Unacademy leed een groot datalek: 22 miljoen records worden verkocht op het dark web

Unacademy, een door Facebook ondersteund, in India gevestigd online leerplatform, heeft een ernstig gegevenslek geleden en daarom verdienen sommige cybercriminelen nu geld. We weten dit omdat onderzoekers van Cyble, een cyberbeveiligingsbedrijf, onlangs een advertentie op een ondergrondse marktplaats hebben opgemerkt die een database verkoopt die, volgens de beschrijving, 20 miljoen Unacademy-accounts bevat. Om het toe te voegen aan hun AmIBreached.com-inbreukcontroleservice, hebben de experts van Cyble de database verworven en beseften dat deze eigenlijk iets minder dan 22 miljoen records bevat. Wat echter verrassender was, was de prijs - slechts $ 2.000.

Veilig gehashte wachtwoorden verlagen de prijs

Door de grote beschikbaarheid van gestolen informatie zijn dergelijke databases doorgaans vrij goedkoop. In dit geval levert een enkele dollar u echter iets minder dan 11 duizend rekeningen op, wat een verbazingwekkend lage prijs is. Daar is echter een goede reden voor.

Cyble heeft de database gedeeld met verslaggevers van Bleeping Computer, die hebben bevestigd dat de wachtwoorden die op de dump zijn opgeslagen, zijn gehasht met SHA256 - een sterk hash-algoritme. Het zal erg moeilijk worden om de hashes om te zetten in wachtwoorden met platte tekst en het zal waarschijnlijk tijd vergen dat de oplichters terughoudend zullen zijn om te investeren. Bovendien vertelde Hemesh Singh, CTO van Unacademy, Bleeping Computer dat het platform "een op OTP gebaseerd inlogsysteem" heeft dat de getroffen gebruikers verder zou moeten beschermen.

Uit voorzorg worden Unacademy-gebruikers nog steeds geadviseerd om hun wachtwoord te wijzigen, maar het is redelijk om te zeggen dat de database die momenteel te koop is op het dark web geen onmiddellijke overnamebedreiging vormt. Dit betekent echter niet dat de inbreuk onbeduidend is.

Hackers kunnen de Unacademy-gegevens op verschillende manieren gebruiken

Naast de SHA256-hashes, bevat elk van de records de voor- en achternaam van de gebruiker, gebruikersnaam, e-mailadres, laatste inlogdatum en datum van het aanmaken van een account. Met andere woorden, hackers die $ 2.000 over hebben, kunnen nog steeds toegang krijgen tot tal van bruikbare informatie. De blootgestelde gegevens kunnen de basis vormen van zorgvuldig vervaardigde spear phishing-aanvallen, die, gezien de posities die sommige van de getroffen personen innemen, ernstige gevolgen kunnen hebben.

Volgens Cyble hadden veel gebruikers die werden blootgesteld aan de Unacademy-inbreuk hun zakelijke e-mails gebruikt tijdens de registratie. Sommigen van hen werken voor grote technologiebedrijven zoals Facebook, Google, Infosys, Cognizant en Wipro. Als hun vaardigheden op het gebied van social engineering goed genoeg zijn, kunnen de hackers slachtoffers mogelijk misleiden tot het delen van informatie die een kans kan zijn om het netwerk van een groot bedrijf in gevaar te brengen.

Het is duidelijk dat dit op dit moment slechts een hypothese is, en over het algemeen is het moeilijk in te schatten hoe groot de effecten van de inbreuk zouden kunnen zijn, vooral gezien de onbekende factoren eromheen.

Er zijn een paar vraagtekens rond de Unacademy-inbreuk

Volgens Hemesh Singh had de inbreuk betrekking op "ongeveer 11 miljoen leerlingen", maar zoals we al vermeldden, bedraagt het aantal records in de database bijna het dubbele. Helaas heeft Singh de vervolgvragen van Bleeping Computer over de discrepantie niet beantwoord. Hij gaf ook geen commentaar op de beweringen van de hackers.

Volgens de verklaring van Singh werd tijdens de inbreuk alleen "basisinformatie" onthuld, maar de vermeende daders vertelden Cyble dat de 22 miljoen gebruikersrecords slechts een deel van de gestolen gegevens zijn. Ze zeggen dat ze de "volledige database" van Unacademy hebben gemaakt, hoewel het natuurlijk moeilijk is om te zeggen hoe geloofwaardig hun beweringen zijn.

Unacademy is een onderzoek gestart dat deze beweringen hopelijk zal bevestigen of ontkennen, en we hopen dat de bevindingen openbaar zullen worden gemaakt. In de tussentijd moeten Unacademy-gebruikers zich bewust zijn van de gevaren die aan het incident zijn verbonden en daarnaar handelen.