KPN hack debacle -LIVEBLOG

Website security.nl kwam als eerste met een link naar pastebin waarop de klant gegevens van KPN gebruikers zouden staan.

Hoewel eerst in twijfel getrokken door mij of de gegevens authentiek zijn lijkt dit nu door KPN bevestigd te worden.
De bevestiging wordt gegeven door het vrijwel direct offline halen van alle webmail diensten die KPN levert. Denk hierbij aan https://webmail.kpnmail.nl en bijvoorbeeld https://webmail.planet.nl

Tevens wil ik opmerken dat vandaag wederom via leden van Anonymous gegevens zijn 'gelekt' die enkel de dader kan weten. Het gaat hierbij om een mooi vorm gegeven login van de gehackte server, en een ip adres. Dit zou de login moeten zijn: http://pastebin.com/2qFAiMRR

Het lekken van de gegevens komt op een vreemd moment. Hoewel Anonymous zelf blijft benadrukken dat het een simpele hack was, een klein foutje, en vooral de omvang wil afschalen. Lijkt er op de achtergrond iets anders te gebeuren.
Het zou een tactiek van Politie kunnen zijn om de bevoegdheden te verhogen. Ook zou het een aanwijzing kunnen zijn dat de bewuste hacker zich niet direct in de harde kern van Anonymous bevind, maar mogelijk slechts een bekende van het groepje is.

Enfin, chips en drank staat klaar, ik maak hier een liveblog van.
TIME: 16:40

UPDATE 10-2-2012 16:48
Door gebruikers van het security.nl forum lijkt bevestigd te worden dat de account gegevens legitiem waren en werkten.
For the record: KPN slaat dus wachtwoorden in plaintext op.

UPDATE 10-2-2012 16:50
Door gebruikers van KPN mail lijkt bevestigd te worden dat de gehele mail omgeving niet werkt.

UPDATE 10-2-2012 17:25
Paniek binnen Anonymous kringen. Iedereen is bang en voelt de bui al hangen.

UPDATE 10-2-2012 17:57
Diverse journalisten verkondigen succesvol te hebben ingelogt op andere sites dan KPN met de gelekte klantgegevens. Enige ethiek vragen roept dit op.

UPDATE 10-2-2012 18:00
Journalisten verwijderen hun tweets dat zij succesvol zijn ingelogd met de gelekte klantgevens, na blijkt dat dit mogelijk strafbaar is. Hulde aan @Byte_Fighter.

UPDATE 10-2-2012 18:08
Security.nl kwam als eerste met de pastebin. Naar eigen zeggen had de pastebin tentijde van het plaatsen 32 views. Als we de gegevens van de public pastes van pastebin erop na slaan zien we dat een gemiddelde paste na 5 minuten ongeveer 30 views heeft. Binnen deze tijd moet Security.nl dus de informatie binnen gekregen hebben en er een artikel overgeschreven. Security.nl staat dus waarschijnlijk in direct contact met de plaatser van de pastebin.

UPDATE 10-2-2012 19:41
Inmiddels ontstaat er twijfel over de gelekte gegevens. Deze zouden mogelijk niet van de KPN hack afkomstig zijn.
Dit lijkt een goede theorie. Zeker gezien het feit de bron van security.nl duidelijk een andere bron is dan ik gebruik, evenals nu.nl/webwereld/tweakers. Allen gebruiken wij, gezien het feiten relaas, dezelfde bron.

UPDATE 10-2-2012 20:20
Naar nu blijkt is de pastebin vrijwel direct in de comments van security.nl geplaatst. Dit was 18 minuten voor publicatie op security.nl.

De bronnen welke eerder met de pers praatte en gegevens van de gehackte systemen wisten te overhandigen, welke correct waren, beweren dat de pastebin niet van hen is. Zij hebben niets gelekt en zijn hier zeer verontwaardigd over.

UPDATE 11-2-2012 14:08
- KPN heeft 6 dagen lang 24 uur per dag alles eraan gedaan om de continuïteit van de dienstverlening veilig te stellen.
- KPN vermeldt expliciet dat er geen klant gegevens buit zijn gemaakt. Zo'n expliciete vermelding zal ongetwijfeld gebaseerd zijn op constateringen.
- 1 Pastebin doet KPN besluiten direct alle mail diensten plat te leggen.

Conclusie: KPN heeft alles behalve controle over deze hack en tast flink in het duister.

Informatie dat de pastebin niet van deze hack afkomstig is, maar van een andere hack, wordt steeds groter. Het neerhalen van de complete mail infrastructuur lijkt dus een voorbarige actie van KPN. (Overigens wel terecht)

De hack zelf lijkt op dit moment als volgt te zijn gegaan:
- Core router gehackt
- Interne server gehackt (waarop configuratie file stond met het inmiddels geroemde g1rlp0w3r wachtwoord)
De core router is met een 0day exploit gehackt. En de interne server met publieke exploits.

UPDATE 11-2-2012 14:52
Overigens op het moment dat gestelt kan worden dat de gelekte gegevens een andere bron hebben dan deze hack. Wat voor mij al vast staat. Zullen er 2 grote onderzoeken moeten worden opgestart door Politie. Belangrijkste clue naar het tweede onderzoek, de gelekte gegevens dus, is de comment op het Security.nl forum (Zie reactie om 14:50 door Anoniem). Mogelijk kan de redactie verhelderen of er al een verzoek is binnen gekomen bij hen het ip adres van de poster te verstrekken. Belangrijk punt bij het tweede onderzoek is de maatschappelijke onrust die het veroorzaakt heeft.

UPDATE 11-2-2012 18:05
Zoals verwacht. De gelekte gegevens blijken niet van de directe KPN hack, maar van een webwinkel.