Hackers overtreden Mixcloud en verkopen gebruikersgegevens online

Nadat ze inbreuk hebben gemaakt op een online service of een website, proberen hackers meestal geld te verdienen met de gegevens die ze hebben gestolen door ze te verkopen op het dark web of op een van de vele hackforums die zijn geïndexeerd door Google en die gemakkelijk toegankelijk zijn. Gezien hoe waardevol persoonlijke informatie kan zijn, is het verkopen van de gegevens aan andere criminelen vaak niet zo'n uitdaging. Blijkbaar zijn de doorgestuurde databases echter soms moeilijker te verplaatsen. Een hacker met de bijnaam A_W_S, bijvoorbeeld, had waarschijnlijk moeite om een database te verkopen die hij/zij had gestolen van de Mixcloud-streamingdienst, en daarom besloten ze het woord te verspreiden door op te scheppen over de aanval op de media.

Vorige week nam A_W_S contact op met Zack Whittaker van TechCrunch, Joseph Cox van Motherboard en Catalin Cimpanu van ZDNet en vertelde hen dat Mixcloud een datalek had geleden. A_W_S zei dat hij/zij erin geslaagd was om de records van maar liefst 21 miljoen abonnees te beheren en dat de gegevens te koop waren op een dark web-marktplaats.

A_W_S is eigenlijk niet nieuw voor dit soort dingen. Volgens de verslaggever van ZDNet werkten ze samen met een andere cybercrimineel bekend als Gnosticplayers, wiens liefde voor media-aandacht eerder dit jaar duidelijk werd na een paar relatief spraakmakende aanvallen. Maar hoe verhoudt de Mixcloud-inbreuk zich tot de activiteiten van Gnosticplayers?

Niet de meest gruwelijke breuk ter wereld

Alle drie nieuwsuitrustingen ontvingen monsters van de gegevens om de authenticiteit ervan te bevestigen. De verslaggevers zagen gebruikersnamen, e-mail- en IP-adressen, datums van accountregistraties en gezouten hashes van wachtwoorden van mensen in de database. Ze namen contact op met enkele van de getroffen personen en probeerden nieuwe Mixcloud-accounts te registreren met enkele e-mails en ze bevestigden dat de informatie inderdaad echt is. De data waarop enkele registraties werden gemaakt, suggereerden dat de aanval slechts enkele weken geleden was gestopt. De gegevens zijn dus echt en waarschijnlijk geldig. Het is een goede zaak dat er niet veel van is.

Nadat het kennis had genomen van de inbreuk, wees Mixcloud erop dat het geen creditcardgegevens of fysieke adressen opslaat. Het zei ook dat de meeste gebruikers zich hebben aangemeld voor de service met behulp van hun Facebook-accounts, wat op zichzelf de hoeveelheid blootgestelde gegevens tot op zekere hoogte beperkt. Wat nog belangrijker is, de streaming-serviceprovider zei dat de gestolen wachtwoorden veilig zijn gezouten en gehasht, wat de nieuwsuitzendingen hebben weten te bevestigen. Mixcloud gebruikte SHA-2 - een hashing-algoritme dat praktisch onmogelijk is om te keren.

Als gevolg hiervan zullen de boeven die voor de database betalen niet echt veel voor hun geld krijgen, wat waarschijnlijk de reden is waarom de gegevens niet zoveel aandacht trekken. Toen TechCrunch en Motherboard op 29 november over de breuk schreven, vroeg A_W_S 0,5 bitcoin of $ 4.000, maar tegen de tijd dat het rapport van ZDNet op 1 december uitkwam, was de prijs verlaagd naar 0.27 bitcoin of ongeveer $ 2.000.

Niet de beste reactie ter wereld

Mixcloud wist blijkbaar niets over de inbreuk vóór het eerste bericht in de media. Ongeveer 24 uur nadat het nieuws was uitgekomen, kwam de streaming-serviceprovider met wat Zack Whittaker vrij nauwkeurig omschreef als "een standaard bedrijfsverklaring". Naast de onvermijdelijke verklaring "we nemen beveiliging zeer serieus", bevatte de blogpost informatie over de mechanismen voor wachtwoordopslag en over de relatief beperkte hoeveelheid gegevens die werd blootgesteld. Het bevatte niet het aantal mensen dat door de inbreuk werd getroffen, en het zei niets over de voorzorgsmaatregelen die werden genomen om hen in de toekomst beter te beschermen. De beslissing om een FAQ-gedeelte met slechts twee vragen op te nemen, is ook nogal vreemd, gezien het feit dat er naar verluidt meer dan 20 miljoen records zijn gestolen.

Toen verslaggevers om verder commentaar vroegen, bleven de woordvoerders van Mixcloud zwijgen, wat nog een ander bewijs is dat de streaming-serviceprovider een beetje transparanter had kunnen zijn in zijn openbaarmaking. We kunnen alleen maar hopen dat andere leveranciers die te maken hebben met datalekken een beetje beter kunnen omgaan.