WhiskyAuction password leak

[TurboMcKwek]

Kreeg zojuist een waarschuwing dat wachtwoorden behorende bij accounts op WhiskyAuction.com waarschijnlijk zijn gelekt (via welke weg/website is onduidelijk), echter is er geen mogelijkheid momenteel om je wachtwoord te veranderen. M.a.w. het zou nu mogelijk moeten zijn voor evt. kwaadwillenden om in te loggen op accounts en het volgende te doen:

• E-mailadres en fysiek adres te veranderen
• Bieden op items met de gelinkte (jouw) creditcard gegevens

Tegen de tijd dat je een creditcard afschrift onder ogen krijgt is de fles misschien al gevlogen.

Mij te riskant, en dus ook gevraagd om mijn account per direct te sluiten en alle privégegevens (incl. credit card) te verwijderen.

[Mikser]

Tegen de tijd dat je een creditcard afschrift onder ogen krijgt is de fles misschien al gevlogen.

Ik begrijp je bezorgdheid maar is dat niet bij alle websites het geval? Risico van lek...
Als je actief de website volgt zie je toch onmiddellijk wanneer je niet meer ingelogd geraakt (en dus ruim voor het creditcard afschrift).
Kan je op dat ogenblik niet de mail sturen om alles te blokkeren? Of is het dan al te laat?

[TurboMcKwek]

Tja, als je maandelijks inlogt c.q. meebiedt dan zal je er wellicht sneller achter komen. Echter zullen er ook een heleboel mensen zijn die ooit een account hebben aangemaakt en vervolgens maar enkele veilingen hebben meegeboden (niet recentelijk). Ikzelf kreeg per toeval de waarschuwing, al maanden niet ingelogd. Dan kom je er dus nooit achter totdat je een creditcard afschrift onder ogen krijgt.

Dit omdat:

• E-mailadres gewijzigd dus je ontvangt geen WA.com e-mails van biedingen
• Flessen worden naar een adres gestuurd van kwaadwillenden

Andere privégegevens kunnen ook aangepast worden (denk aan telefoonnummer etc.)

Er is momenteel niet de mogelijkheid om een account zelfs te sluiten of ook maar je wachtwoord aan te passen. Kritische beveiligingspunten.

[Mikser]

Ikzelf kreeg per toeval de waarschuwing

Er is momenteel niet de mogelijkheid om accounts zelfs te sluiten of ook maar je wachtwoord aan te passen. Kritische beveiligingspunten.

Hoe heb je de waarschuwing ontvangen? Op mijn geregistreerd mailadres niets binnengekomen... en volgens de persoonlijke instellingen nog alles correct.

Idd, duidelijk werk aan de winkel voor de websiteverantwoordelijke.

[Cask1988]

Ja die website ligt pakweg 20 jaar achter op de hedendaagse ict. Het is best wel triest dat zo'n grote auctioneer die per veiling klappen met geld verdiend, niet even de moeite neemt om te investeren in een fatsoenlijke website die up to date is qua beveiliging etc. en wat mij betreft nog belachelijker is dat je niet eens zelf je wachtwoord kunt wijzigen. Hoe makkelijk wil je het hackers maken

Ik heb het mailtje ook niet gehad over een beveiligingslek maar ik ga het risico niet nemen en het voorbeeld van squaadgras volgen. Gedonder met je credit card wil je echt niet ik klap in het mailtje gelijk de suggestie eens iets aan de website te gaan doen want dit kan gewoon echt niet.

[fjharms]

Bedankt voor de waarschuwing! Ik ga ook meteen een mail sturen dat ze mijn account en alle details moeten verwijderen.
Ik maakte er toch al een tijdje geen gebruik meer van, maar inderdaad... ik kan 'm zelf niet weghalen, of password veranderen. Echt niet netjes.

[Cask1988]

Kleine aanvulling:
Ik heb een maatje van me mee laten kijken wat hij van de website vindt. Hij is IT specialist en schrok zich kapot. De website is giga outdated (dat wisten we al) maar hij gaf aan dat het security risk gigantisch is. De gebruikte security protocollen zijn volgens hem zo lek als een mandje. Voor hackers is het een koud kunstje om deze website en alle data binnen luttele MINUTEN te pakken. Het feit dat je zelf geen controle hebt over je account informatie noemt hij ronduit schandalig anno 2021.

Ik heb al aangegeven geen account meer te willen tot er een acceptabele nieuwe website staat die volledig bij de tijd is.

[Dre]

Bedankt voor deze wakeup call! Ik had inderdaad ook al een tijdje een slapend account en was me dus van geen kwaad bewust, maar dit is wel zorgelijk. Ik ga me ook gelijk uitschrijven.

[BarryM]

Ik heb even gekeken naar de site maar "hopeloos outdated" is overdreven wanneer we het over het geheel hebben. De layout? Jazeker, die mag terug naar 1998. Maar qua techniek valt er nog best wat voor te zeggen, ze slaan bijvoorbeeld geen betaalgegevens op (creditcard gegevens), dat staat allemaal bij Computop (kun je nalezen in het privacy statement). Dit gebruik je in het registratieproces en dat is voor hun weer handig omdat het gelijk een bevestiging van identiteit/leeftijd is. Vervolgens slaan ze enkel je persoonsgegevens op (die je invult bij het registratieproces). Maar juist hun rare accountomgeving maakt het per ongeluk nog best irritant en onhandig voor hackers. Het 'security protocol' (wat eigenlijk enkel kan duiden op het SSL certificaat of beter bekend als HTTPS), browsers zijn heel goed in het detecteren van zwakke SSL certificaten. Die van WhiskyAuction is prima, up-to-date en gewoon volledig veilig.

Tot slot. Uiteraard als je een melding krijgt van je browser dat het account van een betreffende site gelekt is, moet je zorgen dat je die wijzigt en wanneer je het wachtwoord nergens anders gebruikt ben je 'in the clear'. Maar wanneer dat niet kan (zoals in dit geval) is het een goeie om je account te laten wijzigen of verwijderen wanneer je deze toch niet meer gebruikt.

Edit: Als ik het goed zie dan is het een webstie gebouwd door een op zich kundige developer zonder front-end kennis (vandaar die Microsoft Frontpage Express 2.0 layout hahaha).

[Cask1988]

Top dat je ook meekijkt Barry! Ik zal eens nagaan waar hij denkt dat de zwakte zit dan want hij was vrij stellig. Ben er zelf niet zó goed in thuis dus ik volg de experts maargoed als t gaat om betaal- en accountgegevens ben ik liever te voorzichtig dan te makkelijk. Account verwijderen vind ik dan ook nog steeds de juiste keuze.

[BarryM]

Top dat je ook meekijkt Barry! Ik zal eens nagaan waar hij denkt dat de zwakte zit dan want hij was vrij stellig. Ben er zelf niet zó goed in thuis dus ik volg de experts maargoed als t gaat om betaal- en accountgegevens ben ik liever te voorzichtig dan te makkelijk. Account verwijderen vind ik dan ook nog steeds de juiste keuze.

Helemaal mee eens
De reden dat ik even inhaak is omdat mensen vaak een applicatie/website afschrijven vanwege het uiterlijk. Ik heb ooit een lezing gegeven over hackers en data/privacy, wat ik daarin vooral probeer uit te leggen aan mensen is dat hackers zich richten op wat het waard is. Er gaat namelijk geld en tijd zitten in hacken en daarbij vraagt een hacker zich ook af "is the juice worth the squeeze". Een site als WhiskyAuction kan op dat vlak dus rete interessant zijn gezien de zo goed als 100% kloppende userdata en de misschien-wel-aanwezige-betaalgegevens. Dat dit nog niet is gedaan tot op heden zorgt in mijn ogen voor credits aan het adres van WhiskyAuction.

Nogmaals, het hoeft niet perfect te zijn, maar slecht is het niet per se.

[TurboMcKwek]

Ondertussen heeft WA privé contact met mij opgenomen zodat ik meer details heb kunnen doorspelen.

Ook gaven zij aan dat een nieuwe moderne (verbeterde) website dit jaar wordt gelanceerd.

Wil overigens duidelijk stellen dat de waarschuwing van Apple kwam dat het wachtwoord voorkwam in een “data breach”. Ik heb dit specifieke wachtwoord alleen op WA.com gebruikt, echter sluit ik niet uit dat iemand anders ditzelfde wachtwoord ergens op internet heeft gebruikt daar het een relatief eenvoudig wachtwoord betrof.

[WhiskyDudes]

Scheelt, de creditcard die ik destijds heb opgegeven is allang verlopen....

[Cask1988]

Ondertussen heeft WA privé contact met mij opgenomen zodat ik meer details heb kunnen doorspelen.

Ook gaven zij aan dat een nieuwe moderne (verbeterde) website dit jaar wordt gelanceerd.

Die reply heb ik inmiddels ook gehad. Ze hebben mijn account in elk geval verwijderd. Als de nieuwe site staat, nieuwe kansen wat mij betreft

[TurboMcKwek]

Mijn account is inderdaad ook direct verwijderd door WA, wat dat betreft een ...

Maar ook ik wacht tot de nieuwe website online is, even wachten tot alles weer op orde is qua beveiliging etc.

Sowieso geen plannen om de komende tijd flesjes van een veiling op te pikken...