Wat er gebeurde bij het datalek van Inter-Con Security

Het datalek bij Inter-Con Security door ShinyHunters is het nieuwste voorbeeld van een bekend en verontrustend patroon: een beruchte afpersingsgroep beweert data van een bedrijf te hebben gestolen, eist betaling en publiceert de informatie alsnog wanneer aan de eisen niet wordt voldaan. Volgens berichtgeving over het incident heeft de threat actor-groep ShinyHunters zich naar verluidt gericht op Inter-Con Security, een bedrijf dat fysieke beveiliging en bewakingsdiensten levert, in wat wordt omschreven als een pay-or-leak-afpersingscampagne.

Het lek kwam aan het licht nadat de buitgemaakte data was geladen in Have I Been Pwned (HIBP), de veelgebruikte datalek-meldingsdienst waarmee individuen kunnen controleren of hun e-mailadres in een bekend lek voorkomt. Bij de verwerking van de dataset door HIBP werden 276.000 unieke e-mailadressen bevestigd die aan het incident zijn gekoppeld, waarmee het publiek voor het eerst een concreet beeld kreeg van de omvang van de blootstelling. Wat de oorspronkelijke omvang van de gestolen data ook was, het HIBP-aantal geeft het geverifieerde aantal unieke e-mailadressen weer dat nu door getroffen personen kan worden opgezocht.

Hoe het pay-or-leak-afpersingsmodel van ShinyHunters werkt

ShinyHunters heeft in de loop der jaren een reputatie opgebouwd met een eenvoudig maar effectief draaiboek: infiltreer in de systemen van een doelwit of verkrijg gestolen data, en dreig die vervolgens openbaar te maken tenzij er losgeld wordt betaald. Wanneer slachtoffers weigeren of niet reageren, maakt de groep de dreiging waar door de data publiekelijk te dumpen, vaak via platforms en datalek-meldingsdiensten om de zichtbaarheid en druk te maximaliseren.

Deze aanpak is niet nieuw voor de groep. ShinyHunters wordt in verband gebracht met een reeks spraakmakende incidenten, waaronder een vishing-aanval die Charter Communications trof en ongeveer 40 miljoen records blootlegde, een gerelateerde campagne die nog eens 4,9 miljoen Charter-records trof via soortgelijke vishing-tactieken en een geclaimde verkoop van NVIDIA GeForce NOW-gebruikersgegevens. Ook is de groep in verband gebracht met een onbevestigde ransomwareclaim tegen Ernst & Young. Het incident bij Inter-Con Security past volledig in dit patroon van het viseren van organisaties in uiteenlopende sectoren, van telecomgiganten tot fysieke beveiligingsbedrijven, waarbij de dreiging van openbaarmaking als drukmiddel wordt gebruikt.

Wat dit afpersingsmodel bijzonder effectief maakt, is dat de aanvaller de data niet op ondergrondse markten hoeft te verkopen om eraan te verdienen. Alleen al de dreiging van een publiek lek, gecombineerd met een aangetoonde bereidheid om die dreiging uit te voeren, is vaak voldoende om slachtoffers tot onderhandelen te dwingen. Wanneer onderhandelingen mislukken, wordt het daaropvolgende lek, zoals in de zaak-Inter-Con, zowel een straf voor het slachtoffer als een publiekelijke demonstratie van de capaciteiten van de groep voor toekomstige doelwitten.

Waarom blootgestelde e-mailadressen phishing- en identiteitsdiefstalrisico’s vergroten

E-mailadressen lijken misschien onbeduidend in vergelijking met datalekken waarbij wachtwoorden, financiële gegevens of overheidsidentificatienummers zijn buitgemaakt. Maar een gelekt e-mailadres alleen is al voldoende om gerichte phishingcampagnes te voeden, zeker wanneer het gekoppeld is aan een specifieke organisatie of werkgever. Aanvallers kunnen bevestigde, actieve e-mailadressen gebruiken om overtuigende phishingberichten op te stellen, zich voor te doen als het getroffen bedrijf of credential-stuffingaanvallen uit te voeren op andere accounts die hetzelfde adres gebruiken.

Datalekken met grote, geverifieerde datasets zoals deze worden bovendien vaak gecombineerd met gegevens uit andere lekken. Zowel dreigingsactoren als onderzoekers hebben opgemerkt dat het samenvoegen van e-maillijsten uit meerdere lekken, vergelijkbaar met wat is gezien bij incidenten zoals het datalek bij Bank of Baroda met gevoelige klantgegevens, gedetailleerdere profielen van individuen kan opleveren, waardoor het risico op identiteitsdiefstal of accountovername ver buiten de reikwijdte van het oorspronkelijke lek toeneemt.

Wat te doen als jouw gegevens in Have I Been Pwned voorkomen

Als je denkt dat je getroffen bent, is de eerste stap om je e-mailadres rechtstreeks via Have I Been Pwned te controleren. Als jouw adres in het Inter-Con Security-lek of een ander vermeld incident voorkomt, beschouw dat dan als een signaal om een paar concrete voorzorgsmaatregelen te nemen in plaats van in paniek te raken.

Begin met het wijzigen van het wachtwoord van elk account dat aan dat e-mailadres is gekoppeld, vooral als je het wachtwoord elders opnieuw hebt gebruikt. Schakel multi-factorauthenticatie in waar mogelijk, want dit voegt een essentiële beschermingslaag toe, zelfs als je wachtwoord later via een ander lek wordt gecompromitteerd. Wees extra voorzichtig met onverwachte e-mails die verwijzen naar Inter-Con Security of beweren een follow-up van het lek te zijn; dit zijn uitgelezen kansen voor phishingpogingen. Overweeg ten slotte een wachtwoordmanager te gebruiken om unieke wachtwoorden voor elk account te genereren en op te slaan, zodat de schade van een enkel lek wordt beperkt.

Wat dit voor jou betekent

Het ShinyHunters-datalek bij Inter-Con Security herinnert ons eraan dat afpersingsgedreven datalekken geen onderscheid maken naar bedrijfsgrootte of sector. Of het slachtoffer nu een telecomprovider, een chipfabrikant of een fysiek beveiligingsbedrijf is, het onderliggende risico voor individuen blijft hetzelfde: blootgestelde e-mailadressen die kunnen worden ingezet voor phishing, spam of verdere aanvallen. Op de hoogte blijven van waar jouw gegevens zijn verschenen en snel handelen wanneer dat het geval is, blijft een van de meest effectieve verdedigingen die gewone gebruikers hebben.

Belangrijkste aandachtspunten

  • Controleer Have I Been Pwned om te zien of jouw e-mailadres is opgenomen in het datalek bij Inter-Con Security.
  • Wijzig wachtwoorden van accounts die aan een blootgesteld adres zijn gekoppeld, vooral als je die elders opnieuw hebt gebruikt.
  • Schakel multi-factorauthenticatie in voor extra bescherming tegen inloggegevensgerichte aanvallen.
  • Let op phishing-e-mails die naar het lek verwijzen of zich voordoen als Inter-Con Security.
  • Gebruik een wachtwoordmanager om hergebruik van wachtwoorden in de toekomst te voorkomen.