Thingiverse-database van 228.000 gebruikers circuleert op internet

Een database van 36 GB met gegevens van 228.000 Thingiverse-accounts circuleert al meer dan een jaar op kwaadaardige hackerforums. Naast e-mailadressen en IP-adressen zijn dit volledige namen die gebruikers mogelijk hebben ingevoerd.

Het 36 GB back-upbestand bevat 228.000 unieke e-mailadressen. Het dossier verscheen een jaar geleden op internet. Sindsdien circuleert de MySQL-database op het web, meldt Troy Hunt van Have I Been Pwned aan DataBreach Today . Volgens hem is de oudste vermelding in de database van zeker tien jaar geleden en bevat de database ook volledige namen. De wachtwoorden zijn gehasht met bcrypt en zijn daarom niet beschikbaar in platte tekst. Het is onduidelijk of PayPal-gebruikersnamen ook onderdeel zijn van het datalek.

Het bestand is naar verluidt vorige week ontdekt door Twitter-gebruiker Pompompurin . Hij meldt aan DataBreach Today dat een vriend van hem Thingiverse en moederbedrijf MakerBot probeerde te waarschuwen, maar geen antwoord kreeg. Die vriend zou dan een staaltje van het datalek op een forum hebben gezet waar dit soort gestolen bestanden vaak tegen betaling worden aangeboden.

Troy Hunt probeerde vervolgens contact op te nemen met MakerBot en Thingiverse, maar dat lukte aanvankelijk niet. Na een telefoontje kreeg hij te horen dat MakerBot de zaak aan het onderzoeken was. Bij gebrek aan een openbare melding van het bedrijf dat het te maken had met een datalek, besloot Hunt dit via Have I Been Pwned kenbaar te maken.

Thingiverse is een site waar gebruikers onder een GNU General Public License of Creative Commons-licentie ontwerpen kunnen delen voor onder andere 3D-printers.