Wifi-hotspots 'goudkust' voor hackers

Met een niet nader gespecificeerd zwart apparaatje, iets groter dan een sigarettenpakje (mogelijk een getweakte repeater) werd steeds met succes het verkeer tussen de hotspot-router en de ingelogde gebruikers geobserveerd. Zo werd zichtbaar op welke wifi-netwerken de andere gasten eerder waren aangesloten, vaak met namen die verwijzen naar een locatie, zoals van coffeeshop The Bulldog of vliegveld Heathrow.

WeTransfer en Dropbox

Door zelf een nep-versie van het hotspot-net op te zetten, kon slotboom bezoekers in de val lokken. Van hen die op 'zijn' net inlogten werd op de laptop van Slotboom zichtbaar welke mobiel apparaat (bijvoorbeeld een Samsung Galaxy S4) de gast gebruikte, wat diens de taalinstellingen waren en welke (eventueel beveiligingstechnisch achterhaalde) versie van het besturingssysteem hij gebruikte. Van iemand met een MacBook werd zichtbaar welke site hij bezocht. Ook kon Slotboom zien welke apparaten WeTransfer-documenten verstuurden, contact maakten met Dropbox of actief waren op Tumblr. Van iemand die net inlogde op FourSquare verscheen de naam op Slotbooms scherm. Wat googlen leverde een foto van hem op waarmee hij kon worden herkend als de man die een paar tafeltjes verderop zat. Van iemand anders was zichtbaar dat hij de app van homodatingsite Grindr op zijn smartphone heeft staan.

DNS-spoofing

Maar daar blijft het niet bij. Aan de hand van een sessie van de journalist zelf demonstreert Slotboom hoe hij door middel van DNS-spoofing internetverkeer van ingelogden omleidt. Als Martijn naar SNS.nl of DigiD.nl denkt te surfen belandt hij feitelijk op een identiek ogende nepversie van deze site. De inlog-gegevens die Martijn op de site invoert, worden op de server van Slotboom opgeslagen. Binnen twintig minuten heeft Slotboom Martijn's inloggegevens en wachtwoorden van Live.com, SNS-bank, Facebook en DigiD in handen.

Het Nationaal Cyber Security Centrum van het ministerie van Veiligheid en Justitie, ontraadt het gebruik van publieke wifi-netwerk. Wie het toch doet, doet er verstandig aan geen gevoelige sites te bezoeken.