Brugere med quidd advares om, at 4 millioner login-oplysninger blev lækket på et underjordisk forum

Ligesom enhver anden virksomhed påvirkes handel med stjålne data af en række forskellige faktorer. Mange forskellige mennesker udgør forsyningskæden, og alle har en bestemt rolle. Datas beskaffenhed og deres kilde bestemmer, hvor høj efterspørgsel er, og baseret på dem dannes den anmodede pris. Et for nylig brudt data opdaget af RiskBased Security og rapporteret af ZDNet kan give dig en ret god indsigt i, hvordan tingene fungerer.

Quidd har lidt dataovertrædelse

Opdagelsen blev foretaget den 12. marts, da forskere fra RiskBased Security opdagede et indlæg på et hackingforum fra en bruger med tilnavnet ProTag. ProTag tilbød en database indeholdende e-mail-adresser, brugernavne og hashede adgangskoder for knap 4 millioner brugere af en digital platform for samlerobjekter, kaldet Quidd.

Ifølge ZDNets undersøgelse er ProTag den hacker, der faktisk brød igennem Quidds forsvar og stjal dataene tilbage i 2019. 12. marts post var usædvanligt, fordi det normalt ikke er hackeren, der distribuerer dataene rundt. Normalt er dette jobbet for de såkaldte erhvervsdrivende, der også får en andel af overskuddet, hver gang spirende cyberkriminelle og svindlere beslutter at uddele nogle stjålne brugernavne og adgangskoder.

En sådan erhvervsdrivende fortalte ZDNet, at Quidd-databasen blev handlet længe før ProTag offentliggjorde den på hackingforumet. Tilsyneladende skiftede dataene i private forhandlede transaktioner. Om dette har noget at gøre med det forbliver ukendt, men ProTags indlæg forblev ikke længe online. Kort efter, at RiskBased Security så det, blev det slettet.

I slutningen af marts blev annoncen sendt igen på det samme forum af en anden person, og lige siden er databasen blevet delt og videresendt flere gange. Vi skal bemærke, at vi taler om et offentligt tilgængeligt forum, og vi skal også påpege, at Quidd-kontooplysningerne tilbydes gratis, hvilket betyder, at enhver med en internetforbindelse kunne affyre sin foretrukne browser og downloade dem. Men vil de?

En stærk hash-algoritme gør svindlernes liv sværere

En af de første ting, vi har brug for at lære i tilfælde af en adgangskode-lækage, er, hvordan loginoplysningerne blev gemt. På trods af de utallige advarsler fortsætter nogle tjenesteudbydere med at lave grundlæggende fejl i opbevaring af adgangskoder, og som et resultat kan de mennesker, der køber loginoplysninger på det mørke web, let kompromittere et stort antal konti og kan udføre deres svindel gennem dem. Heldigvis er Quidd ikke en af disse udbydere.

Adgangskoderne blev hashet med bcrypt - en af de sværeste at knække hash-algoritmer. At vende bcrypt hash tilbage til klare tekst adgangskoder er en ekstrem tid- og ressourceintensiv proces, og ofte beslutter cyberkriminelle, at indsatsen bare ikke er det værd. Ikke i dette tilfælde.

Som RiskBbas Security påpegede, handler Quidd-brugere digitale samlerobjekter til en værdi af millioner dollars, og tilsyneladende ser skurkerne dette som et stort nok incitament. Mange af dem har prøvet at revne hasherne, og det ser ud til, at nogle allerede er lykkedes. Et af ZDNets skærmbilleder viser, at en hacker tilbyder omkring 137.000 Quidd-brugernavne og adgangskodepar i klartekst, og ifølge RiskBased Security hævder en anden erhvervsdrivende at have brudt over 1 million hash. Da de har været i besvær med at afskaffe dataene, giver disse sælgere naturligvis ikke gratis.

Quidd holder stadig stille

Nu hvor dataene er i det offentlige rum, kan Quidd ikke gøre meget for at forhindre cyberkriminelle i at dele dem hinanden. Det kan dog informere sine brugere om hændelsen og tage skridt til at afbøde de potentielle konsekvenser. Af en eller anden grund ser det ud til, at det ikke gør nogen af disse ting.

Der er ingen officiel erklæring fra platformen, og potentielt berørte brugere får ingen meddelelser. Både RiskBased Security og ZDNet skrev til Quidd med anmodninger om kommentar, men platformen har foretrukket ikke at svare. I betragtning af det faktum, at nogle af loginoplysningerne handles i klartekst, lyder en tvangsindstillet adgangskode til berørte brugere som et godt opkald, men Quidd har heller ikke gjort det.

Som du kan se, er endda ikke korrekt adgangskodeopbevaring tilstrækkelig til at stoppe bestemte cyberkriminelle undertiden, hvilket betyder, at det at opføre sig tilstrækkeligt i kølvandet på et dataforbrud bliver endnu vigtigere for de berørte tjenesteudbydere. Desværre ser det ud til, at de personer, der er ansvarlig for Quidd, ikke forstår det.