Was uw Vimeo-account bevroren? Dit is waarom

Het is veilig om te zeggen dat individuen verantwoordelijk moeten zijn voor hun eigen veiligheid en de gevolgen moeten dragen wanneer ze deze taak niet serieus genoeg nemen. Niettemin verdienen online serviceproviders die proactieve maatregelen nemen om hun gebruikers te beschermen zeker een spreekwoordelijke schouderklopje. Dat gezegd hebbende, is het communiceren van hun acties met gebruikers waarschijnlijk net zo belangrijk als de acties zelf, en helaas gaat het hier soms niet zo goed als iedereen hoopt. Video-sharingplatform Vimeo liet ons bijvoorbeeld zien hoe beveiligingsinitiatieven die niet goed worden uitgelegd, voor veel verwarring kunnen zorgen.

Door "bevroren" accounts krabben Vimeo-gebruikers hun hoofd

Vorige week realiseerden sommige Vimeo-accounteigenaren zich dat ze niet kunnen inloggen op het video-publicatieplatform. David Smith, een lezer van infosec tijdschrift The Register, legde uit dat hij een melding ontving dat hem vertelde dat "een vreemde" toegang had gekregen tot zijn account en dat Vimeo had besloten om het profiel te blokkeren om hem te beschermen. Dit soort scenario is niet zo ongewoon als je zou denken, en hoewel we het hebben over ongeoorloofde toegang, betekent dit niet noodzakelijkerwijs dat de online service (in dit geval Vimeo) is aangetast.

Credential stuffing wordt steeds populairder bij cybercriminelen. Daarin nemen oplichters een database met gebruikersnamen en wachtwoorden die zijn gestolen van de ene website (bijv. Een online discussiebord) en proberen ze uit tegen een ander platform (bijv. Facebook). Omdat zoveel mensen dezelfde inloggegevens op meerdere websites hergebruiken, kunnen nogal wat Facebook-profielen worden aangetast, ondanks het feit dat het sociale netwerk zelf niet het doelwit is van hackers.

Sommige statistieken die onlangs door Microsoft zijn gepubliceerd, toonden aan dat het spuiten van wachtwoorden tegenwoordig ook vrij gebruikelijk is. Bij een aanval met wachtwoordverstoring nemen de oplichters een lijst met bekende gebruikersnamen en koppelen ze aan een paar veelgebruikte, gemakkelijk te raden wachtwoorden. Nogmaals, de neiging van mensen om dezelfde zwakke wachtwoorden te gebruiken, betekent dat cybercriminelen relatief gemakkelijk in de accounts van gebruikers kunnen inbreken.

Vimeo zei dat malware de inloggegevens van gebruikers had gestolen

David Smith wist dat hij niet het doelwit was geweest van een aanval met inloggegevens, en hij was er ook vrij zeker van dat wachtwoordspuiten niet betrokken was. Hij was ervan overtuigd dat er iets anders aan de hand was, omdat hij, in tegenstelling tot veel mensen, een uniek, willekeurig gegenereerd wachtwoord gebruikte voor zijn Vimeo-account.

Verbijsterd reikte hij naar The Register in een poging te begrijpen wat er was gebeurd. De journalisten waren niet wijzer, maar ze namen wel contact op met Vimeo en het platform voor het delen van video's onthulde eindelijk wat er werkelijk aan de hand was. Een vertegenwoordiger vertelde The Register dat het beveiligingsteam van Vimeo 'een lijst met gecompromitteerde e-mail- en wachtwoordcombinaties had gevonden die waren vastgelegd met malware'. Hoe ze ze hebben gevonden, blijft onbekend, maar ze hebben ze wel gecontroleerd en beseften dat ten minste een deel van de gegevens geldig was. Om gebruikers te beschermen, hebben ze de toegang tot de getroffen accounts geblokkeerd.

Het is niet duidelijk hoe gemakkelijk de gestolen inloggegevens toegankelijk waren, maar het is veilig om te zeggen dat, ongeacht de omstandigheden, het bevriezen van de accounts het juiste was. Wat echter niet helemaal duidelijk is, is waarom Vimeo het deed zonder gebruikers en de rest van de wereld hierover te informeren. Zelfs nu, nadat het verhaal zijn weg vond naar de wekelijkse nieuwsoverzicht van The Register, heeft Vimeo geen specifieke details bekendgemaakt via de reguliere informatiekanalen, wat betekent dat sommige gebruikers zich mogelijk nog steeds niet bewust zijn van wat er aan de hand is. Ze weten misschien niet dat ze hun apparaten moeten scannen op malware en ook hun wachtwoorden moeten wijzigen.

Dergelijke acties zouden het vertrouwen van mensen in de dienstverlener moeten versterken, maar als ze niet goed worden uitgelegd, kunnen ze het tegenovergestelde effect hebben. Hopelijk blijven we zien dat online platforms voor hun gebruikers zorgen en zien we ook een transparantere afhandeling van beveiligingsincidenten.