Userbase

Er lijkt sprake te zijn geweest van een frauduleus Te Koop aanbod in ons Te Koop forum.

Betreft deze topics:
viewtopic.php?t=68247
viewtopic.php?t=68246

@shiseido rook onraad en heeft ons verwittigd, waarna we beide verkopen onmiddellijk hebben gepauzeerd. Speurwerk van shiseido toont aan dat deze account ook op andere fora is compromised en ook daar na vele jaren afwezigheid spullen heeft te koop aangeboden. Dit is duidelijk geen werk door een bot, de betrokken waren zijn typisch voor ons forum. Contact werd ook achteraf via een Duits whatsapp nummer opgenomen.

Dit is een heel jammerlijke zaak. Het is de eerste keer in de vele jaren dat het Te Koop forum bestaat dat het mis gaat. Dit terwijl er honderden verkopen goed zijn gegaan.

Het is wel zo dat we nu en dan al eens een "spam post" kregen van accounts die vroeger actief waren en nu niet meer. Dat is dan waarschijnlijk het geval van een zelfde wachtwoord dat gebruikt werd op een andere website, die het slachtoffer werd van een. Zover wij kunnen zeggen, is userbase geenszins compromised door een data lek en is er normaal ingelogd op deze account maar wel met een buitenlands, Europees ip.

Graag vragen we suggesties om de regels van het Te Koop forum aan te scherpen en om de beveiliging van, vooral inactieve, accounts aan te scherpen. We gaan dit uiteraard ook zelf verder bestuderen maar suggesties zijn welkom.

In afwachting van de uitkomst van deze denkoefening, ga ik als voorlopige maatregel nieuwe topics in Te Koop beperken tot users met een verified Te Koop flair. Dit zijn dus mensen die in het verleden al succesvol een verkoop hebben afgerond.

2FA verplicht stellen om te kunnen verkopen?

Sterk werk... is er iemand benadeeld door zo'n verkoop ?

J.

Wat was het onraad? Dacht dat fendtje wel een gekende gebruiker was, en aangeboden waar ziet er toch op het eerste zicht legit uit?

Fendtje zijn laatste post was van 2022. Ip's zijn heel verschillend.

Als het een bestaande account is die gecompromitteerd geraakt is, dan heeft het beperken tot personen met een Te Koop Flair op zich niet zoveel zin?

Kan een account geblokkeerd worden of moderated gezet (zoals nieuwe leden) op het Te Koop forum na xx tijd inactief te zijn?

Daarom die 2FA...

Ik vond de verkoop ook verdacht omdat die voor de iPhone een veel te laag bedrag vroeg dan bijvoorbeeld swappie waar je die “met beperkte gebruikerssporen” kan verkopen aan een hogere prijs. De prijzen zijn al lager dan particulier verkoop, maar het is een business op zich.
Het principe is eigenlijk hetzelfde als men auto’s koopt van een dealer en de huidige auto aan de dealer verkoopt. Daar geven ze ook een ietsje lagere prijs, maar dit houdt je niet tegen om het particulier tegen een hogere prijs te verkopen.

2FA + net zoals bij Tweakers een verificatielink per mail, om het zoekertje te bevestigen?

Sinna schreef: 3 maanden geleden 2FA verplicht stellen om te kunnen verkopen?

Als je je eerst toegang verschaft tot het account en daarna 2FA inschakelt dan helpt dat ook niet denk ik (?).

Kan je in phpBB afdwingen dat je in het verkoopforum pas iets kan plaatsen als je de maand vooraf actief bent geweest (x-aantal berichten hebt geplaatst) ?

Waar ik ook zat aan te denken is een aanbeveling om max voor 150 euro per overschrijving te laten gebeuren, alles dat hoger dan dit bedrag is, moet betaald worden bij afhaling. Kwestie van impact van fraude beperkt te houden. Dat blijft een soort aanbeveling natuurlijk want je kan het niet controleren.

Lijkt me zeer goed idee en vooral aanmoedigen ophalen en betalen ter plaatse al enkele leuke ervaringen

vereisen dat een post in te koop enkel kan gemaakt worden indien de user x posts in y tijd heeft gemaakt op het forum ?

Goztow schreef: 3 maanden geleden Fendtje zijn laatste post was van 2022. Ip's zijn heel verschillend.

Hij had nog 1 post in 2025.
Zou die ook al compromised geweest zijn?

Dat zou kunnen, dat ip was van Singapore. Dat doet me denken aan een andere maatregel nl in het te koop forum systematisch het land van het geposte ip tonen.

2FA verplichten voor alle accounts lijkt me een eerste, goede stap.

Edit: ik had het zelf niet ingeschakeld staan, nu wel. Het aloude gebruikerspaneel van phpBB laat qua UX te wensen over. De flow om 2FA in te schakelen zit te diep verstopt en ook op die pagina waar je het inschakelt was het niet meteen duidelijk wat de verwachting was.

Edit 2: over de regio gekoppeld aan een IP-adres: als ik surf via VPN dan gaat mijn regio afhankelijk zijn van mijn VPN. Dat is iets om mee te nemen wanneer er nagedacht wordt in die richting.

Vpn ben ik me bewust van, het blijft een indicatie en geen harde blokkering. En ja ik vind de 2fa in phpbb ook niet de meest user friendly.

Locatie ip vind ik een hele goeie, zelfs afgedwongen. En iemand met vpn kan die wel eens 5 min afzetten om iets te koop te zetten

woutervh schreef: 3 maanden geleden En iemand met vpn kan die wel eens 5 min afzetten om iets te koop te zetten

En iemand met kwade bedoelingen kan wel eens 5 min zijn vpn opzetten naar Belgie

woutervh schreef: 3 maanden geleden Locatie ip vind ik een hele goeie, zelfs afgedwongen. En iemand met vpn kan die wel eens 5 min afzetten om iets te koop te zetten

Er is een hotel waar ik jaarlijks verblijf op vakantie waarvan het publieke ip-adres geblokkeerd is op dit forum. Ik kan niet anders dan elke keer via VPN verbinden om het forum te kunnen bezoeken. Dat betekent niet dat dit altijd en overal zo is of dat ik op vakantie iets te koop moet of wil zetten, maar dat er altijd use-cases zijn die het moeilijk maken om een VPN uit te schakelen

Maatregelen die genomen worden moeten er vooral zijn om de gebruikers te helpen. Hoe ver kan je gaan bij het implementeren van maatregelen wanneer er ongemakken voor gebruikers ontstaan? Het is ook niet omdat er maatregelen getroffen worden dat er geen oplichting meer zal zijn. Accounts op websites als 2dehands met een zekere leeftijd en positieve reviews worden gretig en voor veel geld verhandeld.

Je kan natuurlijk ook redeneren dat dit een forum is en geen tweedehandsmarkt of dat één geval in al die jaren niet meteen betekent dat alles moet aangepast worden. Er moet bij het implementeren van maatregelen goed nagedacht worden over de implicaties ervan voor alle gebruikers. De maatregelen moeten in verhouding staan tegenover de feiten.

Eén van de eerste alarmbellen is altijd "if it sounds to good to be true, it probably is" lijkt in ieder geval op te gaan voor de IPhone (te laag bedrag en, in hindsight rare vertaling refurbished > gerenoveerd).
Gemakkelijk achteraf natuurlijk.
Natuurlijk moet er vermeden worden om het te moeilijk te maken voor normale verkoop. xx posts/logins op yy tijd is ook niet foolproof als een account gehacked is, net als 2FA of VPN's (ik connecteer automatisch als ik niet op mijn thuisnetwerk zit).

IP zichtbaar maken in Te koop? Kan dat en mag het (GDPR)?

Een ip adres valt onder GDPR regels. Dit mag niet zomaar openbaar getoond worden.

Verplicht een handgeschreven briefje met de gebruikersnaam en datum op de foto van het product. Scammer kan dat ook doen, maar dat gaat hem teveel werk zijn voor de pricerange van de zaken wat wij hier verkopen.

Dat doen ze ook bij pokemon verkopen dus kan wel werken wat Ben zegt.

devilkin schreef: 3 maanden geleden Een ip adres valt onder GDPR regels. Dit mag niet zomaar openbaar getoond worden.

Ja. Maar de Regio mag wel getoond worden.

Verplichte 2FA om te kunnen verkopen. Misschien had je dit ook al kunnen verwachten. Te lage prijs, rare vertalingen + bij Fritzbox was maar 1 foto waarvan het alleen maar de verpakking was.

neils1108 schreef: 3 maanden geleden Verplichte 2FA

Eens een account gekraakt is het instellen van 2FA geen probleem meer.

Zijn reactie "Het is niet gerenoveerd" op de vraag i.v.m. refurbished sites is toch ook iets dat uit een vertaal-app komt? Duidelijke rode vlag.

Uiteraard, maar achteraf voorspellen is behoorlijk gemakkelijk.
Ik werk geregeld met mensen die een andere moedertaal hebben, dan kijk je niet meer op van zo'n zinnen.

on4bam schreef: 3 maanden geleden

neils1108 schreef: 3 maanden geleden Verplichte 2FA

Eens een account gekraakt is het instellen van 2FA geen probleem meer.

Klopt. Vandaar de vereiste om vooraf 2FA in te stellen en/of bij een wachtwoordwissel ook een extra factor te vragen.
Alle scenario's ondervangen wordt sowieso een moeilijke, maar als een mod moet tussenkomen (zoals nu als je niet meer ingelogd geraakt), is dat een serieuze extra drempel die opgeworpen wordt. Als die mod dan ziet dat de aanvraag vanuit Verwegistan komt, dan zouden er toch wat alarmbellen moeten rinkelen.

Welk percentage van de "regulars" hier hebben 2FA ingesteld? Ik alvast wel (samen met lang random paswoord uit de passwordmanager).

En idd, achteraf vallen er wel zaken op. (hindsight has 20/20 vision).

Als het logins zijn met gekraakte paswoorden heeft dan 2fa zin...Kan je dat email adres dan ni wijzigen dmv dat paswoord...
Ik herinner me het topic over oplichting/phising, daar waren een aantal users die vonden dat de banken niets moesten doen, je zou je dus kunnen afvragen waarom je dat hier wel zou moeten doen.
Beste is adviseren van een verkopen dmv afhaling, dan vallen er al veel door de mand.., geen voorschot, eerst komt eerst maalt, cash betalen of een code die je zelf maakt. Een verkoop online via een forum of facebook of 2dehands is altijd een risico..


Tom

Ook worden hier al wel ns devices verkocht voor een stuk onder de prijs die ze soms elders zouden kunnen halen; het gaat dan wel meestal om obscuurdere IT hardware, niet om devices die alle consumenten wel kunnen gebruiken.
Dus een lagere prijs hier is niet altijd een perfecte indicator; enkel als het in combinatie is met mainstream toestellen.

on4bam schreef: 3 maanden geleden Welk percentage van de "regulars" hier hebben 2FA ingesteld? Ik alvast wel (samen met lang random paswoord uit de passwordmanager).

Ik denk dat je hier wel nog veel mensen gaat tegenkomen die 2FA hebben ingesteld. Meestal omdat de meesten hier iets weten van technologie en (cyber)security. Maar het blijft grappig dat de 'fraudeurs' het hier eens wouden proberen. Niet de slimste zet.

Bij mijn weten kan je 2fa moeilijk combineren met tapatalk op mobiel...

Ik stel 2FA voor al moet ik sinds het activeren heel regelmatig terug inloggen op mijn mobiel (elders gooi ik koekjes weg bij afsluiten).

Voorlopig deze regel toegevoegd. Zal geëvalueerd worden, natuurlijk.

7. We raden zoveel mogelijk aan om verkopen in levende lijve te organiseren. Dit om fraude maximaal te voorkomen. Voor verkopen die worden bezorgd per post gelden de volgende regels, om fraude te vermijden:
7.a. Schrijf bedragen enkel over op Belgische rekeningnummers, niet op internationale rekeningnummers
7.b. Handel verkopen met een waarde van meer dan 200 euro af in levende lijve, en niet via een overschrijving

Een soort account verificatie doen via sms ?
Enkel Belgische nummers bv en verplicht 5 dagen wachten na de sms verificatie, het sluit niets uit maar het maakt het wel heel omslachtig.
Ook zoals tweakers - iedere advertentie bevestigen via e-mail voordat deze online komt.
E-mail adres wijzigen ook een wachttijd laten over gaan.

Perfect bestaat niet maar moeilijker en minder interessant kan je het maken.