Een half jaar na een grote hack van klantendata in Nederland hebben enkele onderzoekers een goed beeld van de werkelijke impact voor consumenten. Wat kan je verwachten wanneer je data gestolen worden?
Wat gebeurt er wanneer hackers binnenbreken bij een bedrijf en aan de haal gaan met data waar ook gegevens van jou inzitten? Met dank aan de kraak van Odido in Nederland, gecombineerd met een beetje gelukkig toeval, hebben enkele onderzoekers van Hackify een goed beeld gekregen van de werkelijke impact.
Odido & Shinyhunters
Een kleine opfrisser: begin februari werd de Nederlandse telecomprovider Odido het slachtoffer van een succesvolle cyberaanval. De criminelen van Shinyhunters gingen aan de haal met gigabytes aan klantendata. Odido betaalde geen losgeld, waarna de hackers hun woord hielden en die data online zetten.
De gestolen dataset bevatte gegevens van meer dan zes miljoen accounts, met daarin onder andere mailadressen, de volledige naam, adresgegevens, klantennummers, rekeningnummers en meer. De dataset circuleert sinds eind februari op het internet, waar andere digitale misdadigers ermee aan de slag kunnen.
Geen unieke situatie
Uniek is zo’n nieuws niet: op regelmatige basis slagen hackers erin om datasets buit te maken met daarin klantengegevens. Denk recent aan Best Western, Nissan, Lastpass, Under Armour of Rituals. Doorgaans gaat het om data zoals hierboven beschreven. Echt kritieke data zoals wachtwoorden of kredietkaartgegevens zijn vandaag gelukkig goed versleuteld (meestal), waardoor die ontoegankelijk blijven.
Een lek zoals dat van Odido is pijnlijk voor het getroffen bedrijf, maar de echte slachtoffers zijn de klanten wiens gegevens op straat liggen. Het advies naar consumenten is in zo’n geval telkens hetzelfde: pas extra op voor phishingmails, want de gestolen data zijn een goudmijn voor wie overtuigende phishingmails wil sturen.
Een (on)gelukkig toeval
De onderzoekers van Hackify hebben nu vastgesteld dat die waarschuwing klopt, maar dat de kwaliteit van de phishingmails lager ligt dan gevreesd. Hackify is een beveiligingsbedrijf, maar dat is niet de voornaamste reden dat de organisatie een analyse kan maken van de resultaten van de Odido-hack. Daar kwam wat (on)geluk bij kijken.
Data van twee onderzoekers zaten immers in de hack. Gezien hun professionele interesses, volgden die onderzoekers best practices bij het aanmaken van een account. Daarbij gebruikten ze niet hun gewone mailadres, maar een uniek e-mailadres via een zogenaamd catch-all-domein.
Catch-all
Een catch-all-domein laat toe om ongelimiteerde aliassen te gebruiken, zonder dat je die manueel moet aanmaken. Wanneer je een mailadres hebt zoals naam@mijnmaildomein, kan je dan op diensten registreren met unieke adressen zoals odido@mijnmaildomein. Alle mails die naar de alias gestuurd worden, komen aan op het hoofdadres, maar binnen dat hoofdaccount kan je eenvoudig filteren op het adres dat echt gebruikt werd door de afzender.
Ook klassieke maildiensten zijn trouwens compatibel met een vorm van catch-all. In Gmail kan je bijvoorbeeld een ‘+’ toevoegen om onbeperkt varianten op je hoofdmailadres te maken (naam+odido@gmail).
In het geval van Hackify en de Odido-hack zit er één alias met odido@ in de gelekte dataset, en één met tele2@. Tele2 is een onderneming die in 2023 door Odido werd overgenomen. Beide adressen werden enkel gebruikt voor die registratie, en waren nergens anders bekend.
Analyse van de mailbox
Dat laat de onderzoekers toe om in de gaten te houden of er plots spam aankomt op die adressen. Dat was voordien nooit het geval. Zou dat na de hack beginnen, dan kan dat enkel zijn doordat de adressen circuleren bij criminelen nadat de Odido-dataset werd gedeeld.
De resultaten bevestigen de vermoedens. Op 12 maart, minder dan twee weken na de publicatie van de gestolen dataset, begonnen de eerste e-mails binnen te rollen op het odido-adres. Drie dagen later volgde enkele dagen later.
In een periode van 150 dagen kreeg de Odido-alias 32 phishingmails toegestuurd en de Tele2-alias 29. De aard van de mails suggereert dat beide adressen in andere criminele circuits circuleerden.
Lage kwaliteit
Verrassend genoeg was de kwaliteit van de phishingmails niet zo hoog. Hoewel de gelekte dataset voldoende gegevens bevatte om gepersonaliseerde mails op te stellen, gebeurde dat bijna niet. Slechts bij één mail, zogezegd afkomstig van een bank, werden aanhef, letter en achternaam van het slachtoffer effectief gebruikt.
Het type phishingmails varieerde qua thema. Hackify concludeerde dat AI veel gebruikt werd om betrouwbaar ogende mails op te stellen. In de meeste gevallen was de kwaliteit van het Nederlands hoog.
Gelukkig lijken technieken om data te combineren tot meer realistische mails nog niet alomtegenwoordig, of toch alleszins niet voor deze steekproef. Gezien de gelekte data hadden criminelen minder generische mails kunnen sturen. Denk daarbij niet alleen aan het gebruik van naam en toenaam, maar ook aan vermelding van bijvoorbeeld IBAN en adres.
Wanneer een mailadres in meer dan één hack voorkomt, kunnen ook die data gecombineerd worden. Wie steeds met eenzelfde adres registreert (vermoedelijk de meeste mensen), loopt dat risico. Of dat is gebeurd, konden de onderzoekers met de unieke mailadressen niet controleren.
Duidelijk patroon
Het patroon is wel duidelijk: phishingcampagnes begonnen na het datalek en piekten in juni. In juli viel de campagne om onduidelijke redenen stil. Dat bevestigt de vermoedens: wiens gegevens aanwezig zijn in een datalek, kan zich aan een verhoogde barrage van malafide mails verwachten.
Waakzaam zijn is altijd verstandig, en in de maanden na een hack des te meer. Verder kan je als slachtoffer weinig doen. Wie toegang heeft tot catch-all-adressen, kan het voorbeeld van de beveiligingsonderzoekers volgen en telkens een uniek adres gebruiken. Dat heeft als voordeel dat je na een hack alle berichten gericht aan dat adres kan wegfilteren uit je mailbox.