Ashley Madison Datalek Afpersing Scam Targets Honderden slachtoffers

Verschillende datalekken hebben verschillende gevolgen. Als een internet-discussiebord bijvoorbeeld wordt gehackt, is de schade meestal beperkt tot gebruikersnamen, e-mailadressen en, in sommige gevallen, wachtwoorden. Als een e-commerce-website of een betalingsdienstaanbieder in gevaar wordt gebracht, kan het een beetje lelijker worden omdat ze betalingsinformatie opslaan. Zoals nogal wat mensen kunnen getuigen, kan een succesvolle aanval op websites zoals Ashley Madison zelfs nog schadelijker zijn.

Ashley Madison is een online datingservice voor mensen die een affaire willen hebben, en zoals u waarschijnlijk weet, werd deze in 2015 gehackt. Bijna 10 GB aan gevoelige gegevens was gelekt en de effecten op de gebruikers van Ashley Madison waren ingrijpend. Reputaties en families werden ernstig in gevaar gebracht en voor sommigen leidde de mogelijkheid van publieke schaamte en schaamte tot zelfmoord.

Velen kwamen er echter ongeschonden uit en gingen verder met hun leven. Ze hoopten waarschijnlijk dat het hele ding nu achter de rug is, maar ze hebben onlangs een aantal spamberichten in hun inbox gevonden, wat bewees dat dit niet het geval is.

Vijf jaar later proberen cybercriminelen nog steeds te profiteren van de hack van Ashley Madison

Vorige week berichtten onderzoekers van Vade Secure over een nieuwe spamcampagne gericht op slachtoffers van de datalek in Ashley Madison. Het is verre van de gebruikelijke zaak. In tegenstelling tot doorsnee spray-and-pray campagnes die duizenden of zelfs miljoenen mensen troffen, is deze aanval deze keer gepersonaliseerd voor elk doelwit en kan deze extreem destructief zijn.

De spammers plaatsen de Ashley Madison-gebruikersnaam van het slachtoffer in het onderwerp van de e-mail om hun aandacht te trekken. De hoofdtekst van het bericht begint met dezelfde gebruikersnaam en de woorden 'Ik weet alles over u'. Verderop proberen spammers te bewijzen dat deze verklaring waar is.

Ze voegen gegevens toe die zijn gestolen van Ashley Madison, waaronder het telefoonnummer van het slachtoffer, de geboortedatum, het fysieke adres, de aanmaakdatum van het account en het IP-adres waarop het account is gemaakt.

Toen Ashley Madison werd gehackt, bevatten de gelekte gegevens onder andere transactiegegevens en bankrekeningnummers, en ja hoor, de e-mails bevatten ook informatie over online aankopen, die het slachtoffer waarschijnlijk liever privé houdt. Het is echter moeilijk te zeggen of dit specifieke stukje informatie van Ashley Madison komt. Voor zover we weten, is het misschien zelfs niet echt. Vade plaatste een screenshot, waarin de spammers laten zien dat ze details hebben over een online bestelling voor "mannelijke assistentieproducten" vanaf eind 2018 - meer dan drie jaar na de inbreuk op Ashley Madison. De rest van de informatie in de e-mail is echter blijkbaar volledig legitiem en het zal u waarschijnlijk niet verbazen dat de hackers het dreigen te tonen aan de vrienden en familie van het slachtoffer.

Sommige cryptomunten kunnen dit natuurlijk stoppen. Om ervoor te zorgen dat het bericht voorbij moderne spamfilters komt, hebben de oplichters ervoor gekozen geen betalingsvereisten op te nemen in de e-mail. In plaats daarvan voegen ze een met een wachtwoord beveiligd PDF-bestand bij dat alle instructies bevat, inclusief een QR-code voor extra gemak. Dit is een nieuwe techniek. De onderzoekers merkten echter op dat het effectief is, wat betekent dat we het waarschijnlijk ook in de toekomst zullen zien.

Een sextortion scam met een twist

De huidige campagne doet denken aan een specifiek soort sextortion-zwendel die extreem populair werd bij cybercriminelen in de zomer van 2018. Destijds probeerden de spammers slachtoffers te chanteren door hen te bedreigen met gênante beelden, die naar verluidt waren vastgelegd door het slachtoffer gehackte webcamera. Weinig mensen zouden echter voor deze claims vallen, en daarom hebben de spammers ook een van de wachtwoorden van de gebruiker in de e-mails opgenomen. Ze kregen de wachtwoorden van online databases die waren gelekt tijdens niet-gerelateerde datalekken, en voor het grootste deel waren de referenties oud en niet langer geldig. Niettemin geloofden de oplichters dat ze de slachtoffers zouden misleiden door te denken dat hun laptops echt waren gehackt en dus door zouden gaan met de betaling.

Fundamenteel is het principe hier hetzelfde. De hackers beweren dat ze schadelijke informatie over hun slachtoffers gaan lekken, en alleen een losgeld kan dit voorkomen. Het verschil is echter dat de video's van de oude sextortion-zwendel niet echt zijn, terwijl de gelekte details van Ashley Madison dat wel zijn.