Hacker verkoopt gegevens van 65 miljoen Tumblr-gebruikers

In 2013 kraakte een hacker de servers van Tumblr. Hij ging aan de haal met een onbepaalde hoeveelheid gegevens en de inbraak bleef tot 12 mei ongedetecteerd. Toen Tumblr het lek een kleine drie jaar na datum ontdekte, stelde het dat de gegevens van een serie gebruikers gestolen waren. Om hoeveel slachtoffers het precies ging, wilde de blogsite niet verklappen.

Troy Hunt, de man achter de website HaveIBeelPwnd waar je kan nakijken of jouw gegevens ergens online staan, kreeg de volledige lijst met gegevens echter te pakken. Hij verklapte aan Motherboard dat er maar liefst 65.469.298 unieke e-mails en wachtwoorden werden buitgemaakt. Daarmee komt de hack in de top 3, na die van Adobe en die van LinkedIn. Net als bij die twee grote lekken kan je op de website van Hunt checken of jij getroffen bent.

Versleutelde wachtwoorden

Het nieuws is echter niet allemaal slecht. In tegenstelling tot bijvoorbeeld de LinkedIn-hack maakten de cybercriminelen in 2013 geen leesbare wachtwoorden buit. De wachtwoorden die bij een gegeven mailadres horen zijn versleuteld en voorzien van een serie willekeurige bytes wat het ontcijferen moeilijk maakt. Moeilijk, maar niet onmogelijk: Tumblr zou het iets oudere SHA1-algoritme gebruikt hebben waardoor een gemotiveerde cybercrimineel wel degelijk wachtwoorden van gebruikers kan achterhalen. Hunt zelf denkt dat minstens de helft van de wachtwoorden te kraken zijn.

[related_article id=”180536″]Een hacker die zichzelf Peace noemt, bood de lijst met gegevens pas online aan voor 0,4 bitcoin, omgerekend iets minder dan 200 euro. De versleuteling van de gegevens zou de waarde van de lijst gekelderd hebben.

Het Tumblr-hack is het derde lek dat jaren na de eigenlijke inbraak terug boven water komt. Zo verschenen onlangs lijsten met MySpace-gegevens online en zette Peace ook de LinkedIn-gegevens van een hack enkele jaren geleden vorige week pas op het net. Op zijn blog vraagt Hunt zich af of er een trend gestart is. Het lijkt er immers op dat dezelfde persoon de gehackte gegevens van verschillende websites plots online begint te zetten.

Zoals steeds is het een goed idee om na te kijken of je eigen wachtwoorden nog wel veilig zijn. Zeker wanneer je één wachtwoord voor meerdere accounts gebruikt is het verstandig om eens na te kijken of geen van die accounts recent gelekt werd. Idealiter geef je natuurlijk iedere account z’n eigen wachtwoord.

In 2013 kraakte een hacker de servers van Tumblr. Hij ging aan de haal met een onbepaalde hoeveelheid gegevens en de inbraak bleef tot 12 mei ongedetecteerd. Toen Tumblr het lek een kleine drie jaar na datum ontdekte, stelde het dat de gegevens van een serie gebruikers gestolen waren. Om hoeveel slachtoffers het precies ging, wilde de blogsite niet verklappen.

Troy Hunt, de man achter de website HaveIBeelPwnd waar je kan nakijken of jouw gegevens ergens online staan, kreeg de volledige lijst met gegevens echter te pakken. Hij verklapte aan Motherboard dat er maar liefst 65.469.298 unieke e-mails en wachtwoorden werden buitgemaakt. Daarmee komt de hack in de top 3, na die van Adobe en die van LinkedIn. Net als bij die twee grote lekken kan je op de website van Hunt checken of jij getroffen bent.

Versleutelde wachtwoorden

Het nieuws is echter niet allemaal slecht. In tegenstelling tot bijvoorbeeld de LinkedIn-hack maakten de cybercriminelen in 2013 geen leesbare wachtwoorden buit. De wachtwoorden die bij een gegeven mailadres horen zijn versleuteld en voorzien van een serie willekeurige bytes wat het ontcijferen moeilijk maakt. Moeilijk, maar niet onmogelijk: Tumblr zou het iets oudere SHA1-algoritme gebruikt hebben waardoor een gemotiveerde cybercrimineel wel degelijk wachtwoorden van gebruikers kan achterhalen. Hunt zelf denkt dat minstens de helft van de wachtwoorden te kraken zijn.

[related_article id=”180536″]Een hacker die zichzelf Peace noemt, bood de lijst met gegevens pas online aan voor 0,4 bitcoin, omgerekend iets minder dan 200 euro. De versleuteling van de gegevens zou de waarde van de lijst gekelderd hebben.

Het Tumblr-hack is het derde lek dat jaren na de eigenlijke inbraak terug boven water komt. Zo verschenen onlangs lijsten met MySpace-gegevens online en zette Peace ook de LinkedIn-gegevens van een hack enkele jaren geleden vorige week pas op het net. Op zijn blog vraagt Hunt zich af of er een trend gestart is. Het lijkt er immers op dat dezelfde persoon de gehackte gegevens van verschillende websites plots online begint te zetten.

Zoals steeds is het een goed idee om na te kijken of je eigen wachtwoorden nog wel veilig zijn. Zeker wanneer je één wachtwoord voor meerdere accounts gebruikt is het verstandig om eens na te kijken of geen van die accounts recent gelekt werd. Idealiter geef je natuurlijk iedere account z’n eigen wachtwoord.