Een datalek op het Spaanse e-learningplatform 8Belts treft meer dan 150.000 gebruikers wereldwijd

8Belts is een Spaans online leerplatform dat gespecialiseerd is in cursussen voor vreemde talen. Het werd opgericht in 2011 en werd gedeeltelijk gefinancierd door het Europees Fonds voor Regionale Ontwikkeling en de Spaanse regering. Volgens beveiligingsonderzoekers Noam Rotem en Ran Locar wordt 8Belts echter gebruikt door mensen van over de hele wereld, waaronder Angola, Australië, Barbados, België, de VS en Oezbekistan. U vraagt zich misschien af hoe een paar beveiligingsexperts zoveel details weten over de gebruikersbasis van een e-learningplatform. Helaas vonden ze de informatie in een onbeschermde database.

Een andere dag, weer een blootgestelde database

Zoals sommigen van jullie misschien weten, leiden Rotem en Locar een team van onderzoekers die voor VPNMentor werken. De afgelopen maanden hebben ze gewerkt aan een enorm webmapping-project met als doel de algehele gegevensbeveiliging te verbeteren. In het proces hebben ze echter laten zien hoe gemakkelijk het is om gigabytes aan privé-informatie bloot te leggen.

Serviceproviders maken een aantal fouten, en een van de meest voorkomende is het achterlaten van een database met persoonlijke gegevens van gebruikers in een openbaar toegankelijke Amazon Web Service S3-bucket. Ze vergeten vaak de emmer te beschermen met een wachtwoord en tijdens het proces stellen ze deze per ongeluk bloot aan iedereen met een internetverbinding. Veel bedrijven hebben het gedaan en half april kwamen de onderzoekers van VPNMentor erachter dat 8Belts zich bij de club had aangesloten.

8Belts heeft een productiedatabase in een openbare S3-opslagemmer geplaatst

Bij het vinden van de database zagen de experts dat sommige records erin dateren uit 2017, maar terwijl ze probeerden te achterhalen wie de eigenaar is, zagen ze dat informatie in realtime werd toegevoegd. Het was met andere woorden een actieve productiedatabase die de gegevens van gloednieuwe 8Belts-gebruikers verzamelde. Er waren ook nogal wat details.

In een van de CVS-dossiers zagen de experts de records van maar liefst 150 duizend 8Belts-gebruikers. Elk record bevatte de volgende details:

• Namen
• E-mailadres
• Telefoonnummer
• Land van verblijf
• Geboortedatum

Helaas bevatten andere bestanden in de bucket nog meer gevoelige gegevens, waaronder de nationale ID-nummers van zowel studenten als mentoren.

De doorbraak kan verschrikkelijke gevolgen hebben gehad voor zowel 8Belts als haar klanten

Je kunt al zien dat het Spaanse e-learningplatform veel persoonlijk identificeerbare informatie lekte, en wat de onderzoekers beschreven als 'een aanzienlijk verval in de beveiligingsprotocollen van 8Belts' had kunnen leiden tot tal van gevallen van identiteitsdiefstal. Helaas was dit niet alles.

Op haar website schept 8Belts op over het aanbieden van cursussen vreemde talen aan de werknemers van een aantal grote, wereldberoemde bedrijven. Onder de partners vind je bedrijven als Huawei, Deloitte, PricewaterhouseCoopers, Santander, etc. Zeker, de persoonlijke gegevens van de medewerkers van deze bedrijven stonden ook in de database van 8Belts. Dit stelde niet alleen de werknemers zelf bloot, maar had ook de klanten van het leerplatform in gevaar kunnen brengen.

Daarnaast ontdekte het team van VPNMentor serverlogboeken die onthulden hoe sommige van de backend-systemen van 8Belts werken. Deze informatie had cybercriminelen kunnen helpen het online leerplatform zelf te hacken, waardoor er een onberekenbare hoeveelheid schade is aangericht.

De lekkende emmer werd stilletjes offline getrokken

Een paar dagen nadat ze de blootgestelde informatie hadden ontdekt, probeerden de onderzoekers contact op te nemen met 8Belts om de schending bekend te maken en verdere hulp te bieden. In afwachting van een reactie namen ze ook contact op met Amazon en informeerden ze de opslagprovider over de blootgestelde informatie. Uiteindelijk kregen ze geen antwoord, maar bij een paar weken later kwamen ze erachter dat de database offline was gehaald. Hoewel VPNMentor zijn rapport een paar dagen geleden heeft gepubliceerd, heeft 8Belts nog niets te bieden dat lijkt op een officiële verklaring.

Zoals het geval is bij veel vergelijkbare lekken, hebben we geen bewijs gezien van enig misbruik van de blootgestelde gegevens, maar dit mag nooit een reden zijn om het probleem te negeren of te doen alsof het niet is gebeurd. Integendeel, de ontdekking zou voor 8Belts een stimulans moeten zijn om haar klanten te laten zien dat ze vastbesloten zijn dit niet nog een keer te laten gebeuren.