Eurostar gaat fout in met verplichte wachtwoordreset en sluit klanten buiten
Eurostar heeft voor klanten met een Eurostar-account een wachtwoordreset verplicht, maar die blijkt niet te werken waardoor klanten niet meer op hun account kunnen inloggen. Op Twitter regent het klachten. In een e-mail aan klanten meldt Eurostar dat het bezig is om de veiligheid van accounts en persoonlijke gegevens "te upgraden". Om het Eurostar-account te kunnen blijven gebruiken moeten klanten een nieuw wachtwoord instellen.
De wachtwoordresetlink blijkt echter niet te werken. Klanten die een nieuw wachtwoord willen instellen krijgen een foutmelding te zien dat het resetten van het wachtwoord op dit moment niet mogelijk is. Op 10 februari bevestigde Eurostar via Twitter dat er problemen waren met het inloggen. Zo werd onder andere aangeraden cookies te verwijderen. Vier dagen later melden klanten echter nog steeds dat de wachtwoordreset niet werkt en ze geen toegang tot hun accounts hebben.
Het doel is behaald, het is zo veilig geen enkele klant meer kan inloggen. ;-)
jij had toch die database gebackupped?
ik dacht dat jij dat gedaan had..
ja, maar ik kan de backup niet meer lezen.
Ik heb iets vergelijkbaars. Bij een nutsbedrijf waar ik een account heb, is de website vernieuwd en moet ik ook een nieuw wachtwoord instellen via hun activatielink. Echter de mail komt nooit aan omdat onze mailserver hem blokkeert wegens een ssl-error bij de connectie. En verouderde ssl instellingen wil ik niet toelaten op de mailserver.
Een nieuw account aanmaken kan ook niet omdat dit aan het meternummer gekoppeld is, zodat ik de melding krijg, dat er al een account voor die meter bestaat. Gelukkig geen frustratie voor mij omdat ik alleen inlog om de digitale factuur op te halen, terwijl hij ook per post komt.
jij had toch die database gebackupped?
ik dacht dat jij dat gedaan had..
ja, maar ik kan de backup niet meer lezen.
Klinkt meer als gedram van security om een deadline te halen .
Met werkelijke of vermeende noodzaak is besloten alle accounts te laten password resetten .
(misschien dat een deel een oudere stijl hash gebruikte, of niet door de requirements van lengte/karakterset gegaan was ) .
Of misschien een vermoede breach .
Of simpelweg een nieuw backend dat per x/x/2023 live moest om het project af te sluiten .
En dan wordt er zo'n update doorgeramd - zonder voldoende test en zonder uitgebreide impact analyse .
Nu is het inschatten van impact en representatief testen met een populatie "van alles op Internet" wel erg lastig - maar blijkbaar te weinig gedaan. "Het werkt bij mij, go live" .
En blijbaar niet gefaseerd ingevoerd .
Ik heb iets vergelijkbaars. Bij een nutsbedrijf waar ik een account heb, is de website vernieuwd en moet ik ook een nieuw wachtwoord instellen via hun activatielink. Echter de mail komt nooit aan omdat onze mailserver hem blokkeert wegens een ssl-error bij de connectie. En verouderde ssl instellingen wil ik niet toelaten op de mailserver.
(tenzij je draconische eisen stelt zoals "moet TLS 1.3 zijn" of "mag geen naar mijn idee zwak algorithme aanbieden" natuurlijk, dan kan het lang duren)
Incompetentie van het hooogste niveau!!! Maar goed, als die trein maar rijd wanneer ik ga
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
