Een onbeveiligde online opslagplaats die gelinkt wordt aan Vibetech, een Indiaas bedrijf voor AI-softwareontwikkeling, liet naar verluidt miljoenen records openbaar toegankelijk voor iedereen met een internetverbinding. Volgens het rapport werd de ontdekking van de Vibetech exposed database 13,7 miljoen records gedaan door een cybersecurityonderzoeker en betreft het gegevens die verband houden met organisaties waaronder Amazon, AT&T, PayPal, Walmart, de FBI en Interpol. Veel van de records lijken afkomstig te zijn uit oudere datalekken, en belangrijke details blijven onbevestigd.

Dit is wat er is gerapporteerd, waarom gerecyclede gegevens nog steeds belangrijk zijn, en wat u eraan kunt doen.

Wat de blootgestelde database naar verluidt bevatte

De opslagplaats was naar verluidt toegankelijk voor iedereen online, zonder duidelijke drempel om binnen te komen. Volgens de samenvatting van de bron bevatte deze ongeveer 13,7 miljoen records, waaronder:

  • E-mailadressen
  • Gebruikersnamen
  • Wachtwoorden
  • Telefoonnummers
  • Bankrekeninggegevens

De records waren gekoppeld aan een lange lijst van bekende namen: Amazon, AT&T, PayPal, Walmart, de FBI, Interpol en het aan Rusland gelinkte domein Casio.ru, naast Vibetech zelf. Het rapport merkt op dat veel van de records afkomstig waren uit eerdere datalekken en niet uit een nieuwe inbreuk op die organisaties.

Dat laatste punt is belangrijk. Voorkomen in een dataset naast de naam van een merk betekent niet noodzakelijk dat dat bedrijf opnieuw is gehackt. Het kan simpelweg betekenen dat mensen die die diensten gebruikten, hun gegevens kwijtraakten bij eerdere incidenten, en dat die gegevens later op één plek werden verzameld.

Waarom gerecyclede lekgegevens mensen nog steeds in gevaar brengen

Het is verleidelijk om een lek dat uit oude gegevens bestaat weg te wuiven. Dat zou een vergissing zijn. Verzamelde lekgegevens zijn juist waardevol omdat ze georganiseerd en doorzoekbaar zijn.

Zo kunnen gerecyclede records nog steeds schade veroorzaken:

  • Credential stuffing: Aanvallers nemen gelekte e-mailadres-wachtwoordcombinaties en proberen deze op andere sites. Als u een wachtwoord hebt hergebruikt, kan één oud lek nieuwere accounts ontgrendelen.
  • Gerichte phishing: Telefoonnummers, gebruikersnamen en accountgegevens maken scam-berichten overtuigender. Een bericht dat echte informatie noemt, wordt eerder vertrouwd.
  • Financiële fraude: Blootgestelde bankrekeninggegevens kunnen worden gebruikt voor frauduleuze overboekingen of om een profiel op te bouwen voor identiteitsdiefstal.
  • Aggregatie: Wanneer gegevens uit meerdere lekken in één opslagplaats staan, wordt het gemakkelijker om stukjes van iemands identiteit met elkaar te verbinden.

Dit patroon is niet uniek voor deze zaak. Grote identiteitsdatasets blijven opduiken, zoals te zien was in de berichtgeving over het FBI-onderzoek naar een darkwebverkoop van 153 miljoen rijbewijzen en het onderzoek van de Canadese Privacycommissaris naar het IDScan.net-lek. In elk geval komt het blijvende risico voort uit hoe lang persoonsgegevens in omloop blijven.

Wat onbevestigd blijft over de rol van Vibetech

De berichtgeving laat significante hiaten, en het is de moeite waard daar duidelijk over te zijn.

  • De database werd gelinkt aan Vibetech, maar de band van het bedrijf met de blootgestelde gegevens wordt als onduidelijk beschreven.
  • Het is niet bevestigd of Vibetech de gegevens heeft gemaakt, verzameld of alleen gehost, of dat een derde partij verantwoordelijk was.
  • De bron geeft niet aan dat Amazon, AT&T, PayPal, Walmart, de FBI of Interpol een nieuw lek hebben gehad.
  • Details over hoe lang de opslagplaats blootgesteld was, en of iemand anders er toegang toe heeft gehad, werden niet verstrekt in de beschikbare tekst.

Totdat het bedrijf of de genoemde organisaties reageren, moeten deze beweringen als onbevestigd worden behandeld. De aanwezigheid van namen van agentschappen zoals de FBI en Interpol kan e-mailadressen of accounts binnen die domeinen weerspiegelen, maar de bron legt de aard van die records niet uit.

Wat dit voor u betekent

U hoeft niet te weten of uw gegevens in deze specifieke opslagplaats staan om verstandig te handelen. Als u ooit een account hebt gehad bij een grote retailer, telecom- of betaaldienst, dan circuleren uw gegevens mogelijk al sinds een eerder lek. De praktische vraag is of die oude informatie nog steeds tegen u kan worden gebruikt.

De grootste factor is hergebruik van wachtwoorden. Als een gelekt wachtwoord overeenkomt met een wachtwoord dat u vandaag gebruikt, hebben aanvallers geen nieuw lek nodig om binnen te komen. De tweede factor is hoeveel vertrouwen u schenkt aan ongevraagde berichten. Behandel onverwachte sms'jes, e-mails en telefoontjes waarin uw accounts worden genoemd met voorzichtigheid, zelfs als ze accurate persoonlijke gegevens bevatten.

Zo controleert u uw blootstelling en beschermt u uw accounts

  1. Controleer bekende lekken. Gebruik een betrouwbare dienst voor lekwaarschuwingen om te zien of uw e-mailadressen of telefoonnummers in bekende lekken voorkomen.
  2. Wijzig hergebruikte wachtwoorden. Begin met e-mail-, bank- en betaalaccounts. Elk account zou een eigen uniek wachtwoord moeten hebben, idealiter gegenereerd en opgeslagen in een wachtwoordmanager.
  3. Schakel tweefactorauthenticatie (2FA) in. Geef waar mogelijk de voorkeur aan een authenticator-app of hardwarekey boven sms, zodat een gelekt wachtwoord alleen niet voldoende is.
  4. Houd uw financiële accounts in de gaten. Controleer bank- en kaartafschriften en stel transactiemeldingen in. Neem contact op met uw bank als u iets ongewoons ziet.
  5. Wees sceptisch over contactpogingen. Klik niet op links in onverwachte berichten. Ga rechtstreeks naar de officiële website of app.
  6. Overweeg een kredietblokkade. Als bankgegevens of andere identiteitsgegevens mogelijk blootgesteld zijn, kan een blokkade beperken dat er nieuwe accounts op uw naam worden geopend.

Belangrijkste punten

Het verhaal over de Vibetech exposed database met 13,7 miljoen records is nog in ontwikkeling, en de belangrijkste beweringen zijn onbevestigd. Wat duidelijk is, is dat oude lekgegevens niet verlopen. Controleer of uw e-mailadressen en wachtwoorden in bekende lekken voorkomen, stap over op unieke wachtwoorden met 2FA, en blijf alert op phishing. Lees voor meer over hoe grote identiteitsdatasets zich verspreiden onze berichtgeving over het FBI-onderzoek naar het rijbewijslek en de hierboven gelinkte IDScan.net-verhalen.