Die Geschichte klingt ein wenig paradox: Nachdem zwei amerikanische Reporter ein Datenleck bei Telekommunikationsunternehmen aufgedeckt haben, werden sie von den Unternehmen als „Hacker“ bezeichnet und von ihnen angeklagt. Interessant wird es jedoch wenn man sich anschaut wie die „hackenden“ Reporter an die Daten gekommen sind – nämlich per einfacher Suchanfrage bei Google.
Es geht konkret um zwei Journalisten der amerikanischen Nachrichtenseite „Scripps“, die den Fall auch selbst in einem Artikel schildern. Insgesamt geht es um rund 170.000 Datensätze der Telekommunikationsunternehmen TerraCom und YourTel, welche die Reporter fanden:
The records include 44,000 application or certification forms and 127,000 supporting documents or “proof” files, such as scans or photos of food-stamp cards, driver’s licenses, tax records, U.S. and foreign passports, pay stubs and parole letters. Taken together, the records expose residents of at least 26 states.
Nachdem die beiden Reporter das Datenleck durch die Suchanfrage bei Google fanden informierten sie die beiden Unternehmen, welche darauf die Sicherheitslücke schlossen. Der indische Call-Center Betreiber Vcare, welcher die Server von TerraCom und YourTel betreibt, untersuchte daraufhin die Umstände des Datenlecks. Und das Ergebnis ist äußerst kurious. Wie ArsTechnica berichtet, meldete sich kurze Zeit später ein Anwalt, der beide Unternehmen vertritt:
However, Vcare and the two telecom companies assert that the reporters „hacked“ their way into the data using „automated“ methods to access the data. And what was this malicious hacking tool that penetrated the security of Vcare’s servers? In a letter sent to Scripps News by Jonathan D. Lee, counsel for both of the cell carriers, Lee said that Vcare’s research had shown that the reporters were „using the ‚Wget‘ program to search for and download the Companies‘ confidential data.“ GNU Wget is a free and open source tool used for batch downloads over HTTP and FTP. Lee claimed Vcare’s investigation found the files were bulk-downloaded via two Scripps IP addresses.
Wget ist ein einfaches Kommandozeilenprogramm des GNU-Projekts, mit dessen Hilfe Inhalten aus dem Internet heruntergeladen werden können. Wget ist keineswegs ein „Hacker“-Programm sondern wird mit nahezu jeder Linux-Distribution ausgeliefert und wird häufig eingesetzt um große Datenmengen herunterzuladen – wie auch in diesem Fall. Das Aufdecken eines Datenlecks mit Hilfe der Google-Suche und eines freien Downloadprogramms als Hackerangriff darzustellen, zeugt entweder von einer großen Menge Unwissenheit, Ignoranz oder aber Humor.
Manning hat auch wget benutzt.
Manning hatte aber bereit Zugriff auf unter Verschluss stehende Daten die er nur mittels seiner „Login-Daten“ erreichen konnte.
Ansonsten schön getrollt.
Hier mit Manning zu vergleichen, zeugt entweder von einer großen Menge Unwissenheit, Ignoranz oder aber Humor.
Vcare scheint die (indische) Call-Center und Servicefirma zu sein, die den offenen Datenserver betrieb.
In Eurem Text klingt es mehr nach einer IT-Sicherheitsfirma, die sich des Problems angenommen hat.
Du hast vollkommen Recht, das war unsauber formuliert. Ist jetzt geändert.
Danke schön für den Hinweis.
Humor? Also, dahinter Humor zu vermuten, dazu muss man schon sehr viel Humor haben.
Is doch klar, jeder der die anstelle des Internet Explorer die Linux-Kommandozeile benutzt ist ein Hacker…
Aber andererseits:
Den Journalisten sollte doch klar gewesen sein, dass die Daten, auch wenn sie ungeschützt auf dem Server lagen, nicht für den öffentlichen Zugriff vorgesehen waren. Und trotzdem haben sie sich anscheinend den kompletten Datensatz gezogen.
Salopp gesagt: Auch wenn mein Nachbar seine Wohnung nicht abschließt, ist es moralisch trotzdem nicht in Ordnung hineinzugehen und sein Tagebuch und seine Kontoauszüge zu fotokopieren.
Kommt drauf an … zum einen war nicht nur abgeschlossen, die Türe stand auch noch weit offen und das Tagebuch / Kontoauszüge lagen Sichtbar da, wenn ich danach zu dir komme, und dir erzähle, wie leichtfertig das ist was DU tust statt die Daten irgendwie zu meinem Eigennutzen zu verwenden (wie es vielleicht irgendwer anders getan hätte, der deine, ohne meine Warnung immer noch offene Türe, vorgefunden hätte), solltest du mir eher danken.
Zu verlangen, dass ich meine „Kopie“ der Daten vernichte ist sicher ok, aber da muss man doch nicht gleich mit Anwälten kommen / klagen und abstruse Hacking (oder um im Beispiel zu bleiben, Einbruchs) Behauptungen aufstellen die so der Realität nicht einmal nahe kommen.
Dazu kommt, der Vergleich hinkt sowieso stark, denn sie sind garnicht „hineingegingen“ … das in eine Analogie zu verpacken find ich gerade schwer, aber Google-Suche + Wget ist keinesfalls „hineingehen“.
Ich finde die Erklärung von „Wget“ sehr ungeschickt. Meiner Meinung nach sollte man Wget eher so erklären:
Wget ist ein extrem abgespreckter Browser. Während ein Browser die Inhalte für den Benutzer herunterlädt und anzeigt, verzichtet Wget auf die Anzeige der Daten.
Ich finde folgende Argumentation im Artikel fragwürdig:
„Wget ist keineswegs ein “Hacker”-Programm sondern wird mit nahezu jeder Linux-Distribution ausgeliefert.“
Die gängigen Linux-Distributionen enthalten zehntausende nützliche Tools, von denen man etliche Tools durchaus als „Hacker-Tools“ bezeichnen kann, vor allem Tools zur Netzwerkanalyse wie „nmap“ oder „tcpdump“+“wireshark“. Aber auch Passwort-Cracker wie „john“. Diese Tools sind extrem nützlich, wenn ein Administrator sein eigenes Netzwerk bzw. seine eigenen Passwort-Hashes abklopfen möchte. Aber sie sind genauso auch die ersten Schritt eines Angreifers, um fremde Systeme zu analysieren.