Shutterstock

De hacker achter het Robinhood-gegevenslek van vorige week verkoopt nu de klantgegevens van het bedrijf op een hackforum.

Bekend als 'pompompurin', is de dreigingsactor - die ook de verantwoordelijkheid opeiste voor de recente hack op het e-mailsysteem van de FBI - op zoek naar een minimumaanbod van "vijf cijfers" voor de "zeer waardevolle" gegevens, waaronder zeven miljoen e-mailadressen.

De dreigingsactor benadrukte echter dat de gevoelige gegevens van 310 klanten, zoals naam, geboortedatum en postcode, "op dit moment" niet beschikbaar zullen zijn om te kopen.

De gevoelige gegevens zijn verkregen via SendSafely, een bestandsoverdrachtsysteem dat door Robinhood wordt gebruikt om de identiteit van gebruikers te verifiëren wanneer ze een account instellen. Van de 310 klanten van wie hun identiteitskaart was gestolen door 'pompompurin', waren er 10 meer uitgebreide details uitgelekt.

De hacker bekritiseerde Robinhood voor het verzwijgen van het feit dat de ID-kaarten waren gestolen, volgens screenshots van het hackforum verkregen door BleepingComputer .

In een blog die op 8 november werd gepubliceerd, zei het online handelsplatform dat het bezig was 310 klanten op de hoogte te stellen dat hun persoonlijke gegevens waren gestolen. Er werd echter niet specifiek melding gemaakt van de diefstal van identiteitskaarten, ondanks dat CSO Caleb Sima verklaarde dat het bedrijf "transparant zou zijn en integer zou handelen".

IT Pro heeft contact opgenomen met Robinhood voor commentaar.

'Pompompurin' haalde maandag de krantenkoppen door de verantwoordelijkheid op te eisen voor het misbruiken van de FBI-systemen om valse cyberbeveiligingswaarschuwingen te verzenden. In een interview met beveiligingsonderzoeker Brian Krebs zei de dreigingsactor dat ze de aandacht wilden vestigen op de beveiligingskwetsbaarheid in de Law Enforcement Enterprise Portal (LEEP) web-app.

'Pompompurin' is genoemd naar een hondenpersonage dat is geïntroduceerd door het Japanse bedrijf Sanrio, dat verwijst naar het gebruik van de alias 'HelloKitty' door de ransomwaregroep die verantwoordelijk is voor de cyberaanval op game-ontwikkelaar CD Projekt eerder dit jaar, met ook het populaire kattenpersonage een product van Sanrio zijn. De gestolen gegevens zijn sindsdien ook weer opgedoken op een dark web-veiling die zelf wordt beschreven als 'fondsenwerving voor goede doelen'.