Cybercriminelen dreigen met lekken gestolen data Odido #2

quote:

Op donderdag 26 februari 2026 17:15 schreef raptorix het volgende:
Oh mijn god, nu zijn er idioten die ook de leak gaan doorplaatsten op X met daarbij een link die je via een normale browser kunt downloaden.

Echt letterlijk met erbij: Ja nee, want alleen de pers mag zeker de lek hebben, man man man.

Dat is strafbaar, maar goed snap wel dat men wil inzien of, en welke gegevens er van jou gelekt zijn.

Maar goed, met een beetje zoekwerk kan je dat bestand zelf ook wel vinden

Nou ja ze gaan het toch lekken. Vind de houding van Odido wel kwalijk. Het eerste smsje heb ik vorige week al gehad dat er een transactie verdacht was een of ik via een linkje op ING wilde inloggen.

Hoe komen ze aan de hele database?
Kan iedere helpdesk medewerker daar bij?

Als je het mij vraagt is het gewoon nalatigheid van Odido

quote:

Op vrijdag 27 februari 2026 06:01 schreef HiDiHo het volgende:
Hoe komen ze aan de hele database?
Kan iedere helpdesk medewerker daar bij?

ligt geheel aan het helpdesk systeem en de inrichting daarvan

quote:

Op donderdag 26 februari 2026 21:00 schreef Joopklepzeiker het volgende:
Deze cybercriminelen moeten naakt vastgebonden worden en volgesmeerd worden met stroop bij een nest vleesetende mieren.

Misschien is en lek zoals deze wel een keer goed om mensen, bedrijven en de overheid echt eens wakker te schudden. Al denk ik dat men hier alsnog niks van leert en dit ongetwijfeld vaker gaat gebeuren

quote:

Op vrijdag 27 februari 2026 06:04 schreef mschol het volgende:

[..]
ligt geheel aan het helpdesk systeem en de inrichting daarvan

Zou niet alleen bepaalde ITers daarbij moeten kunnen komen?
Die weten wat de risico's zijn

Wat doet Fok om lekken te voorkomen?

quote:

Op vrijdag 27 februari 2026 05:58 schreef 111210 het volgende:

[..]
Dat is strafbaar, maar goed snap wel dat men wil inzien of, en welke gegevens er van jou gelekt zijn.

Maar goed, met een beetje zoekwerk kan je dat bestand zelf ook wel vinden

Mjah, ja en nee, overrigens zullen de meeste toch wel te dom zijn om te weten hoe je een 10GB bestand doorzoekt.

quote:

Op vrijdag 27 februari 2026 06:15 schreef raptorix het volgende:

[..]
Mjah, ja en nee, overrigens zullen de meeste toch wel te dom zijn om te weten hoe je een 10GB bestand doorzoekt.

ctrl-f ?

quote:

Op vrijdag 27 februari 2026 06:01 schreef HiDiHo het volgende:
Hoe komen ze aan de hele database?
Kan iedere helpdesk medewerker daar bij?

Als je het mij vraagt is het gewoon nalatigheid van Odido

Nee het is niet dat ze direct bij de database komen, ik zal het proberen uit te leggen, deze medewerkers werken met een systeem genaamd Salesforce, Salesforce is een platform wat zeer veel bedrijven gebruiken voor allerlei hande diensten, je kunt er als het ware vrij snel werkende software in maken, waarin je kunt zoeken, velden bewerken, lijsten draaien, etc. Kortom moet je morgen een nieuw veld hebben: Fokpremium, dan is het een questie van extra veld aanmaken, en klaar, je hoeft dus geen nieuwe release te doen.
Maar hoe komen ze dan aan de data? Doorgaans werkt moderne software op zo een manier, dat als jij de gegevens van een persoon ophaalt, je niet de hele pagina wilt verversen, maar alleen een call wilt doen op de API, bijvoorbeeld zoals dit, wat de temperatuur ophaalt:
https://api.open-meteo.co(...)&timeformat=unixtime

Maar hoe doen de hackers dit dan? Nou de hackers kennen salesforce, en aangezien de API voor iedereen het zelfde is kunnen ze via een script vrij snel al die persoons gegevens ophalen, dat gaat iets van:

/salesforce/users/list?start=10&end=50
/salesforce/users/list?start=100&end=150

Maar hoe weten ze het wachtwoord dan?
Nou dat hebben ze ontfutselt van medewerkers, wanneer ze inloggen met dat account krijg je een zogenaamd: Token, en met dat token kun je dus de API aanroepen, en dat hoef je niet van de computer van die gebruiker te doen, dat kun je doen vanaf een snelle server.

En hier zit dus het probleem, als je een goede beveiliging hebt, zal je monitoren of er onverwacht vaak API calls plaatsvinden, als 1 user dus 100K users per uur op haalt zouden de alarmbellen af moeten gaan, wat ik vermoed is dat ze heel sneaky op vrijdagavond zijn gestart in een bloedtempo, en op zondag klaar waren, als er al monitoring was dan lag waarschijnlijk iemand te pitten, en kwam er op maandag achter dat er 10 Miljoen API calls waren gedaan, mensen die roepen dat het lang duurt: Mehoela, ik bouw zelf ook dit soort tools en om deze gegevens te downloaden zou ik dat nog wel met 1 simpele PC in een weekend kunnen, echter ik denk dat ze het veel efficienter gedaan hebben en misschien wel 200 systemen hebben gebruikt en in een uurtje klaar waren.

quote:

Op vrijdag 27 februari 2026 06:17 schreef HiDiHo het volgende:

[..]
ctrl-f ?

Open maar eens een text bestand van 10GB in notepad

quote:

Op vrijdag 27 februari 2026 06:06 schreef HiDiHo het volgende:

[..]
Zou niet alleen bepaalde ITers daarbij moeten kunnen komen?
Die weten wat de risico's zijn

die zijn net zo vatbaar voor social engineering

quote:

Op vrijdag 27 februari 2026 06:26 schreef raptorix het volgende:

[..]
Nee het is niet dat ze direct bij de database komen, ik zal het proberen uit te leggen, deze medewerkers werken met een systeem genaamd Salesforce, Salesforce is een platform wat zeer veel bedrijven gebruiken voor allerlei hande diensten, je kunt er als het ware vrij snel werkende software in maken, waarin je kunt zoeken, velden bewerken, lijsten draaien, etc. Kortom moet je morgen een nieuw veld hebben: Fokpremium, dan is het een questie van extra veld aanmaken, en klaar, je hoeft dus geen nieuwe release te doen.
Maar hoe komen ze dan aan de data? Doorgaans werkt moderne software op zo een manier, dat als jij de gegevens van een persoon ophaalt, je niet de hele pagina wilt verversen, maar alleen een call wilt doen op de API, bijvoorbeeld zoals dit, wat de temperatuur ophaalt:
https://api.open-meteo.co(...)&timeformat=unixtime

Maar hoe doen de hackers dit dan? Nou de hackers kennen salesforce, en aangezien de API voor iedereen het zelfde is kunnen ze via een script vrij snel al die persoons gegevens ophalen, dat gaat iets van:

/salesforce/users/list?start=10&end=50
/salesforce/users/list?start=100&end=150

Maar hoe weten ze het wachtwoord dan?
Nou dat hebben ze ontfutselt van medewerkers, wanneer ze inloggen met dat account krijg je een zogenaamd: Token, en met dat token kun je dus de API aanroepen, en dat hoef je niet van de computer van die gebruiker te doen, dat kun je doen vanaf een snelle server.

En hier zit dus het probleem, als je een goede beveiliging hebt, zal je monitoren of er onverwacht vaak API calls plaatsvinden, als 1 user dus 100K users per uur op haalt zouden de alarmbellen af moeten gaan, wat ik vermoed is dat ze heel sneaky op vrijdagavond zijn gestart in een bloedtempo, en op zondag klaar waren, als er al monitoring was dan lag waarschijnlijk iemand te pitten, en kwam er op maandag achter dat er 10 Miljoen API calls waren gedaan, mensen die roepen dat het lang duurt: Mehoela, ik bouw zelf ook dit soort tools en om deze gegevens te downloaden zou ik dat nog wel met 1 simpele PC in een weekend kunnen, echter ik denk dat ze het veel efficienter gedaan hebben en misschien wel 200 systemen hebben gebruikt en in een uurtje klaar waren.

Zou er niet een limiet gebruikt moeten worden?
Lijkt mij database 101

quote:

Op vrijdag 27 februari 2026 06:32 schreef HiDiHo het volgende:

[..]
Zou er niet een limiet gebruikt moeten worden?
Lijkt mij database 101

Ja dat zou moeten, nu ben ik geen Salesforce expert, maar ik zie dat ze ook een product hebben als Addon wat dit soort gedrag detecteert, alleen kost dat geld en of ze waren te zuinig, of ze hebben het product niet goed ingericht.

Ik blijf erbij dat het nalatigheid is van Odido
Verwijtbaar

quote:

Op vrijdag 27 februari 2026 06:28 schreef mschol het volgende:

[..]
die zijn net zo vatbaar voor social engineering

Ook IT engineers horen niet bij productie data te kunnen, ik werk zelf voor een bank, en hoewel ik wel software naar productie kan brengen kan ik geen data inzien, ik kan ook niet op productie systemen inloggen, alles dient volledig geautomatiseerd te gebeuren, ook als ik een nieuwe release moet doen moeten 3 andere mensen daar goedkeuring voor geven en staat elke nieuwe release geregistreerd in het centrale bank systeem, daarom kan werken voor een bank soms best frustrerend zijn omdat alles extreem veilig moet gebeuren, voor een nieuw software project moet ik door een traject dat 6-12 maanden duurt, kijken 5 commisies of het allemaal deugt, en daarna word alles continue gemonitored wat er gebeurt, ook hebben we automatische regels die moeten voorkomen dat iemand configuratie fouten maakt, zo is bijvoorbeeld volledig afgedekt dat een databron naar de buitenwereld kan openstaan, configureer ik dat per ongeluk wel, dan word voordat dat aangezet word al direct het proces automatisch afgebroken.

quote:

Op vrijdag 27 februari 2026 06:34 schreef HiDiHo het volgende:
Ik blijf erbij dat het nalatigheid is van Odido
Verwijtbaar

Dat denk ik ook, maar hou er wel rekening mee dat hun beveiliging al beter is dan de meeste bedrijven, en ik werk best vaak in dit soort omgevingen, vaak zie je dat ze niet eens MFA voor dit soort medewerkers hebben.

quote:

Op vrijdag 27 februari 2026 06:36 schreef raptorix het volgende:

[..]
Ook IT engineers horen niet bij productie data te kunnen, ik werk zelf voor een bank, en hoewel ik wel software naar productie kan brengen kan ik geen data inzien, ik kan ook niet op productie systemen inloggen, alles dient volledig geautomatiseerd te gebeuren, ook als ik een nieuwe release moet doen moeten 3 andere mensen daar goedkeuring voor geven en staat elke nieuwe release geregistreerd in het centrale bank systeem, daarom kan werken voor een bank soms best frustrerend zijn omdat alles extreem veilig moet gebeuren, voor een nieuw software project moet ik door een traject dat 6-12 maanden duurt, kijken 5 commisies of het allemaal deugt, en daarna word alles continue gemonitored wat er gebeurt, ook hebben we automatische regels die moeten voorkomen dat iemand configuratie fouten maakt, zo is bijvoorbeeld volledig afgedekt dat een databron naar de buitenwereld kan openstaan, configureer ik dat per ongeluk wel, dan word voordat dat aangezet word al direct het proces automatisch afgebroken.

Idd..net zoals niet iedere ziekenhuis medewerker bij de medische gegevens van bn'ers horen te komen.
Of iedereen bij strafdossiers

quote:

Op vrijdag 27 februari 2026 06:26 schreef raptorix het volgende:

[..]
Nee het is niet dat ze direct bij de database komen, ik zal het proberen uit te leggen, deze medewerkers werken met een systeem genaamd Salesforce, Salesforce is een platform wat zeer veel bedrijven gebruiken voor allerlei hande diensten, je kunt er als het ware vrij snel werkende software in maken, waarin je kunt zoeken, velden bewerken, lijsten draaien, etc. Kortom moet je morgen een nieuw veld hebben: Fokpremium, dan is het een questie van extra veld aanmaken, en klaar, je hoeft dus geen nieuwe release te doen.
Maar hoe komen ze dan aan de data? Doorgaans werkt moderne software op zo een manier, dat als jij de gegevens van een persoon ophaalt, je niet de hele pagina wilt verversen, maar alleen een call wilt doen op de API, bijvoorbeeld zoals dit, wat de temperatuur ophaalt:
https://api.open-meteo.co(...)&timeformat=unixtime

Maar hoe doen de hackers dit dan? Nou de hackers kennen salesforce, en aangezien de API voor iedereen het zelfde is kunnen ze via een script vrij snel al die persoons gegevens ophalen, dat gaat iets van:

/salesforce/users/list?start=10&end=50
/salesforce/users/list?start=100&end=150

Maar hoe weten ze het wachtwoord dan?
Nou dat hebben ze ontfutselt van medewerkers, wanneer ze inloggen met dat account krijg je een zogenaamd: Token, en met dat token kun je dus de API aanroepen, en dat hoef je niet van de computer van die gebruiker te doen, dat kun je doen vanaf een snelle server.

En hier zit dus het probleem, als je een goede beveiliging hebt, zal je monitoren of er onverwacht vaak API calls plaatsvinden, als 1 user dus 100K users per uur op haalt zouden de alarmbellen af moeten gaan, wat ik vermoed is dat ze heel sneaky op vrijdagavond zijn gestart in een bloedtempo, en op zondag klaar waren, als er al monitoring was dan lag waarschijnlijk iemand te pitten, en kwam er op maandag achter dat er 10 Miljoen API calls waren gedaan, mensen die roepen dat het lang duurt: Mehoela, ik bouw zelf ook dit soort tools en om deze gegevens te downloaden zou ik dat nog wel met 1 simpele PC in een weekend kunnen, echter ik denk dat ze het veel efficienter gedaan hebben en misschien wel 200 systemen hebben gebruikt en in een uurtje klaar waren.

Als dit echt de manier waarop ze die data hebben binnengeharkt mag er wel eens iemand achter zijn oren krabben waarom er geen rate limiting is toegepast

quote:

Op vrijdag 27 februari 2026 06:26 schreef raptorix het volgende:

[..]
Open maar eens een text bestand van 10GB in notepad

https://github.com/datasafari-org/Odidoviewer

Voor een internet provider vind ik het iig vrij kwalijk.
Je zou verwachten dat die hun beveiliging op orde hebben.

quote:

Op vrijdag 27 februari 2026 06:36 schreef raptorix het volgende:

[..]
Ook IT engineers horen niet bij productie data te kunnen, ik werk zelf voor een bank, en hoewel ik wel software naar productie kan brengen kan ik geen data inzien, ik kan ook niet op productie systemen inloggen, alles dient volledig geautomatiseerd te gebeuren, ook als ik een nieuwe release moet doen moeten 3 andere mensen daar goedkeuring voor geven en staat elke nieuwe release geregistreerd in het centrale bank systeem, daarom kan werken voor een bank soms best frustrerend zijn omdat alles extreem veilig moet gebeuren, voor een nieuw software project moet ik door een traject dat 6-12 maanden duurt, kijken 5 commisies of het allemaal deugt, en daarna word alles continue gemonitored wat er gebeurt, ook hebben we automatische regels die moeten voorkomen dat iemand configuratie fouten maakt, zo is bijvoorbeeld volledig afgedekt dat een databron naar de buitenwereld kan openstaan, configureer ik dat per ongeluk wel, dan word voordat dat aangezet word al direct het proces automatisch afgebroken.

in de ideale wereld wel ja... echter weet ik uit ervaring dat dat geen realistisch scenario is voor veel (net niet alle) bedrijven

quote:

Op vrijdag 27 februari 2026 07:04 schreef TweedeKlum het volgende:

[..]
https://github.com/datasafari-org/Odidoviewer

Jawel, maar daar schat ik ze niet slim genoeg voor in.

Of:

quote:

Op vrijdag 27 februari 2026 07:05 schreef mschol het volgende:

[..]
in de ideale wereld wel ja... echter weet ik uit ervaring dat dat geen realistisch scenario is voor veel (net niet alle) bedrijven

Daarom zouden dit soort bedrijven veel zwaarder gestraft moeten worden, daarnaast moeten we snel af van het idee dat bedrijven je gegevens op moeten slaan, dat zou gewoon via tokenbased systemen moeten verlopen waar je identiteit alleen gevalideerd word en niet opgeslagen, maar goed dan zijn we weer 10 jaar verder.

Interessant artikel.. hoe shinyhunters werkt
https://cybersecuritynews.com/shinyhunters-breaches/

Attackers utilize Salesforce's legitimate REST API endpoint /services/data/v62.0/query to perform bulk SOQL

Misschien zou Salesforce dit ook eens moeten verwijderen.....

[ Bericht 15% gewijzigd door HiDiHo op 27-02-2026 07:29:46 ]