De in de VS gevestigde chef-kok dringt er bij klanten op aan om wachtwoorden te wijzigen nadat een datalek is onthuld
We praten vaak over hoe belangrijk het is om snel te handelen in de nasleep van een datalek. Bedrijven moeten er niet alleen voor zorgen dat de cybercriminelen met succes zijn geblokkeerd en de beveiligingsgaten zijn afgesloten, maar ze moeten ook de getroffen klanten informeren en de inbreuk transparant bekendmaken aan het publiek. Incidenten zoals die van het thuisbezorgbedrijf Home Chef laten zien dat we dit alles waarschijnlijk moeten blijven herhalen.
Home Chef - een van de slachtoffers van Shiny Hunters
Begin mei trok een nieuwe groep cybercriminelen de aandacht van beveiligingsexperts. Ze noemen zichzelf Shiny Hunters en ze lijken toegang te hebben tot een grote verzameling gestolen informatie, waarmee ze geld proberen te verdienen. Eerst werd een database te koop aangeboden die afkomstig was van een populaire Indonesische website genaamd Tokopedia. Vervolgens probeerden ze 22 miljoen records te verplaatsen die waren gestolen van een online onderwijsplatform Unacademy, en een paar dagen later bewees Shiny Hunters nogmaals dat ze niet te onderschatten zijn.
Ze gingen terug naar hun favoriete hackforums en kondigden niet minder dan 10 niet-gemelde datalekken aan. Ze beweerden niet dat ze verantwoordelijk waren voor de aanvallen, maar ze wezen er wel op dat ze de gestolen databases hebben en ze zijn bereid ze te delen in ruil voor bitcoins.
Met een prijs tussen $ 500 en $ 3.500 per dataset, was de gelekte informatie van verschillende organisaties gestolen, en zoals je je misschien kunt voorstellen, is Home Chef daar een van. De hackers hebben in totaal 8 miljoen records gestolen van het voedselbezorgingsnetwerk en ze willen $ 2.500 voor hen. Daarvoor krijgen kopers een substantiële database met namen, e-mails, telefoonnummers, verschillende stukjes accountgerelateerde informatie, evenals gecodeerde wachtwoorden en de laatste vier cijfers van de creditcard of betaalpas van mensen. Helaas blijft het coderingsalgoritme dat de wachtwoorden beschermt voorlopig onbekend.
Home Chef wachtte bijna twee weken voordat het het datalek bekendmaakte
Over het algemeen zijn de details rond de aanval op Home Chef enigszins schaars, maar sommigen van jullie zouden kunnen beweren dat we geluk hebben dat zelfs te hebben. De groothandel van Shiny Hunters haalde voor het eerst het nieuws op 9 mei, toen Bleeping Computer erover rapporteerde. Destijds gaf slechts één (een fotoalbumleverancier genaamd ChatBooks) van de tien getroffen organisaties toe dat het doelwit was van cybercriminelen, en hoewel de nieuwswebsite probeerde contact op te nemen met alle betrokkenen, gaven de andere bedrijven er de voorkeur aan om hun e-mails. Home Chef is het tweede lid van deze groep dat op de hoogte is gebracht van de inbreuk, en de manier waarop het is gedaan, benadrukt het enorme probleem dat we hebben met gegevensbeveiligingsincidenten en de openbaarmaking ervan.
Het is bijna precies twee weken geleden dat Shiny Hunters ons voor het eerst vertelde dat Home Chef is gehackt. Alleen de hackers kunnen zeggen hoeveel mensen in deze periode voor de gestolen gegevens hebben betaald, en zelfs zij kunnen niet veel meer doen dan raden hoe vaak deze opnieuw zijn gedeeld.
Het feit dat het te koop is aangeboden, is niet iets wat Home Chef graag met zijn gebruikers bespreekt. In feite biedt de pagina met veelgestelde vragen die het bedrijf heeft samengesteld weinig informatie. Het is niet goed om gebruikers een duidelijk overzicht te geven van wat er is gebeurd, maar het laat wel zien hoeveel clichés bedrijven gebruiken nadat ze zijn getroffen door een datalek. Het enige positieve eraan is dat het gebruikers ertoe aanzet om hun wachtwoorden uit voorzichtigheid te veranderen.
Als je een Home Chef-gebruiker bent, is het inderdaad een goed idee om dat te doen. Dit zijn de stappen:
- Log in op uw Home Chef-account
- Klik op het vervolgkeuzemenu Account en selecteer Accountgegevens
- Vul het formulier Uw wachtwoord wijzigen in
- Klik op Bewaar uw instellingen
Bedrijven lijken ervan overtuigd te zijn dat ze op de een of andere manier hun gezicht kunnen redden als ze weinig of geen informatie delen over cyberbeveiligingsincidenten die ze hebben meegemaakt. Uiteindelijk zijn het echter de gebruikers die aan de verkeerde kant kunnen belanden van alle verschillende aanvallen die worden veroorzaakt door datalekken, en ze hebben het volste recht om te weten waar ze op moeten letten. De vertraagde openbaarmaking en de terughoudendheid om details te delen, doen niets meer dan de gebruiker extra risico laten lopen, en dit kan de reputatie van het bedrijf niet ten goede komen.
