Gegevens 49 miljoen Dell-klanten gestolen via bruteforcen service tags

[Captain Kirk]

Bij Dell zijn de gegevens van 49 miljoen klanten gestolen, wat mogelijk was door het bruteforcen van service tags in een 'partnerportal', zo stelt de verantwoordelijke aanvaller. Die informeerde Dell in april over het probleem. Dat laat de aanvaller tegenover TechCrunch weten. Gisteren stuurde Dell een e-mail naar klanten waarin het laat weten dat klantgegevens zijn gestolen. Verdere details over hoe het datalek kon ontstaan zijn niet door Dell gegeven.

De aanvaller stelt dat hij zich onder verschillende namen als partner bij het betreffende Dell-portal registreerde. Nadat Dell zijn accounts had goedgekeurd begon de aanvaller naar eigen zeggen met het bruteforcen van de service tags die Dell aan klanten toekent. Service tags bestaan uit zeven cijfers en medeklinkers. Volgens de aanvaller verstuurde hij vijfduizend requests per minuut naar de pagina waarmee klantgegevens via service tags zijn op te vragen, zonder dat Dell dit opmerkte.

Na drie weken en bijna vijftig miljoen requests had de aanvaller genoeg informatie en stuurde hij Dell meerdere e-mails over de kwetsbaarheid. Het probleem werd een aantal dagen later verholpen, aldus een verklaring van de aanvaller. Die deelde verschillende screenshots van de e-mails die hij halverwege april naar Dell stuurde met TechCrunch. Dell bevestigt tegenover de website dat het de e-mails van de aanvaller heeft ontvangen.

 

bron: https://www.security.nl