Nieuws
image

Brillenfabrikant krijgt 1,5 miljoen dollar boete na datalek door credential stuffing

maandag 24 februari 2025, 13:54 door Redactie, 3 reacties

De Amerikaanse brillenfabrikant Warby Parker heeft van het Amerikaanse ministerie van Volksgezondheid een boete van 1,5 miljoen dollar gekregen nadat aanvallers via credential stuffing toegang tot persoonlijke gegevens van bijna tweehonderdduizend klanten kregen. Het ging in totaal om drie van dergelijke aanvallen waar de brillenfabrikant in 2018, 2020 en 2022 mee te maken kreeg.

Bij credential stuffing worden eerder gelekte e-mailadressen en wachtwoorden gebruikt om op geautomatiseerde wijze toegang tot accounts te krijgen. Aanvallers kijken of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan.

Eind 2018 meldde Warby Parker bij het Amerikaanse ministerie van Volksgezondheid dat het verdachte inlogactiviteiten op de eigen website had waargenomen. Daarbij was het aanvallers gelukt om door middel van inloggegevens gestolen bij andere websites op de accounts van klanten in te loggen. In september 2020 kwam de brillenfabrikant met een aanvulling op de datalekmelding, waarbij het stelde dat 198.000 klanten dupe van de aanval waren geworden. De aanvallers hadden toegang gekregen tot hun namen, adresgegevens, e-mailadressen, brilrecepten en betaalgegevens.

In april 2020 en juni 2022 kreeg Warby Parker met soortgelijke aanvallen te maken. Het aantal slachtoffers was toen veel kleiner. Naar aanleiding van de datalekken startte het ministerie een onderzoek en ontdekte dat het bedrijf op drie punten de Health Insurance Portability and Accountability Act (HIPAA) had overtreden. Zo was er geen adequate risicoanalyse naar de mogelijke kwetsbaarheden en risico's voor gezondheidsinformatie van klanten uitgevoerd, waren er geen passende maatregelen doorgevoerd om deze gegevens te beschermen en ontbraken er procedures om geregeld naar logbestanden en securityrapportages te kijken.

Reacties (3)
Reageer met quote
Vandaag, 15:03 door Anoniem
Dit is wel heel raar.

Mensen hergebruiken hun wachtwoord en als deze dan gebruikt worden is het toch de schuld van de mensen zelf?

Wil je nog meer captchas op alle login paginas misschien?
Reageer met quote
Vandaag, 17:10 door Anoniem
Door Anoniem: Dit is wel heel raar.

Mensen hergebruiken hun wachtwoord en als deze dan gebruikt worden is het toch de schuld van de mensen zelf?
De praktijk wijst uit dat je domweg niet voor elkaar gaat krijgen dat mensen er beter mee omgaan, hoe hard je er ook op hamert, omdat vele mensen er eigenlijk fundamenteel geen donder van snappen. Lang niet iedereen heeft een knobbel voor techniek. Dus als het zo niet lukt, waar kan je dan met een meer effect iets verbeteren? Bij de sites waar al die mensen inloggen, daar is het mogelijk om op centrale plaatsen te regelen dat de situatie in een klap voor hele menigtes mensen verbetert, door bijvoorbeeld 2FA in te voeren.

Die sites zijn niet schuldig aan het hergebruik van wachtwoorden door mensen. Maar je kan wel, in een wet, en zeker bij gevoelige onderwerpen als gezondheidsgegevens, verantwoordelijkheid leggen bij wie nou eenmaal in de positie is om in een klap een hoop te verbeteren: de bedrijven van wie die sites zijn. En als dat verplicht is gesteld, wat hier kennelijk zo is, dan kan zo'n bedrijf zich wel weer schuldig maken aan het negeren van die verantwoordelijkheid.

Dit is niet heel raar, de wereld zit vol met dit soort constructies.
Reageer met quote
Vandaag, 17:38 door DeZin
Door Anoniem: Dit is wel heel raar.

Mensen hergebruiken hun wachtwoord en als deze dan gebruikt worden is het toch de schuld van de mensen zelf?

Wil je nog meer captchas op alle login paginas misschien?
Het gaat niet om schuld maar om verantwoordelijkheid. Is een zorgaanbieder verantwoordelijk voor het feit dat credential stuffing aanvallen succesvol zijn? Dan is de vraag: zijn er redelijke stappen die een zorgaanbieder kan (en dus zou moeten) nemen om deze aanvallen te voorkomen?

Ik kan me direct 2 stappen bedenken die redelijk zijn om te nemen en een groot deel van deze aanvallen had kunnen voorkomen:
- MFA vereisen
- Pentesten: voer een credential stuffing aanval uit op je eigen infra en dwing accounts waar je succesvol op kon inloggen het wachtwoord te veranderen

Ik vind het best redelijk om een boete op te leggen aan een bedrijf dat in 2018, 2020 en 2022 op dezelfde manier is aangevallen en niet de minimale redelijke stappen genomen heeft om zo'n aanval te voorkomen.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search