WeLeakInfo.com, een domein dat toegang tot privégegevens heeft verkocht, is in beslag genomen door de FBI

We weten allemaal dat cybercriminelen elke dag gestolen persoonlijke gegevens kopen en verkopen, en we proberen onszelf ervan te overtuigen dat we genoeg hebben gedaan om ervoor te zorgen dat onze eigen informatie niet in verkeerde handen terechtkomt. Hoewel velen van ons de werkelijke kosten niet kennen, gaan we er ten onrechte van uit dat boeven aanzienlijke hoeveelheden geld betalen voor onze persoonlijke informatie, maar een online service met de naam WeLeakInfo.com onthulde dat dit niet echt het geval is.

Gelukkig zullen ondernemende wannabe cybercriminelen met een budget teleurgesteld zijn om te ontdekken dat WeLeakInfo er niet meer is. Gisteren heeft het Federaal Bureau van Onderzoek het domein in beslag genomen nadat een internationaal onderzoek heeft aangetoond dat de website betrokken is bij een aantal illegale activiteiten. De operatie betrof de cybercrime-eenheden van wetshandhavingsinstanties in de VS, het VK, Nederland en Duitsland, en naast het uitschakelen van de website, resulteerde het ook in de arrestaties van een paar 22-jarigen in Noord-Ierland en nederland. Laten we kijken hoe ze in deze puinhoop terecht zijn gekomen.

Wat heeft WeLeakInfo gedaan?

WeLeakInfo adverteerde zelf als een datalek-alert-service. De startpagina werd gedomineerd door een vrij groot zoekveld waarin u uw gebruikersnaam, e-mailadres, wachtwoord of andere persoonlijke gegevens zou invoeren. De informatie die u invoert, wordt vervolgens vergeleken met een enorme verzameling databases die zijn gestolen en gelekt tijdens datalekken bij verschillende organisaties. Als er een overeenkomst is, laat de service u dat weten. Volgens het Twitter-profiel van WeLeakInfo (dat nog steeds live is op het moment van schrijven) wisten de exploitanten van de website maar liefst 12 miljard records te verzamelen die zijn gelekt tijdens niet minder dan 10 duizend datalekken. Is er moreel of juridisch iets mis met de hele operatie?

Als het goed wordt gedaan, kan dit soort service mensen helpen hun online beveiliging te verbeteren. In feite is Troy Hunt, een van de meest invloedrijke namen in de cybersecurity-industrie, een niet onbeduidend deel van zijn bekendheid te danken aan een soortgelijk platform genaamd HaveIBeenPwned, dat hij in 2013 lanceerde. Net als WeLeakInfo laat HaveIBeenPwned gebruikers controleren of hun persoonlijke gegevens (e-mailadres en wachtwoord in het geval van de service van Hunt) zijn blootgesteld tijdens een datalek. Op het eerste gezicht zijn de twee diensten vrijwel identiek.

Waarom heeft de ene de eigenaar de status van een beroemdheid gegeven, terwijl de andere de vermeende exploitanten in handboeien heeft gestopt?

Waarom werd WeLeakInfo uitgeschakeld?

Een van de redenen waarom HaveIBeenPwned zo succesvol is, is omdat het talloze mechanismen heeft die zijn ontworpen om de privacy van slachtoffers van datalekken zo veilig mogelijk te houden. WeLeakInfo, daarentegen, verdiende er geld mee.

De in beslag genomen website bood drie betaalde abonnementen, waarmee klanten toegang kregen tot het enorme datacorpus waarop de service was gebaseerd. Met andere woorden, iedereen met een paar extra dollars op zak kan naar WeLeakInfo gaan, een plan betalen en zo veel van de 12 miljard gestolen records doorzoeken en downloaden als ze wilden. De enige beperkende factor was de tijd en deze hing af van het plan dat de klant koos. Het goedkoopste abonnement gaf WeLeakInfo-klanten slechts één dag toegang tot de gegevens, maar er waren ook plannen voor een week, een maand en drie maanden.

Er zijn nog enkele onbekenden. Het is bijvoorbeeld niet duidelijk of alle 12 miljard records wachtwoorden bevatten. We hebben ook geen idee welk deel van de wachtwoorden in platte tekst is opgeslagen. Onder verwijzing naar het lopende onderzoek als een reden, weigerden de wetshandhavingsinstanties om details over de populariteit van WeLeakInfo te verstrekken, wat betekent dat het moeilijk is om in te schatten hoe groot de potentiële schade is. De politie-inval kan echter een vrij goede indicatie zijn dat het gevaar zeer reëel was.

Door de WeLeakInfo-operatie te verbreken, gaven de organisaties voor cybercriminaliteit ons ook een goed idee van hoeveel de gestolen gegevens van nietsvermoedende internetgebruikers eigenlijk kosten. Het duurste plan van WeLeakInfo gaf abonnees toegang tot 12 miljard gestolen records voor een totaal van drie maanden, en het kostte $ 70. Dit, voor het geval u het nog niet hebt berekend, bedraagt minder dan $ 0,80 per dag.