Security researcher Scott Helme says his analysis supports FulcrumSec's claim that Manchester Airports Group (MAG) exposed privileged API keys in client-side JavaScript. Helme says he reached that conclusion after using information provided by the cyber extortion group to reconstruct how data belonging to roughly 8.8 million MAG customers was allegedly stolen last month. The crooks behind the attack described MAG's security failure as "tragi-comical." They claimed MAG exposed overprivileged API keys for Iterable, a marketing automation platform, in front-end JavaScript served by the websites of MAG's three airports: Manchester, Stansted, and East Midlands. Helme used the Internet Archive's Wayback Machine to retrieve older versions of the JavaScript and found that the three keys first appeared across the airport websites in June and July 2022. The same values remained exposed until August 2026, he said. "Read the timeline the other way round and it's worse," said Helme. "Anyone who looked at that page source on any day between June 2022 and August 2026 could have taken the key. FulcrumSec just happen to be the ones who told us. "There is no way to know, from the outside, who else did, and the honest answer is that MAG can't know either without going back through four years of Iterable API logs, if they even have four years of Iterable API logs." The API keys were not embedded directly in the HTML, Helme explained, but anyone who examined the JavaScript bundles loaded by the sites could find them. This would explain how the vulnerability could go unnoticed by the airport's IT teams for over four years. Helme says the browser-delivered code was using the keys to authorize server-side API operations – something Iterable's documentation explicitly warns against. The requests should instead have passed through MAG's own servers, where the credentials could be kept secret and access restricted. MAG's alleged exposure of the credentials was not the only issue at play. The keys were vastly overprivileged for their intended job, which was to attribute page clicks to marketing emails, Helme said. The keys had read/write access to core Iterable endpoints, giving anyone who obtained them the ability to access data such as customer profiles, parking and lounge bookings, and Fast Track purchases. Helme said the structure and contents of the stolen data indicated that it had been exported from Iterable. He said he also found that the keys could access endpoints capable of deleting customer records and lists or rewriting profiles. "There's no indication FulcrumSec did any of this, and I'm glad, but they could have just nuked everything from orbit and MAG would have been really screwed," said Helme. "For four whole years, the capability to delete Manchester Airports Group's database was a view-source away. "This wasn't only a confidentiality exposure. It was a colossal integrity and availability exposure too, and MAG just got lucky. How do they now trust any of the data that remains in the database?" When it disclosed the incident, MAG described the cyberattack as "sophisticated" and said it was "a hack, not a lapse." The company declined to comment on Helme's conclusions. MAG is continuing its investigation alongside the Information Commissioner's Office (ICO) and supporting the National Crime Agency with its inquiries. It is understood that MAG maintains it was the victim of a crime and disputes Helme's "no hacking required" characterization. FulcrumSec released the company's data on September 2, a week after MAG confirmed it had refused to pay. According to the ICO, the group's extortion demand was lower than those typically made by cybercriminals. ®

Thomas Hawk posted a photo:

Thomas Hawk posted a photo:

Er ligt een voornemen om Ongehoord Nederland uit het bestel te zetten. De omroep is niet ineens in standpunten van Hitler gaan geloven. Dat deden ze al. Het enige verschil is dat ze nu eens een keertje hun bron hebben vermeld.

OSLO (ANP) - De rouwstoet rond de uitvaart van de Noorse koning Harald is aangekomen bij de Domkerk in Oslo. Bij aankomst werden koning Haakon en de overige leden van de Noorse koninklijke familie welkom geheten door de bisschop van Oslo, Sunniva Gylver, en Olav Fykse Tveit, de leider van de Noorse kerk.

De familie ging daarna de kerk in om hun plek op te zoeken. Ook de rest van de rouwstoet, met daarin staatshoofden en talloze vertegenwoordigers van monarchieën, volgde daarna.

Vlak voor 13.00 uur werd de kist met daarin het lichaam van koning Harald de Domkerk binnengedragen. Dat gebeurde door een speciaal getraind regiment van de koninklijke garde.

De afscheidsdienst begint met een minuut stilte. Tijdens de plechtigheid is ook veel ruimte voor muziek, en wordt er gebeden. De Zweedse kroonprinses Victoria, peetdochter van Harald, leest een gebed voor.

NEW YORK (ANP) - Ben Shelton was fysiek gesloopt na zijn 'epische gevecht' met titelverdediger Carlos Alcaraz in de kwartfinale van de US Open, maar de Amerikaanse tennisser noemde het ook "zonder twijfel mijn leukste wedstrijd ooit". De 23-jarige Shelton stak na een viereneenhalf uur durende partij om half vier 's nachts zijn armen in de lucht als winnaar van een vijfsetter.

"Ik doe het voor de mensen op de tribunes. Of het nu om mijn coach gaat, of mijn team, mijn vrienden en familie of al die mensen uit New York die hier tot diep in de nacht zijn gebleven en tot het einde mij bleven aanmoedigen: zij hielden mij op de been", aldus Shelton, die niets dan lof had voor zijn Spaanse tegenstander. "Carlos is op zijn 23e al een van de grootste kampioenen in onze sport en liet ook nu weer ongelooflijke dingen zien. Het is eigenlijk altijd leuk om tegen hem te spelen, maar dit was veruit de leukste keer."

Shelton treft in de halve finale zijn landgenoot Frances Tiafoe. De laatste Amerikaanse winnaar van de US Open was Andy Roddick in 2003.

SEOUL (ANP/BLOOMBERG) - Een Zuid-Koreaanse rechtbank heeft de miljardair en oprichter van gamegigant Smilegate veroordeeld tot het betalen van een schikking van 2,55 biljoen won (omgerekend 1,6 miljard euro) aan zijn vrouw. Daarmee lijkt de grootste echtscheiding in de geschiedenis van het land aanstaande. Beide partijen kunnen nog in beroep gaan tegen het vonnis.

De rechtbank voor familiezaken in Seoel bepaalde woensdag dat Kwon een belang van 35 procent van zijn bedrijf aan zijn vrouw moet overdragen. Kwon is nu nog de volledige eigenaar van de studio achter populaire games zoals Crossfire en de onlineactiegame Lost Ark. Kwon richtte zijn bedrijf op in 2002, een jaar nadat hij in het huwelijk was getreden.

Als dit vonnis definitief wordt, overtreft het ruim het bedrag van 944 miljard won dat Chey Tae-won, voorzitter van SK Group, onlangs van een gerechtshof in Seoel moest betalen aan zijn ex-vrouw. Tegen die uitspraak is wel beroep aangetekend.

Claude Fable 5.1 solved a 370-year-old cipher in forty-four minutes.

This tracks with what I wrote about AIs doing mathematics: It’s good at things that involve lots of searching and testing.

The 69 Russian passengers and crew members were stuck for several days after a Norwegian court ordered the seizure of the Professor Molchanov at the request of the Ukrainian energy company Naftogaz.