Deze week zijn twee afzonderlijke beveiligingsincidenten bevestigd, één in Japan en één in Taiwan. Het datalek bij Comic CMoa treft een van de grootste ebookwinkels van Japan, met gemelde verliezen van e-mailadressen en wachtwoordhashes. Afzonderlijk daarvan heeft ACCESS bevestigd dat 1.305 kaartaccounts zijn gestolen uit CROS. De twee zaken houden geen verband met elkaar, maar samen laten ze twee veelvoorkomende soorten blootstelling zien: inloggegevens en betaalkaartgegevens.

De tot nu toe beschikbare details zijn beperkt, dus dit bericht houdt zich aan wat er is gemeld en legt uit wat dat in de praktijk betekent.

Wat er is gelekt bij de datalekken van Comic CMoa en ACCESS

Volgens de berichtgeving betreft het datalek bij Comic CMoa een populaire Japanse ebookwinkel, en de verloren data omvatten e-mailadressen van gebruikers en wachtwoordhashes. Een wachtwoordhash is een versleutelde versie van een wachtwoord, niet het wachtwoord zelf. Bedrijven slaan hashes op zodat ze geen wachtwoorden in platte tekst op hun servers hoeven te bewaren.

Het tweede incident staat daar los van. ACCESS heeft bevestigd dat 1.305 kaartaccounts zijn gestolen uit CROS. De bron beschrijft de omvang als 1.305 kaartaccounts en geeft in het materiaal dat wij hebben bekeken geen verdere details. We gaan niet gissen welke velden zijn buitgemaakt, hoe de aanvallers binnenkwamen of wie er achter een van beide incidenten zat.

Het is de moeite waard te benadrukken dat dit twee verschillende bedrijven, twee verschillende systemen en twee verschillende soorten data betreft. Lezers moeten niet aannemen dat het ene incident verband houdt met het andere.

Waarom gehashte wachtwoorden gebruikers nog steeds in gevaar brengen

Horen dat er alleen hashes zijn buitgemaakt, kan geruststellend klinken, maar het zou niemand gerust moeten stellen. Hashes zijn een beschermingslaag, geen garantie. Hoe veilig een gehasht wachtwoord is, hangt af van hoe sterk het oorspronkelijke wachtwoord was en hoe de dienst het heeft gehasht.

Als een aanvaller een reeks hashes verkrijgt, kan die proberen terug te rekenen door veelvoorkomende wachtwoorden te raden, elk vermoeden te hashen en de resultaten te vergelijken. Korte, voorspelbare of veelgebruikte wachtwoorden vallen doorgaans als eerste. Sterke, unieke wachtzinnen zijn veel moeilijker te achterhalen.

De e-mailadressen doen er ook toe. Zelfs zonder enig wachtwoord kan een lijst met e-mails die aan een specifieke dienst zijn gekoppeld, worden gebruikt voor gerichte phishing, zoals nepberichten die zogenaamd van de ebookwinkel afkomstig zijn en je vragen opnieuw in te loggen.

Het grootste praktische gevaar is hergebruik van wachtwoorden. Als je je Comic CMoa-wachtwoord op een andere site hebt gebruikt, kan iedereen die die hash kraakt, dezelfde combinatie van e-mail en wachtwoord elders proberen. Dit staat bekend als credential stuffing, en het werkt alleen wanneer mensen wachtwoorden hergebruiken.

Wat de CROS-kaartdiefstal betekent voor getroffen klanten

Kaartgegevens zijn een ander probleem. Met 1.305 gemelde gestolen kaartaccounts uit CROS is de belangrijkste zorg voor getroffen klanten ongeoorloofde afschrijvingen en fraudepogingen. Kaartuitgevers hebben doorgaans processen voor het vervangen van gecompromitteerde kaarten en het betwisten van frauduleuze transacties, maar ze kunnen alleen handelen als je een probleem opmerkt of erover wordt geïnformeerd.

Als ACCESS of je kaartuitgever contact met je opneemt over dit incident, neem de melding dan serieus, maar verifieer deze eerst. Datalekken worden vaak gevolgd door scam-berichten die het getroffen bedrijf nabootsen. Gebruik contactgegevens die op je kaart staan gedrukt of rechtstreeks van de officiële website van het bedrijf komen, niet links in een onverwachte e-mail of sms.

Kleine testafschrijvingen zijn een veelvoorkomend teken van kaartmisbruik, dus zelfs kleine transacties die je niet herkent, verdienen een belletje naar je uitgever.

Stappen om je accounts na een datalek te beschermen

Je hoeft niet in paniek te raken, maar een paar snelle acties helpen enorm:

  • Wijzig hergebruikte wachtwoorden. Als je je Comic CMoa-wachtwoord ergens anders hebt gebruikt, vervang het dan op elk ander account. Maak elk wachtwoord uniek.
  • Schakel tweefactorauthenticatie (2FA) in. Zelfs als iemand je wachtwoord heeft, maakt een tweede factor het veel moeilijker om binnen te komen. Codes via een app of hardwarematige sleutels zijn doorgaans sterker dan sms.
  • Gebruik een wachtwoordmanager. Die kan lange, willekeurige wachtwoorden genereren en voor je onthouden, waardoor de verleiding om ze te hergebruiken verdwijnt.
  • Houd je kaartafschriften in de gaten. Controleer je accounts regelmatig, stel transactiemeldingen in als je bank die aanbiedt, en meld alles wat onbekend is meteen.
  • Wees waakzaam voor vervolgberichten. Klik niet op links in onverwachte e-mails over een van beide incidenten.

Dezelfde gewoonten gelden na elk datalek, inclusief aanvallen waarbij criminelen een slachtoffer direct proberen te treffen, zoals in het geval van een Akira-ransomware-affiliate wiens aanval in het tegendeel uitpakte. Aanvallers maken fouten, maar je moet daar niet op rekenen om je gegevens te beschermen.

Wat dit voor jou betekent

Als je een Comic CMoa-account hebt, ga er dan van uit dat je e-mailadres in handen van derden kan zijn en dat je wachtwoordhash uiteindelijk gekraakt kan worden, vooral als het wachtwoord zwak was. Wijzig het, en wijzig het overal waar je het hebt gebruikt. Als je verbonden bent met CROS of een ACCESS-kaartaccount, houd je afschriften dan goed in de gaten en bevestig elke communicatie via officiële kanalen.

Als je in geen van beide groepen zit, zijn deze incidenten nog steeds een nuttige herinnering. De meeste schade van datalekken komt later, wanneer gestolen gegevens opnieuw worden ingezet tegen mensen die hun gewoonten niet hebben veranderd.

Belangrijkste punten

Het datalek bij Comic CMoa en de kaartdiefstal bij ACCESS CROS zijn afzonderlijke gebeurtenissen, maar het advies is hetzelfde: handel vroeg. Vervang hergebruikte wachtwoorden door unieke, schakel 2FA in, bewaar inloggegevens in een wachtwoordmanager en controleer je kaartactiviteit regelmatig. Tien minuten opruimen nu is veel eenvoudiger dan later omgaan met accountovernames of frauduleuze afschrijvingen.