Cybercriminelen lekken gestolen data Odido #4

quote:

Op dinsdag 29 september 2026 12:34 schreef epicbeardman het volgende:
Fbi zal hem uitgeleverd krijgen naar Amerika en daar zal hij 'straf' uitzitten (lees recruited bij cia/fbi) als hij geluk heeft.

De EU loopt weer eens te slapen, dit soort jongens moet je aannemen.

Je hebt duidelijk zitten slapen want de serie Cyberwar van Vice laat zien dat dit soort gasten niet op het rechte pad met witte betalingen te belonen zijn. Op de zwarte markt kopen overheden en aan overheid gelieerde organisaties exploit en 0days.

Veel van die organisaties zijn verwant aan de staatsveiligheid en/of onder invloed van allerlei groeperingen

https://irpimedia.irpi.eu(...)-intelligence-elite/

Dit soort mensen zijn nauwelijks op het rechte pad als white hat te houden. Allerlei groeperingen betalen goud voor de achterdeurtjes.

Als je een beetje de CCC bijeenkomsten volgt in Duitsland weet je dat er maar een handvol mensen zijn in de wereld die echt cryptografie en de versleuteling daarachter begrijpen (zoals AES-CBC).

Als voorbeeld heb je Geohot, de bekende hacker van Sony, Luca, die iPhones hackte zoals in het artikel hierboven en Pepijn, die misschien infostealers gebruik(te) en doormiddel van technieken zoals fuzzing lekken vindt in software en achterdeurtjes in inlegschermen.

Aan de andere kant worden dit soort gasten ook extreem goed geholpen omdat de beveiliging soms alleen

inlognaam:admin
wachtwoord: admin

is

In de Odido hack werd gebruik gemaakt van social engineering om middels phishing achter de inloggegevens van het klantenbestand van Odido bij Salesforce te komen. Als we hier te maken hebben met een superhacker die heeft die social engineering niet nodig. Die weet van de vulnerabilities en 0days in de Salesforce omgeving. En die weet ook dat social engineering sporen oplevert.

Overigens is hij gevonden (destijds) in 2023 doordat zijn mailadres op een verkoopforum stond voor te koop aangeboden lijsten met wachtwoorden. Organisaties die (in opdracht van) overheden werken gaan niet op een lullig forumpje een lijstje verkopen of verhandelen. Valt veel te veel op. Bovendien weten velen dat dat soort sites een honeypot zijn van opsporingsdiensten.

Zoals met elke diefstal kan die technisch perfect zijn, maar je moet het nog maar zien te slijten. Goud kun je nog omsmelten, genummerde biljetten wordt al lastiger en data in de vorm van csv bestanden is vaak pas wat waard als het te gelde gemaakt kan worden in phishing aanvallen, credential stuffing attacks of op andere manieren.

Het is allemaal niks nieuws wat ik vertel, het staat overal al op internet.

[ Bericht 18% gewijzigd door W00fer op 30-09-2026 01:50:46 ]

quote:

Op woensdag 30 september 2026 01:39 schreef W00fer het volgende:

[..]
Je hebt duidelijk zitten slapen want de serie Cyberwar van Vice laat zien dat dit soort gasten niet op het rechte pad met witte betalingen te belonen zijn. Op de zwarte markt kopen overheden en aan overheid gelieerde organisaties exploit en 0days.

Veel van die organisaties zijn verwant aan de staatsveiligheid en/of onder invloed van allerlei groeperingen

https://irpimedia.irpi.eu(...)-intelligence-elite/

Dit soort mensen zijn nauwelijks op het rechte pad als white hat te houden. Allerlei groeperingen betalen goud voor de achterdeurtjes.

Als je een beetje de CCC bijeenkomsten volgt in Duitsland weet je dat er maar een handvol mensen zijn in de wereld die echt cryptografie en de versleuteling daarachter begrijpen (zoals AES-CBC).

Als voorbeeld heb je Geohot, de bekende hacker van Sony, Luca, die iPhones hackte zoals in het artikel hierboven en Pepijn, die misschien infostealers gebruik(te) en doormiddel van technieken zoals fuzzing lekken vindt in software en achterdeurtjes in inlegschermen.

Aan de andere kant worden dit soort gasten ook extreem goed geholpen omdat de beveiliging soms alleen

inlognaam:admin
wachtwoord: admin

is

In de Odido hack werd gebruik gemaakt van social engineering om middels phishing achter de inloggegevens van het klantenbestand van Odido bij Salesforce te komen. Als we hier te maken hebben met een superhacker die heeft die social engineering niet nodig. Die weet van de vulnerabilities en 0days in de Salesforce omgeving. En die weet ook dat social engineering sporen oplevert.

Overigens is hij gevonden (destijds) in 2023 doordat zijn mailadres op een verkoopforum stond voor te koop aangeboden lijsten met wachtwoorden. Organisaties die (in opdracht van) overheden werken gaan niet op een lullig forumpje een lijstje verkopen of verhandelen. Valt veel te veel op. Bovendien weten velen dat dat soort sites een honeypot zijn van opsporingsdiensten.

Zoals met elke diefstal kan die technisch perfect zijn, maar je moet het nog maar zien te slijten. Goud kun je nog omsmelten, genummerde biljetten wordt al lastiger en data in de vorm van csv bestanden is vaak pas wat waard als het te gelde gemaakt kan worden in phishing aanvallen, credential stuffing attacks of op andere manieren.

Het is allemaal niks nieuws wat ik vertel, het staat overal al op internet.

W00fer 🙌

En hoe gaat het met het daten? Zie je nooit meer in dat topic.

quote:

Op woensdag 30 september 2026 02:22 schreef epicbeardman het volgende:

[..]
W00fer 🙌

En hoe gaat het met het daten? Zie je nooit meer in dat topic.

Ik voel me niet geroepen het daar met jou over te hebben maatje.

quote:

Op woensdag 30 september 2026 01:39 schreef W00fer het volgende:

[..]
Je hebt duidelijk zitten slapen want de serie Cyberwar van Vice laat zien dat dit soort gasten niet op het rechte pad met witte betalingen te belonen zijn. Op de zwarte markt kopen overheden en aan overheid gelieerde organisaties exploit en 0days.

Veel van die organisaties zijn verwant aan de staatsveiligheid en/of onder invloed van allerlei groeperingen

https://irpimedia.irpi.eu(...)-intelligence-elite/

Dit soort mensen zijn nauwelijks op het rechte pad als white hat te houden. Allerlei groeperingen betalen goud voor de achterdeurtjes.

Als je een beetje de CCC bijeenkomsten volgt in Duitsland weet je dat er maar een handvol mensen zijn in de wereld die echt cryptografie en de versleuteling daarachter begrijpen (zoals AES-CBC).

Als voorbeeld heb je Geohot, de bekende hacker van Sony, Luca, die iPhones hackte zoals in het artikel hierboven en Pepijn, die misschien infostealers gebruik(te) en doormiddel van technieken zoals fuzzing lekken vindt in software en achterdeurtjes in inlegschermen.

Aan de andere kant worden dit soort gasten ook extreem goed geholpen omdat de beveiliging soms alleen

inlognaam:admin
wachtwoord: admin

is

In de Odido hack werd gebruik gemaakt van social engineering om middels phishing achter de inloggegevens van het klantenbestand van Odido bij Salesforce te komen. Als we hier te maken hebben met een superhacker die heeft die social engineering niet nodig. Die weet van de vulnerabilities en 0days in de Salesforce omgeving. En die weet ook dat social engineering sporen oplevert.

Overigens is hij gevonden (destijds) in 2023 doordat zijn mailadres op een verkoopforum stond voor te koop aangeboden lijsten met wachtwoorden. Organisaties die (in opdracht van) overheden werken gaan niet op een lullig forumpje een lijstje verkopen of verhandelen. Valt veel te veel op. Bovendien weten velen dat dat soort sites een honeypot zijn van opsporingsdiensten.

Zoals met elke diefstal kan die technisch perfect zijn, maar je moet het nog maar zien te slijten. Goud kun je nog omsmelten, genummerde biljetten wordt al lastiger en data in de vorm van csv bestanden is vaak pas wat waard als het te gelde gemaakt kan worden in phishing aanvallen, credential stuffing attacks of op andere manieren.

Het is allemaal niks nieuws wat ik vertel, het staat overal al op internet.

Ik ben zelf (ethisch) hacker, en ben het helemaal met je eens, er word gedaan of dit een enorm genie is, mwoah dat valt denk ik erg te bezien, een vlijtig baasje, maar lijkt me ook een enorme autist die maar wat doet.
Wat me trouwens ook opvalt, was dat in het bericht werd gemeld dat het bedrijf waar hij werkte onderzoekt of hij de data heeft misbruikt van bedrijven waar hij toegang toe had, hoezo toegang tot data? Als je je security goed op orde heeft, hebben personal accounts nooit toegang tot productie data, dat mag alleen via gecontroleerde systemen zodat je een fatsoenlijke audit trail hebt.

quote:

Op woensdag 30 september 2026 03:58 schreef raptorix het volgende:

[..]
Ik ben zelf (ethisch) hacker, en ben het helemaal met je eens, er word gedaan of dit een enorm genie is, mwoah dat valt denk ik erg te bezien, een vlijtig baasje, maar lijkt me ook een enorme autist die maar wat doet.
Wat me trouwens ook opvalt, was dat in het bericht werd gemeld dat het bedrijf waar hij werkte onderzoekt of hij de data heeft misbruikt van bedrijven waar hij toegang toe had, hoezo toegang tot data? Als je je security goed op orde heeft, hebben personal accounts nooit toegang tot productie data, dat mag alleen via gecontroleerde systemen zodat je een fatsoenlijke audit trail hebt.

Zijn bedrijf is gespecialiseerd in pentesten, dan krijg je ook toegang tot klanten om te zien of hun eindgebruiker omgeving wel veilig is. Iemand zal daar een laatste klap op moeten geven voordat die weer gevuld worden met productiedata. Ik betwijfel trouwens of Pepijn wel bij Shinyhunters zit of zat.

Wat het rare is in dit soort zaken is dat dit soort gasten heel goed zijn in data, scripten, opslag, databases, fuzzing, automatiseren maar op een OPENBAAR forum data zouden verhandelen.

Alsof je voor het Politiebureau lawinepijlen gaat afsteken. Iedere aap weet toch dat wat je op het openbare web zet meegelezen kan worden? Het rijmt niet met elkaar.

Komt nog bij, de hacks die hij deed (honderd duizenden volgens de podcast) zijn volgens hem 99% legaal. Welk bedrijf heeft honderdduizenden betalende klanten?

Zijn moeder komt bij hem over de vloer en hij heeft 6 ton aan cash geld thuis liggen, maar zij verklaard dat het hem niet om geld ging? Zij weet van zijn afpersing van het bedrijf van Sebastiaan, hij moet 3 ton terugbetalen maar hij koopt niets? Het ging hem alleen om de data?

Onzinverhalen.

Het is net als vissen. Je wilt de mooiste vis, de beste vis en de sterkste vis aan je hengel. Je haalt hem met trots uit het water. Maar je zet hem ook weer terug want als je hem opeet heb je de volgende keer niks meer.
Zelfde met deze afpersingen. Leuk joh 6 ton aan geld binnenhalen voor 20 minuten werk, maar ooit val je door de mand.

Ik ben geen hacker, ik ben geen pentester maar ik weet wel een beetje van dit wereldje af. Ook van de stoerdoenerij, de combolijsten met namen en wachtwoorden die worden verhandeld (en vaak ook snel niks meer waard zijn omdat wachtwoorden worden veranderd) en ik weet ook van de technieken zoals bruteforcing.

De exploits waar Krebsonsecurity het over heeft, die Shinyhunters gebruikt: CVE-2026-35273
Dat is niet zomaar iets. https://cloud.google.com/(...)ng-oracle-peoplesoft

Wat rijmt dat met Shinyhunters die via een slecht sprekende niet Nederlander die iemand op een linkje laat klikken? Een kwetsbaar deel van de hack, zeker voor opsporing.

De werkgever van Pepijn heeft het op de website over zero footprint hacks. Waarbij je niets achterlaat. Erin en zo snel mogelijk met de data eruit.

[ Bericht 3% gewijzigd door W00fer op 01-10-2026 01:04:41 ]

Voor de mensen die nog willen kijken

Bekijk deze YouTube-video

Bekijk deze YouTube-video

Bekijk deze YouTube-video

Serie is nu 10 jaar oud maar zijn tijd ver vooruit.

quote:

Op woensdag 30 september 2026 22:43 schreef W00fer het volgende:

[..]
Zijn bedrijf is gespecialiseerd in pentesten, dan krijg je ook toegang tot klanten om te zien of hun eindgebruiker omgeving wel veilig is. Iemand zal daar een laatste klap op moeten geven voordat die weer gevuld worden met productiedata. Ik betwijfel trouwens of Pepijn wel bij Shinyhunters zit of zat.

Wat het rare is in dit soort zaken is dat dit soort gasten heel goed zijn in data, scripten, opslag, databases, fuzzing, automatiseren maar op een OPENBAAR forum data zouden verhandelen.

Alsof je voor het Politiebureau lawinepijlen gaat afsteken. Iedere aap weet toch dat wat je op het openbare web zet meegelezen kan worden? Het rijmt niet met elkaar.

Komt nog bij, de hacks die hij deed (honderd duizenden volgens de podcast) zijn volgens hem 99% legaal. Welk bedrijf heeft honderdduizenden betalende klanten?

Zijn moeder komt bij hem over de vloer en hij heeft 6 ton aan cash geld thuis liggen, maar zij verklaard dat het hem niet om geld ging? Zij weet van zijn afpersing van het bedrijf van Sebastiaan, hij moet 3 ton terugbetalen maar hij koopt niets? Het ging hem alleen om de data?

Onzinverhalen.

Het is net als vissen. Je wilt de mooiste vis, de beste vis en de sterkste vis aan je hengel. Je haalt hem met trots uit het water. Maar je zet hem ook weer terug want als je hem opeet heb je de volgende keer niks meer.
Zelfde met deze afpersingen. Leuk joh 6 ton aan geld binnenhalen voor 20 minuten werk, maar ooit val je door de mand.

Ik ben geen hacker, ik ben geen pentester maar ik weet wel een beetje van dit wereldje af. Ook van de stoerdoenerij, de combolijsten met namen en wachtwoorden die worden verhandeld (en vaak ook snel niks meer waard zijn omdat wachtwoorden worden veranderd) en ik weet ook van de technieken zoals bruteforcing.

De exploits waar Krebsonsecurity het over heeft, die Shinyhunters gebruikt: CVE-2026-35273
Dat is niet zomaar iets. https://cloud.google.com/(...)ng-oracle-peoplesoft

Wat rijmt dat met Shinyhunters die via een slecht sprekende niet Nederlander die iemand op een linkje laat klikken? Een kwetsbaar deel van de hack, zeker voor opsporing.

De werkgever van Pepijn heeft het op de website over zero footprint hacks. Waarbij je niets achterlaat. Erin en zo snel mogelijk met de data eruit.

Ik heb redelijk veel met dit soort partijen te maken, en de kwaliteit verschilt nogal, doorgaans zijn het niet echt hoogvliegers, als in: ze doen hun werk, maar het is niet zo dat ze heel creatief opzoek gaan naar zaken die een goede haceker wel zou kunnen misbruiken, is ook niet nodig want vaak is een Pentest meer een compliance ding dan dat het echt nodig is. Hoe ik de rol van Pepijn inschat? Groepen als Shinyhunters leven op zero days van webapplicaties, daar zijn ze bereid om goed geld voor te betalen, en wellicht dat hij er af en toe 1 aanleverde, is ook niet zo spannend tenzij je echt > 8/10 CVE kwetsbaarheden kan vinden op heel veel gebruikte software en dat is schaars. Dat hij achter de Odido hack zit? Geen idee, maar het zou wel uitermatige knullig zijn omdat dit gewoon een simpele hack is die je vanuit een willekeurige PC met VPN had kunnen uitvoeren, om dan sporen te achterlaten is wel heel naieef.

Pepijn schat ik gewoon iemand in met een enorm autistisch/narcistische inslag die zich makkelijk laat misbruiken.

quote:

Op donderdag 1 oktober 2026 03:46 schreef raptorix het volgende:
Pepijn schat ik gewoon iemand in met een enorm autistisch/narcistische inslag die zich makkelijk laat misbruiken.

Precies dit inderdaad.

Ik heb ooit ook zo'n jongen gekend. Deed ook veel hacken en dingen zoals fraude. Was prima jongen, maar er was gewoon iets mee mis.

quote:

Op donderdag 1 oktober 2026 07:09 schreef Discombobulate het volgende:

[..]
Precies dit inderdaad.

Ik heb ooit ook zo'n jongen gekend. Deed ook veel hacken en dingen zoals fraude. Was prima jongen, maar er was gewoon iets mee mis.

Het is doorgaans ook helemaal niet spannend, het is vooral heel veel blind testen en dan hopen dat iemand iets vergeten is, want dat is het meestal, ik zal een voorbeeld geven wij hadden een API en daar zat een list users methode in, dat gaf een lijst van users met hun gegevens, nu moest die developer wat functionaliteit maken om te controleren of een gebruikersnaam al bestond bij het maken van dat account, wat had die knul nou gedaan, in de frontend had hij een call gemaakt naar die API, welke deze user api aanriep, natuurlijk gaat dat fout omdat een gebruiker die API niet mag gebruiken, heeft die gozer dus het Authenticatie attribuut eraf gesloopt zodat het wel werkt

Gelukkig dat een tweede collega die de change moest goed keuren het wel zag, anders had dit voor veel ellende kunnen zorgen, is trouwens ook best wel een dingen, vrijwel alle organisaties hebben een 4 eyes principle, maar als ik af en toe zie wat voor enorme change goedkeuringen ik krijg dan is het niet vreemd dat veel mensen blind: op aproove klikken.

Misschien komt dat ook omdat het allemaal snel snel moet en vooral niks mag kosten.
Pentesten kan je ook laten doen door goedkope krachten uit India, Pakistan of waar dan ook.
Het gros van de rapportage zal wel door duurdere consultants geschreven worden.