Ubiquiti klaagt blogger Brian Krebs aan wegens verhaal over datalek
Ubiquiti heeft blogger Brian Krebs aangeklaagd wegens een verhaal dat het netwerkbedrijf een ernstig datalek voor klanten zou hebben verzwegen. Begin vorig jaar waarschuwde Ubiquiti klanten voor een mogelijk datalek nadat onbevoegden toegang tot verschillende systemen van het netwerkbedrijf hadden gekregen.
Vervolgens meldde it-journalist Brian Krebs op basis van een anonieme klokkenluider dat Ubiquiti de werkelijke impact van het datalek had verzwegen. Na de publicatie van het artikel daalde de aandelenkoers van Ubiquiti met twintig procent, wat neerkomt op een waardedaling van meer dan vier miljard dollar, aldus de Amerikaanse openbaar aanklager.
Afgelopen december werd een 36-jarige voormalige medewerker van Ubiquiti aangeklaagd voor het stelen van gigabytes aan vertrouwelijke data en het afpersen van zijn werkgever. Volgens de aanklacht was de man verantwoordelijk voor de diefstal van de data, het afpersen van Ubiquiti en hielp hij via Krebs valse geruchten de wereld in.
De man was van augustus 2018 tot en met 1 april 2021 werkzaam voor het netwerkbedrijf. Hij was een senior ontwikkelaar met toegang tot de Amazon Web Services- en GitHub-servers van Ubiquiti. In december gebruikte hij herhaaldelijk zijn beheerderstoegang voor het downloaden van gigabytes aan vertrouwelijke data van zijn werkgever.
Vorig jaar januari was de man volgens de aanklacht betrokken bij het team dat onderzoek naar het datalek deed. Tegelijkertijd deed hij zich voor als de aanvaller en stuurde een bericht naar Ubiquiti dat het bedrijf 1,9 miljoen dollar moest betalen, anders zou de buitgemaakte data worden geopenbaard. Daarnaast zou hij details over een vermeende backdoor geven waarmee hij toegang tot de servers had gekregen.
Vorig jaar maart deed de FBI een huiszoeking bij de man en nam verschillende apparaten van hem in beslag. De man ontkende tegenover agenten dat hij de aanvaller was. Een aantal dagen na de huiszoeking stapte de man naar Krebs en deed zich voor als klokkenluider, zo laat de aanklacht verder weten. Tegenover de journalist deed hij allerlei valse beweringen die Krebs uiteindelijk publiceerde en grote gevolgen voor de aandelenkoers had.
Krebs berichtte vorig jaar december over de aanklacht tegen de voormalige Ubiquiti-medewerker, maar ging in het bericht nergens in op zijn eigen rol. Alleen dat de verdachte zich had voorgedaan als klokkenluider. Nu blijkt dat Ubiquiti Krebs heeft aangeklaagd wegens laster. Volgens het netwerkbedrijf heeft de blogger opzettelijk klanten misleid over het verzwijgen van een datalek en probeerde hij zo verkeer naar zijn eigen blog te genereren. Ubiquiti wil dat Krebs een bedrag van 425.000 dollar betaalt, alsmede alle advocaatkosten en andere uitgaven, meldt ITWire.
Ja, ik volg hem ook.
https://storage.courtlistener.com/recap/gov.uscourts.vaed.521759/gov.uscourts.vaed.521759.1.0.pdf
In de aanklacht staat dat Krebs zelf Ubiquity van van alles beschuldigt, verwijzend naar die twee blogposts, maar dat zie ik dus niet in die blogposts zelf terug. Ook stelt Ubiquity dat voor Krebs duidelijk was dat degene die werd aangeklaagd zelf de klokkenluider was. De gearresteerde ex-medewerker is daarvoor aangeklaagd, maar voor zover ik heb gezien is het nog nergens bewezen verklaard. Krebs wist in ieder geval dat de beschuldiging er was. We weten niet of Krebs zelf de identiteit van de klokkenluider kende (dat hoeft niet per se) en dus ook niet of hij zelf zeker kan weten of de gearresteerde ex-medewerker wel of niet de klokkenluider is. Het lijkt heel waarschijnlijk te zijn dat het inderdaad een en dezelfde persoon is, maar strikt genomen kan je niet uitsluiten dat een andere Ubiquity-werknemer die bij het onderzoek betrokken was naar Krebs is gestapt.
Hoe dan ook, een journalist doet aan bronbescherming. Zelfs als Krebs inderdaad weet dat hij zelf is misbruikt in een afpersingszaak dan nog heeft hij de informatie gekregen op voorwaarde van anonimiteit en zou hij zijn eigen journalistieke integriteit aantasten door die anonimiteit te doorbreken. Dat raakt niet alleen aan deze zaak: als hij nu die anonimiteit doorbreekt weten toekomstige klokkenluiders, ook legitieme klokkenluiders, meteen dat ze in ieder geval maar beter met een grote boog om Brian Krebs heen kunnen lopen, want die is dan niet te vertrouwen. Ik snap dus waarom Krebs zich er niet over uitlaat, en vind dat ook de juiste reactie voor een journalist.
Ubiquity beschuldigt Krebs ervan dat hij, toen de ex-medewerker gearresteerd was (en waar hij in de tweede blogpost over berichtte) zijn beschuldigingen bleef volhouden. Los van dat Krebs zorgvuldig weergaf dat de klokkenluider degene is die de beschuldigingen deed, meldde Krebs op Twitter (de aanklacht tegen Krebs refereert eraan):
Kloppen de feiten inderdaad? Waar Ubiquity over valt is dat het beveiligingslek "catastrofaal erger" is genoemd dan Ubiquity naar buiten had gebracht, omdat de aanvaller volledige toegang tot databases had die bij AWS waren ondergebracht. De aanklacht tegen de ex-medewerker zelf bevat deze zin:
De ex-werknemer kon dus nogal brede zoekacties uitvoeren én hij had toegang tot een account waarmee hij toegang tot andere accounts kon verkrijgen. Verder meldt de aanklacht dat hij de bewaartermijn voor verschillende logbestanden op 1 dag had gezet, 2 dagen voordat ontdekt werd dat er iets gaande was (punten 20 en 21 van de aanklacht, pagina's 8 en 9). Oeps. Dat is catastrofaal veel erger dan wat Ubiquity naar buiten had gebracht.
De indruk die ik er al met al van krijg is dat Ubiquity via die aanklacht op de ex-werknemer bevestigt dat Krebs' blog de situatie waarschijnlijk goed weergaf, in plaats van dat ze aantonen dat het een misleidend verhaal was. De misleidende formuleringen die ik tegenkom zijn niet door Krebs gedaan maar staan in de aanklacht van Ubiuity tegen Krebs, ze doen namelijk consequent alsof Krebs op eigen titel beschuldigingen uitte terwijl Krebs juist zeer zorgvuldig weergaf dat het uitspraken van de klokkenluider waren. Ik denk daarom dat Krebs behoorlijk sterk staat, en ben benieuwd hoe ver deze aanklacht komt.
Ik vraag me af of bronbescherming telt voor mensen die opzettelijk journalisten misleiden. En daarmee zichzelf ook onderdeel van het verhaal maken.
https://en.wikipedia.org/wiki/SLAPP
Ubiquiti heeft slechte juristen ingehuurd. In de discovery kan heel veel op straat komen te liggen wat ze daar niet willen hebben.
Als Krebs inderdaad misleid is dan is de dader ook de dader van die misleiding, en is Krebs net zo goed een slachtoffer als Ubiquity dat is. Ubiquity zou in mijn ogen de dader dan ook daarvoor moeten aanklagen, maar men valt Krebs aan alsof hij zelf van alles over Ubiquity heeft verkondigd. Hij gaf juist heel zorgvuldig aan dat dit de informatie was die hij van een klokkenluider kreeg.
En het is nog maar de vraag of de dader Krebs misleid heeft over de ernst van de situatie bij Ubiquity. Als hij met volkomen foute motieven daar een juiste weergave van heeft gegeven dan had een ander dan de dader met zuivere motieven uit de boot kunnen klappen met precies dezelfde informatie en precies hetzelfde resultaat. Als dat inderdaad zo is is er in mijn ogen niets mis met wat Krebs heeft geschreven. Daarnaast staat voor zover ik overzie nog helemaal niet met zekerheid vast dat de dader ook de klokkenluider is. Hij is ervan beschuldigd, maar we weten nog niet zeker of het ook echt dezelfde persoon is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
