Door cyberaanval getroffen Plex vraagt gebruikers wachtwoord te veranderen

Mediaserverplatform Plex is naar eigen zeggen getroffen door een cyberaanval en vraagt alle gebruikers hun wachtwoord te veranderen. Dit zou niet zozeer noodzakelijk zijn, maar een 'overvloed aan voorzorg'. Er zouden geen betalingsgegevens buitgemaakt zijn bij het datalek.

In een mail aan gebruikers, die door verschillende tweakers werd doorgestuurd, laat Plex weten dat er op 23 augustus 'verdachte activiteit' op een van de databases van de streamingdienst gedetecteerd werd. "We zijn direct een onderzoek gestart en het lijkt erop dat een derde partij bij een beperkte subset van data heeft kunnen komen." Het bedrijf laat weten dat e-mailadressen, gebruikersnamen en versleutelde wachtwoorden zijn buitgemaakt, al is niet duidelijk hoeveel gebruikers slachtoffer zijn geworden van het datalek.

Plex wachtwoord reset — Afbeelding via Plex

Uit voorzorg vraagt Plex daarom alle gebruikers hun wachtwoord te veranderen. Op een speciale supportpagina worden gebruikers stap voor stap ingelicht over dit proces. Gebruikers wordt ook aangeraden om voor de zekerheid alle gekoppelde apparaten uit te loggen en tweestapsverificatie in te schakelen. Volgens een medewerker van de streamingdienst waren de buitgemaakte wachtwoorden 'gehasht met salt en pepper'.

Naar eigen zeggen heeft Plex de 'methode die door de derde partij is gebruikt om het systeem binnen te dringen' al onder handen genomen. Er worden verdere stappen ondernomen om toekomstige incidenten te voorkomen. Het is niet duidelijk of de streamingdienst een dader op het oog heeft of aangifte heeft gedaan van de inbreuk op het systeem.

Ogenschijnlijk heeft Plex momenteel ook interne serverproblemen, vermoedelijk vanwege de grote hoeveelheid verzoeken van ingelichte gebruikers om verandering van wachtwoord. Op het Tweakers-forum melden diverse tweakers dat ze een foutmelding te zien krijgen als ze proberen het wachtwoord te veranderen. Sommigen krijgen vooralsnog de wachtwoordresetmail niet binnen, wat opnieuw lijkt te wijzen op interne problemen bij het bedrijf.

Plex is een streamingdienst waarmee gebruikers onder andere gratis live-tv kunnen kijken, maar ook zelf content kunnen hosten via servers. De dienst biedt ondersteuning voor films, series, podcasts, muziek en games.

Lees meer

Reacties (122)

YStec
24 augustus 2022 12:23

Ter info: mocht je bij het veranderen van je wachtwoord de optie " Sign out connected devices after password change" aangevinkt hebben, wordt je server losgekoppeld van je Plex-account. Dat betekent dat je geen toegang meer hebt tot je server. Je moet je server 'reclaimen' zoals Plex dat noemt.

Een aantal gebruikers op Reddit geven aan dat dit kan via de Settings, maar bij mij lukte dat niet. Ik moest een 'claim code' (https://www.plex.tv/claim/) aanvragen, en deze claim code via SSH en CURL doorsturen naar mijn Plex-installatie om de server weer te claimen.

Voor QNAP staan de instructies hier (Plex geïnstalleerd via App Center): https://www.reddit.com/r/...im_your_server_if_it_has/.

Werkt waarschijnlijk ook net zo op een Synology.
Geen idee hoe het gaat bij een Docker container, vermoed dat je dan de claim code kan aangeven via een variabele of iets dergelijks.

Melantrix

@YStec • 24 augustus 2022 13:44

Ik had hetzelfde, maar kon het fixen door in mijn Preferences.xml bestand die in de plex installatie op mijn nas staat het volgende toe te voegen:
allowedNetworks="192.168.0.0/24" (oftewel, je lokale netwerk waar je vandaan komt). DAarmee hoef je niet in te loggen met je plex account en kan je gewoon je server claimen.

J_van_Ekris
@Melantrix • 24 augustus 2022 14:38

Dat was mijn eerste gevoel ook: VOORDAT je van account wachtwoord wisselt zeker stellen dat Plex het lokale netwerk volledig vertrouwd zodat je niet hoeft in te loggen.

Hydranet
@Melantrix • 24 augustus 2022 15:03

Dat had ik al een keer ingesteld voor het gevalt dat Plex authenticatie er ooit uit ligt maar ik had ook geen optie om mijn Plex server te reclaimen nadat ik mijn wachtwoord gewijzigd had.

UNTITLED.PNG
@YStec • 24 augustus 2022 13:33

Ah, ik dacht dat ik de enige was.. Ik maak zelf gebruik van Unraid en de docker container lscr.io/linuxserver/plex (voor hardware acceleration). Mijn stappen waren als volgt:

Veranderd tijdelijk de AppData path naar een nieuwe map, zodat er een clean install gedaan kan worden.
Vraag een nieuwe 'claim code' aan en update deze in je configuratie.
Start de container en sluit hem daarna weer af als die in je account staat.
Ga nu naar de volgende locatie in je nieuwe AppData path: /Library/Application Support/Plex Media Server en lees het 'Preferences.xml' bestand uit.
Kopieer de value van 'PlexOnlineToken' en plaats dit in de oude config. Zorg daarnaast ook er voor dat in de oude config 'PlexOnlineHome' op 1 staat.
Verander de AppData path weer naar de oude, zet je container weer aan en het zal weer moeten werken.

Zeker niet de meest simpele oplossing, maar dit werkte wel voor mij en als iemand anders er niet uit komt, dan zal dit een optie kunnen zijn.

Hydranet
@UNTITLED.PNG • 24 augustus 2022 14:46

Ik draai Plex in een container via Podman en ik heb gewoon het volgende gedaan
1. Container gestopt.
2. De volgende entrees verwijderd uit Preferences.xml.
- PlexOnlineHome
- PlexOnlineMail
- PlexOnlineToken
- PlexOnlineUsername
3. Nieuwe reclaim token aangevraagd via https://www.plex.tv/claim
4. Nieuwe container aangemaakt met deze var erbij: -e PLEX_CLAIM=
5. Nieuw user systemd-unit genereerd voor automatisch opstarten.
Wanneer je de container opstart met je PLEX_CLAIM code worden de entrees die je uit Preferences.xml verwijderd hebt gewoon weer automatisch toegevoegd.

RebelwaClue
@YStec • 24 augustus 2022 14:59

Ik kon gewoon claimen door via het lokale IP adres van de Plex server opnieuw in te loggen en daarna te claimen.

niekdejong
@RebelwaClue • 25 augustus 2022 07:54

Same. Al die lastige stappen met claim tokens, preferences.xml vervangen. Ik kon simpelweg via lokale IP inloggen en vervolgens claimen

GorgeousMetal

@YStec • 24 augustus 2022 12:33

Zie ook het volgende artikel wat te doen als je 'locked out' bent van je Plex Media Server nadat je je wachtwoord hebt veranderd.

Sleepkever
@YStec • 24 augustus 2022 13:15

Je kan claimen via de settings mits je op hetzelfde netwerk zit. Een VPN was bij mij niet genoeg maar met een SSH portforward naar localhost werd de optie wel zichtbaar.

Xantis
@YStec • 24 augustus 2022 13:36

Fijn dat ze dat er ff bij zetten als waarschuwing - _-. Ik was net ook weer een half uurtje druk om die container weer te koppelen met m'n account...

Ch3vr0n
@YStec • 24 augustus 2022 17:15

Ook dsie mail gehad, claimen via settings werkte voor mij normaal.

FREAKJAM

Plex

24 augustus 2022 13:05

Link naar het support artikel om MFA in te schakelen wanneer je hier nog geen gebruik van maakt.

[Reactie gewijzigd door FREAKJAM op 24 augustus 2022 13:10]

jotheman
@FREAKJAM • 25 augustus 2022 19:21

Dit dus inderdaad! Ik kan er werkelijk niet bij waarom Plex dit moment niet aangrijpt om mensen vriendelijk doch dringend te vragen MFA aan te zetten. Ik heb het aanstaan, en hoewel dit natuurlijk ontzettend vervelend is, maakte ik me niet meteen ernstige zorgen.
Iemand enig idee waarom ze dit niet zouden doen (los van: "ja, dan maken we het mensen moeilijker om de dienst te gebruiken")?

iDog
24 augustus 2022 11:53

Ja hier ook. De boel resetten lukt niet, want de site ligt er constant uit (cloudflare error 522). Denk dat er redelijk wat mensen tegelijk hun password proberen te resetten

zaphod_b
@iDog • 24 augustus 2022 12:11

Ja hier helaas ook hetzelfde, beetje overbelast.

jarco5000
@iDog • 24 augustus 2022 13:21

Ik kan wel de reset instructions laten verzenden, maar ze komen niet aan. Ik wil gewoon mijn account deleten maar kan er dus niet in.

TBK001
24 augustus 2022 11:41

Probeer dit ook in je omgeving te laten landen. Er zijn veel mensen die niet dit soort dingen mee krijgen maar tevens wachtwoorden hergebruiken. Laat die mensen hier het wachtwoord resetten, maar ook op de andere plekken waar ze mogelijk dit wachtwoord gebruiken. (en adviseer ze daarna een wachtwoordmanager

)

(typefoutje aangepast)

[Reactie gewijzigd door TBK001 op 24 augustus 2022 11:42]

MrMonkE
@TBK001 • 24 augustus 2022 12:01

Mijn 'nieuwe' MO is email aanpassen -heb eigen domein- elke site heeft een eigen email address.
voordelen:
- als ik spam krijg op dat adres weet ik dat het verkochte of gestolen data is.
- Als ze mijn password achterhalen op Mickey-Mouse-site dan kunnen ze nergens anders er mee inloggen.
- Kan 1 email nuken in de filters als er spam komt, rest blijft ok.

nadelen (Zelden):
- Sommige sites doen slechte check op email en als je als email hun domein naam bevat blokkeren ze het, Maar dan doe ik bijvoorbeeld mrmonke.Twiekersnet@<domain>
- Soms moet ik in mijn oude email zoeken als ik een account moet resetten die nog niet in BitWarden staat. zeldzaam.

MO - Modus Operandi

edit: Heh had een voordeel bij de nadelen, aangepast

[Reactie gewijzigd door MrMonkE op 24 augustus 2022 12:03]

Oon

@MrMonkE • 24 augustus 2022 12:13

Ik doe precies hetzelfde; henk+plex@domeinnaam.nl, als + niet mag dan een punt. Nog geen plek tegengekomen waar + en . allebei niet mochten.

Als ik dan een keer spam krijg weet ik precies waar het vanaf komt.

Krijg vaker de reactie hier op Tweakers dat het niet zou werken met sub-addressing omdat het makkelijk te herkennen is, maar echt geen enkele persoon die een lijst met hondderdduizenden e-mailadressen koopt gaat hier moeite voor doen, die knallen gewoon hun phishing mailtje eruit en klaar.

RobbyTown

Plex

@Oon • 24 augustus 2022 18:59

Sommige van die spammers beginnen moeite te doen en slopen +blabla eruit.

Met als gevolg henk@jedomein.nl ontvangt spam en geen idee waar het vandaan komt.

Koen Hendriks
@RobbyTown • 27 augustus 2022 19:53

Eigen domein met catch all lost voor mij alles op.

Tweakers@koenhendriks.nl
Apple@koenhendriks.nl
Etc

RobbyTown

Plex

@Koen Hendriks • 27 augustus 2022 22:09

Yup zo heb ik het ook

pbb
@Oon • 25 augustus 2022 09:27

Ik had laatst een dienst waarbij de plus wel geaccepteerd werd, maar intern naar een spatie omgezet werd (URL encoding). Bovendien werkte de dienst ook niet met verificatie, dus ik was gelijk uit mijn account uitgesloten. En dat soort zaken zie je dus niet van tevoren, je kunt er dus ook geen rekening mee houden.

Oon

@pbb • 25 augustus 2022 10:30

Dat ben ik ook wel eens tegengekomen ja, of dat de website het wel toestaat maar dan de app ineens niet, en dat er dan ook geen mogelijkheid is om je e-mailadres aan te passen zonder een nieuw account aan te maken.

Maar goed, ik heb mijn mailserver zo ingesteld dat alle niet-a-zA-Z0-9 als splitter gebruikt wordt voor sub-addressing, en meestal werkt een underscore bijv. wel gewoon

Donstil
@MrMonkE • 24 augustus 2022 12:22

Ja dit werkt top, ik doe dit ook al jaren. dienst@domeinnaam.nl.

Gelukkig wordt het voor gebruikers ook steeds gangbaarder om "wegwerp" adressen te gebruiken voor dit soort zaken. Zo heb je bijvoorbeeld "Hide my email" wat je op iCloud email kunt gebruiken, dan maakt het systeem een random email adres aan wat in je eigen box binnen komt, krijg je spam dan disable je dat adres weer (of dat doe je überhaupt als de bestelling oid binnen is).

BaggerDeBagger
@MrMonkE • 24 augustus 2022 12:15

Traceren is zeker handig inderdaad.
Als alternatief kun je ook een email alias gebruiken. Dit werkt met o.a. met een enkele gmail of outlook adres.
Dus als je email adres bassie@gmail.com is dan kun je bijvoorbeeld bassie+adriaan@gmail.com

gebruiken. Dit werkt vergelijkbaar met een catchall op een eigen domein.

MrMonkE
@BaggerDeBagger • 24 augustus 2022 12:22

wat @Oon net schetst..
"maar echt geen enkele persoon die een lijst met hondderdduizenden e-mailadressen koopt gaat hier moeite voor doen, die knallen gewoon hun phishing mailtje eruit en klaar."

Misschien wel voor bassie+adriaan@gmail.com .
Want dat is heel makkelijk om het basis adres eruit te plukken

DikkieDick
@MrMonkE • 24 augustus 2022 13:08

Zo ben ik daar vorig jaar ook mee begonnen. Zoveel mogelijk ook om weten te zetten, maar bij een aantal diensten is het helaas niet mogelijk emailadres te wijzigen. Maar werkt uitstekend verder. Ook met de reden dat als ik bijvoorbeeld niet Coolblue-gerelateerde mail binnenkrijg op coolblue@... dat ik dan weet dat dat emailadres is gelekt.
Zie dat ik dit voor tweakers nog niet doe. :-)
Update: Hmm... althans dat dacht ik, want hij toonde mijn standaard email-adres maar toen ik op wijzigen klikte stond er tweakers@...

[Reactie gewijzigd door DikkieDick op 24 augustus 2022 13:09]

lenwar

Beveiliging en antivirus

@MrMonkE • 24 augustus 2022 13:38

Ik heb hier ook over na zitten denken.
Maar ik heb uiteindelijk ook een lenwar@mijndomein.nl die door mijn personenkringen gebruikt worden.
(ik ga mensen niet lenwar.anneke@mijndomein.nl of lenwar.gerard@mijndomein.nl gebruiken. Ofwel, als één van hun apparaten wordt 'gehacked' (ofwel ze installeren de verkeerde app, of doen wat verkeerd

), dan ligt m'n e-mail adres alsnog op straat.

Dus ik weet niet of het nou in de praktijk erg veel gaat uithalen.

maxdisteli
@MrMonkE • 24 augustus 2022 15:18

Waar host jij je mail, welke provider? Ik zit te kijken naar deze methode echter kan het aardig in de papieren lopen met meerdere mailboxen.

Thanks!

MrMonkE
@maxdisteli • 25 augustus 2022 01:16

Dit doe je met een wildcard/catchall adress.

orvintax
@MrMonkE • 24 augustus 2022 17:36

Net zoals wachtwoorden gebruik ik ook random email adressen voor alle diensten. Dan lost dat probleem zich zelf op

Reloader
@TBK001 • 24 augustus 2022 12:32

maar dan heb je toch gigantisch veel aliassen die je moet onderhouden/aanmaken?

RobjeDopje
@Reloader • 24 augustus 2022 12:36

Veel mailserver software ondersteunt gewoon een catch-all. Komt het allemaal gewoon in je eigen main mailbox binnen.

brinkie2004
@Reloader • 24 augustus 2022 12:40

Niet met een zogenaamde catch-all mailbox. Je stelt de mail zo in, dat alle mail gericht aan *@domein.nl binnen komt in dezelfde mailbox.

Eventueel kun je met "rules" zorgen dat mail per adres in een aparte folder terecht komt.

Sfynx
@Reloader • 24 augustus 2022 13:42

Ik heb in mijn Postfix het zo ingesteld dat specifiek alles wat voldoet aan service.****@domain.tld op mijn eigen naam@domain.tld binnenkomt, en dan per service iets anders op de plek van de ****. Bijvoorbeeld: service.plex@domain.tld. Dan heb ik ook geen last van mails als ze dat deel eraf halen zoals bij een + in de naam, want dan bestaat de gebruiker niet en word je getrakteerd op een SMTP 5xx error.

Een catch-all is een wat eenvoudiger te realiseren, maar wel rigoreuzere variant daarvan, zelf geen fan van omdat een hoop rommel naar willekeurige gegenereerde gebruikers gaat en ik die liever op SMTP-niveau al onderschep als zijnde niet bestaand zodat ze de queue niet vervuilen

[Reactie gewijzigd door Sfynx op 24 augustus 2022 13:50]

Kneth87
24 augustus 2022 11:53

kan wel kloppen, kreeg via mobiel een notifcatie dat mijn gebruiker zich had aangemeld op een nieuw toestel met firefox (ik gebruik geen firefox). Dus onmiddelijk maar eens ww gewijzigd en 2FA geactiveerd.

Roy23
@Kneth87 • 24 augustus 2022 12:18

Sorry maar het lijkt me op dit moment onwaarschijnlijk dat dit door de cyberaanval komt.
Dan zouden de wachtwoorden óf niet versleutel zijn, maar Plex geeft aan dat dit wel het geval is, óf ze hebben de versleutelde wachtwoorden nu al gekraakt.
Lijkt me eerder dat je partner oid aangemeld is of dat er vanaf een FireFox browser die al een tijd niet gebruikt is maar wel het wachtwoord had opgeslagen is aangemeld.

sjongenelen
@Roy23 • 24 augustus 2022 14:30

Of het nieuws bericht is niet volledig? Mogelijk is er op een andere manier dan user/pass ingelogd (session hijack?)

J_van_Ekris
@Roy23 • 24 augustus 2022 14:49

Sorry maar het lijkt me op dit moment onwaarschijnlijk dat dit door de cyberaanval komt.
Dan zouden de wachtwoorden óf niet versleutel zijn, maar Plex geeft aan dat dit wel het geval is, óf ze hebben de versleutelde wachtwoorden nu al gekraakt.

Of de aanvallers weten meer dan Plex op dit moment kan/wil vertellen. Kan ook zijn dat er ergens in de authenticatieketen een zwakte zit. Dat is het nadeel van de centrale authenticatie zoals Plex die heeft neergezet, als je die centrale authentcatiehub hackt, dan wordt het heel snel heel riskant voor de afhankelijke nodes. Immers, de nodes geven toegang als de hub zegt dat het goed is. En men heeft vrij eenvoudig toegang tot vrij veel serieuze NAS-sen en servers (veel mensen hebben de boel uitgelegd op live transcoding) die vaak vrij diep in een intern netwerk zitten.

Dus het kan wel eens zijn dat de aanval juist bedoeld is om toegang te krijgen tot een behoorlijke vloot aan hele serieuze servers. Het is immers een hele mooie ingang voor Ransomware (grote server met veel stored data), een DOS-farm (vaak dikke pijp naar buiten aanwezig) of een Cryptofarm (vaak een zeer stevige CPU/GPU voor transcoden aanwezig). Ik ga er voorlopig in ieder geval van uit dat niet Plex, maar mijn NAS (en met mij vele andere NASsen) het uiteindelijke doelwit is, dus ik trek mijn Plex server de komende weken even van het net af, en ga bij terugkomst voor de zekerheid (naast het wachtwoord) maar eens de toegangspoorten wijzigen, etc.

[Reactie gewijzigd door J_van_Ekris op 24 augustus 2022 14:51]

J_van_Ekris
@Kneth87 • 24 augustus 2022 14:40

Opvallend. Heb de docker met mijn server maar gewoon platgegooid en de inkomende poort maar gewoon even op de firewall dichtgezet. Vakantie is geweest, dus het intensieve Plex gebruik is voorlopig toch voorbij. Voorkomt dat men Plex leegtrekt of als aanvalsvector kan gebruiken naar mijn NAS of interne netwerk, en dan ga ik in het weekend wel eens kijken wat er nu allemaal echt aan de hand is.

[Reactie gewijzigd door J_van_Ekris op 24 augustus 2022 14:41]

AythamiEsp
24 augustus 2022 14:20

Als je Signup With Google gebruikt, moet het wachtwoord alsnog worden aangepast?
Ben je dan toch nog volledig veilig?

Maarten69
@AythamiEsp • 24 augustus 2022 15:31

Eerder al gesteld, blijkbaar wel want er wordt op de achtergrond een account aangemaakt.

AythamiEsp
@Maarten69 • 13 september 2022 16:46

Hoe verander je dat wachtwoord dan?

HansvDr
24 augustus 2022 17:05

ik was vergeten dat ik ene account had. maar wat een trage bende. De app, de site. Heb mijn wachtwoord aangepast maar voor de rest kom ik er niet meer ...

RobbyTown

Plex

@HansvDr • 24 augustus 2022 19:02

Nogal logisch als mensen massaal gaan aanpassen, database/site krijgt het druk. Beetje zelfde liedje jaarlijks aangifte doen doe je ook niet want ligt er elk jaar uit

Dirk de Vries
24 augustus 2022 18:39

Ik heb nooit een wachtwoord ingesteld, ik gebruik altijd mijn gelinkte google account on in te loggen, op mijn account settings pagina staat ook geen wachtwoord ingesteld, ik neem aan dat ik dan niets hoef te veranderen?

EasyBoarder
@Dirk de Vries • 25 augustus 2022 00:08

Dit geldt ook voor mij. Moet het wachtwoord van Google dan gereset worden? Zou iemand met meer kennis van zaken advies kunnen/willen geven?

[Reactie gewijzigd door EasyBoarder op 25 augustus 2022 00:10]

Webgnome
@EasyBoarder • 26 augustus 2022 07:55

In principe nee. Men heeft simpelweg een sso link tussen jou plex account google account ingeregeld. Maar het is nooit verkeerd om

2fa in te stellen voor je Google account
Eens in de zoveel tijd je Google account te updaten met een vers wachtwoord

glennoo
24 augustus 2022 11:43

Ik heb dezelfde mail binnengekregen, direct eventjes het wachtwoord aangepast Just in case. Netjes dat ze er zo vlot bij zijn. Menig partij zou het wel een weekje uitstellen.

dutchgio
24 augustus 2022 11:46

Wel bijzonder dat je zelf na inloggen je wachtwoord kunt wijzigen, doe dit dan geforceerd bij een eerste inlog...

1 2 3 4 5 Volgende

Op dit item kan niet meer gereageerd worden.

Door cyberaanval getroffen Plex vraagt gebruikers wachtwoord te veranderen

Lees meer

Reacties (122)

Sorteer op:

Weergave:

Tweakers maakt gebruik van cookies

Toestemming beheren

Functioneel en analytisch

Relevantere advertenties

Ingesloten content van derden