken, aangezien dit account met dezelfde geheime vraag en antwoord was beveiligd. Uit de inhoud van de inbox blijkt dat de aanvaller eerder een Amerikaans bedrijf succesvol wist af te persen. Dit bedrijf betaalde 63 bitcoins, wat omgerekend ruim 43.000 euro is. Aan de hand van de gebruikte bitcoin-wallets zou blijken dat de aanvaller bedrijven sinds augustus voor 132.000 euro heeft weten af te persen. Dat meldt it-journalist Brian Krebs, die door de anoniem onderzoeker werd ingelicht. De SMTFA heeft het gevraagde losgeld niet betaald.
Het was beter geweest om de afperser in onzekerheid te laten hoe zijn account gecompromitteerd is. (Hacken is dit niet, want het is via een reguliere methode gedaan die ingebouwd is om een vergeten wachtwoord te herstellen)
(Hacken is dit niet, want het is via een reguliere methode gedaan die ingebouwd is om een vergeten wachtwoord te herstellen)
Wat maakt het uit of je het al dan niet hacken kunt noemen? Je kunt het ook niet tomatensoep eten noemen. Het blijft je onrechtmatig toegang verschaffen tot iemand anders mailbox, wat dus illegaal is.
Het was beter geweest om de afperser in onzekerheid te laten hoe zijn account gecompromitteerd is. (Hacken is dit niet, want het is via een reguliere methode gedaan die ingebouwd is om een vergeten wachtwoord te herstellen)
Waarom? Zo bijzonder was de email hack nu ook weer niet, iedereen kan dat doen als de security vraag eenvoudig is.
Daarom was hij slim genoeg om anoniem te blijven, interessant is dat sommige bedrijven dus betalen. Dat zou ook aan de orde moeten worden gesteld. Zij maken het probleem alleen maar groter.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
