Quidd-användare varnas om att 4 miljoner inloggningsdetaljer läcktes ut på ett underjordiskt forum

Precis som alla andra företag påverkas handeln med stulna uppgifter av ett antal olika faktorer. Många olika människor utgör leveranskedjan och alla har en specifik roll. Datorns art och dess källa avgör hur hög efterfrågan är och baserat på det bildas det begärda priset. Ett senaste dataöverträdelse upptäckt av RiskBased Security och rapporterat av ZDNet kan ge dig en ganska bra inblick i hur saker fungerar.

Quidd har drabbats av ett dataintrång

Upptäckten gjordes den 12 mars när forskare från RiskBased Security upptäckte ett inlägg på ett hackningsforum från en användare med namnet ProTag. ProTag erbjöd en databas som innehåller e-postadresser, användarnamn och hash-lösenord för knappt 4 miljoner användare av en digital plattform för handelsföremål som heter Quidd.

Enligt ZDNets utredning är ProTag den hacker som faktiskt bröt igenom Quidds försvar och stal uppgifterna tillbaka 2019. 12 mars posten var ovanlig eftersom normalt sett är det inte hackaren som distribuerar informationen runt. Vanligtvis är detta jobbet för de så kallade handlarna som också får en del av vinsten när spirande cyberbrottslingar och bedrägerier beslutar att ta bort några stulna användarnamn och lösenord.

En sådan handlare berättade för ZDNet att Quidd-databasen handlades långt innan ProTag publicerade den på hackforumet. Tydligen bytte uppgifterna hand i privata förhandlade transaktioner. Huruvida detta har något att göra med det förblir okänt, men ProTags inlägg förblev inte länge online. Strax efter att RiskBased Security såg det raderades det.

I slutet av mars publicerades annonsen igen på samma forum av en annan person, och sedan dess har databasen delats och delats om flera gånger. Vi bör notera att vi talar om ett offentligt tillgängligt forum, och vi bör också påpeka att Quidd-kontoinformationen erbjuds gratis, vilket innebär att alla med internetuppkoppling kan spela upp sin favoritwebbläsare och ladda ner dem. Men kommer de?

En stark hashningsalgoritm gör svindlarnas liv svårare

En av de första sakerna vi behöver lära oss vid lösenordsläckning är hur inloggningsuppgifterna lagrades. Trots de otaliga varningarna fortsätter en del tjänsteleverantörer att göra grundläggande fel med lösenordslagring, och som ett resultat kan de som köper inloggningsinformation på den mörka webben enkelt kompromissa med ett stort antal konton och kan utföra sina bedrägerier genom dem. Lyckligtvis är Quidd inte en av dessa leverantörer.

Lösenorden var hashade med bcrypt - en av de svåraste att spricka hashningsalgoritmer. Att återvända bcrypt-hascher till klara textlösenord är en extremt tids- och resurskrävande process, och ofta beslutar cyberkriminella att ansträngningen bara inte är värt det. Men inte i det här fallet.

Som riskbaserad säkerhet påpekade handlar Quidd-användare digitala samlarobjekt för miljontals dollar, och tydligen ser skurkarna detta som ett tillräckligt stort incitament. Många av dem har försökt knäcka haschen, och det ser ut som att några redan har lyckats. En av ZDNets skärmdumpar visar att en hackare erbjuder cirka 137 tusen Quidd-användarnamn och lösenordspar i ren text, och enligt RiskBased Security hävdar en annan handlare att ha knäckt över 1 miljon hash. Naturligtvis, eftersom de har gått igenom besväret med att ta bort informationen kommer dessa säljare inte att ge bort det gratis.

Quidd håller fortfarande tyst

Nu när uppgifterna är i det offentliga området kan Quidd inte göra mycket för att hindra cyberbrottslingar från att dela dem med varandra. Den kan emellertid informera sina användare om händelsen och vidta åtgärder för att mildra de potentiella konsekvenserna. Av någon anledning verkar det göra någon av dessa saker.

Det finns inget officiellt uttalande från plattformen, och potentiellt drabbade användare får inga aviseringar. Både RiskBased Security och ZDNet skrev till Quidd med förfrågningar om kommentarer, men plattformen har föredragit att inte svara. Med tanke på att en del av inloggningsuppgifterna handlas i ren text, låter en tvingad lösenord återställs för berörda användare som ett bra samtal, men Quidd har inte heller gjort det.

Som du ser är inte tillräckligt med lösenordslagring tillräckligt för att stoppa bestämda cyberbrottslingar ibland, vilket innebär att beteendet på ett adekvat sätt efter ett dataintrång blir ännu viktigare för berörda tjänsteleverantörer. Tyvärr ser det ut som de ansvariga för Quidd inte förstår det.