Universele forensische audit- en laagontledingsuite om visueel toegepaste PDF-redacties van Taylor Wessing LLP en Valve Corporation bloot te leggen en te onthullen.
Anti-censuurspiegel en beveiligingshulpmiddel
📡 De Taylor Wessing Datalek Toolkit
Op deze pagina
🔍 Management Summary
De Universele PDF-Redactie-auditor en Laagontleed is een professionele, offline-first forensische audit- en laagdecompositie-suite die specifiek is ontwikkeld om visuele PDF-redactiekwetsbaarheden te identificeren, te verifiëren en te saneren. Deze toolkit fungeert als een open-source hulpmiddel voor beveiligingsonderzoekers, gegevensbeschermingsfunctionarissen en compliance-auditors om de structurele integriteit van documenten te verifiëren vóór openbare bekendmaking.
⚖️ Technische machtsasymmetrie
Dit auditinstrument is ontwikkeld om een cruciale machtsongelijkheid in de verwerking van bedrijfsdata aan te pakken. Wanneer grote conglomeraten (zoals Valve Corporation) worden vertegenwoordigd door toonaangevende advocatenkantoren (zoals Taylor Wessing LLP), een systematische datalek doet geen afbreuk aan de corporatie of hun dure advocaten — het ondermijnt wel catastrofale de privacy van hun tegenstanders (de de individuele gegevensdragers, derden en minderjarigen wier gevoelige persoonsgegevens zijn gelekt als gevolg van wettelijke en technische nalatigheid). Deze toolkit stelt individuen en onafhankelijke auditors in staat de gegevensbeveiliging te verifiëren en corporate actoren aansprakelijk te stellen.
📊 Casestudy: De GDPR-lek van Taylor Wessing / Valve
Bij de verwerking van verzoeken tot inzage van persoonsgegevens op grond van artikel 15 van de AVG met betrekking tot Steam-gebruikersdata is een kritieke beveiligingskwetsbaarheid geïdentificeerd in documenten die door externe advocaten zijn verwerkt en verzonden. Taylor Wessing LLP namens Valve Corporation.
Technische foutanalyse
In plaats van de ruwe tekenarrays binnen de PDF-inhoudsstromen permanent te ontsmetten, wordt een geautomatiseerde, aangepaste PDF-generatiestroom gebruikt (met gebruik van Aspose.PDF voor .NET) werd ingezet. Dit systeem voerde programmatisch queries uit naar de coördinaten van gevoelige velden en tekende vaste zwarte vectorvormen (met PDF's re en f/F/b/B operators) bovenop de tekst.
Omdat visuele tekenlaag niet de onderliggende ruwe tekstarrays wijzigen of vernietigen, bleven duizenden ongecensureerde privérecords – waaronder accountgegevens, inloggegevens, e-mails, beveiligingslogs en gedepseudonimiseerde gegevens van minderjarigen – volledig intact, kopieerbaar en extracteerbaar uit de verzonden bestanden.
📂 Bijlage A: Gekapte correspondentie met dr. Patrick Zurheide
Hieronder staat de exacte reactie die is ontvangen van Dr. Patrick Zurheide (Salaried Partner bij Taylor Wessing LLP) nadat PhishDestroy het kantoor formeel had geïnformeerd over het falen van de PDF-redactie en de daaropvolgende lek van de gegevens van Steam-gebruikers. In plaats van een melding van een datalek conform artikel 33 van de AVG te starten, koos hij ervoor dit te schrijven:
Goedendag PhishDestroy-team,
Hartelijk dank voor uw blijkbaar vertaalde, maar toch onderhoudende bericht. Op welke communicatie „met strafrechtelijke vervolging“ met het PhishDestroy-team doelt u? Ik ben ervan overtuigd dat ik nooit in enige vorm met PhishDestroy heb gecommuniceerd. Gelieve deze vermeende communicatie daarom te verstrekken, zodat duidelijk wordt waar het eigenlijk over gaat.
Deze brief is inhoudelijk helaas moeilijk of zelfs onmogelijk te volgen. Ter informatie: een disclaimer, zoals onderstaand in uw brief, waarin wordt gesteld dat bepaalde handelingen niet worden verricht of niet de bedoeling zijn, is betekenisloos als daadwerkelijke handelingen in strijd zijn met deze verklaring.
Patrick Zurheide
🔍 PhishDestroy-analyse:
- amusementele bericht Een hoog betaalde "IT-rechtsexpert" noemde een forensische melding over een massale GDPR-gegevenslek waarbij Steam-accounts van minderjarigen werden blootgelegd, "amuserend".
- onmogelijk te volgen Wij hebben hem de exacte hex-waarden, de metadata van zijn PDF, de tijdstempels van de 36-seconde batch-pipeline en de specifieke Aspose 20.8 versie die de lek veroorzaakte. Blijkbaar zijn IT-metrics te "moeilijk te volgen" voor een doctor in het IT-recht.
🛠️ Multifunctionele mogelijkheden
Deze suite biedt drie complementaire, volledig client-side modi om neppe visuele censureringen te analyseren en te ontmantelen:
- 📡 Modus 1: X-ray-scanner (PDF.js): Weergave van de visuele PDF-weergaven, maar haalt de onderliggende, niet-geschrubde tekens in realtime op. U ziet de zwarte doos, maar leest het geheim direct.
- ✂️ Modus 2: Laagverwijderaar (PDF-Lib): Chirurgische sanitatie op stroomniveau. Vervangt fysiek rechthoekige visuele paint-opdrachten (
re f,re F) met den(no-paint)-operator, het verwijderen van de zwarte balken. - 🔎 Modus 3: Collision Audit (Fitz-indeling): Markeert overlappende tekst en grafieken om automatisch gecompileerde lijsten van lekken te genereren.
💻 Gebruik van de CLI (decensor.py)
# 1. Decompose PDF to raw text layers (Strips all drawings, lines, and masks globally)
python decensor.py -i compromised.pdf -d -o naked_document.pdf
# 2. Extract and save all text hidden under black visual shapes to a leaks text report
python decensor.py -i compromised.pdf -e verified_leaks.txt
# 3. List page-by-page structural element counts
python decensor.py -i compromised.pdf -l🔍 Kern-Python-streamsanitizer
import re, fitz
def strip_black_bars_global(input_path, output_path):
doc = fitz.open(input_path)
for xref in range(1, doc.xref_length()):
if not doc.is_stream(xref):
continue
try:
obj_dict = doc.xref_object(xref)
if any(m in obj_dict for m in ["/Type /Font", "/Subtype /Image", "/Type /Halftone"]):
continue
stream_bytes = doc.xref_stream(xref)
text = stream_bytes.decode('latin-1')
# Swap rectangular painting operators with no-fill 're n', preserving newlines
modified_text, count = re.subn(
r'\bre\s+([fFbB]\*?)(?=\s|$)',
lambda m: f"re{m.group(0)[2:-len(m.group(1))]}n",
text
)
if count > 0:
doc.update_stream(xref, modified_text.encode('latin-1'))
except Exception:
continue
doc.save(output_path, garbage=4, deflate=True, clean=True)
doc.close()LICENTIE · RECHTEN · DISCLAIMER
PHISHDESTROY
LICENTIE · RECHTEN · DISCLAIMER
Onderzoek: Valve Corporation / Steam · publiek — geen vervaldatum, geen terugtrekking
MIT PUBLIC DOMAIN OFAC-RESTRICTED
HOOFDSTUK I — LICENTIE
PhishDestroy geeft elk recht op dit materiaal op. Nul. Weg. Klaar. Je kunt het reproduceren, verkopen, je erop zetten, het op je baas tatoeëren, wat je maar wilt. Geen credit vereist, geen DM nodig, geen bedankkaart verwacht.
ÉÉN ECHTE REGEL
Als je een gebruiker bent uit Rusland of een ander door OFAC gesanctioneerd land — dit materiaal is NIET voor jou. Geen gaten in de wet. Geniet van je sancties. En als je je Steam-regio naar Turkije hebt gezet terwijl je in Moskou zit — gefeliciteerd met je creatieve geografie. Je bent nog steeds Russisch. De sancties gelden nog steeds. Dat is letterlijk het punt.
HOOFDSTUK II — WAT DIT IS EN WAAROM HET BESTAAT
We zullen meer over Valve publiceren dan een gemiddelde Valve-medewerker over zichzelf weet. Steam heeft ons in feite gecreëerd. Het heeft ons opgevoed met zijn oplichters, zijn supporttickets, zijn ecosysteem voor het omzeilen van bans — en nu zijn we hier. Geen harde gevoelens. Poëtisch, eigenlijk. We hebben meer dan 4 jaar gewacht tot ze het spoofing-probleem oplosten voordat we er openlijk over konden schrijven. Is dit een conflict? Nee. Kan het worden opgelost? Ja. Maar we tekenen geen NDA en we doen geen bug bounty voor een habbekrats.
HOOFDSTUK III — OPEN BRIEF AAN VALVE
Hoi Valve. Als je overweegt onze domein te verwijderen — stuur ons dan gewoon een e-mail. Betaal Dr. Patrick niet opnieuw. Alstublieft. Het is verward voor iedereen die erbij betrokken is.
Zullen we Valve direct “schaden”? Waarschijnlijk niet op een manier die ze fiscaal zullen voelen. We zijn niet delirium. Maar we zullen het eerlijk doen, openlijk, zonder na roem te jagen. We hebben 5 jaar aan archieven. Toezichthouders krijgen de originele versies. Onderzoekers en journalisten krijgen geredacteerd versies. PhishDestroy is een gemeenschap, geen persoon.
DE DEAL (open aanbod, geen advocaten nodig)
Als je de domein wilt laten verdwijnen: laat je IT-juristen de prijs berekenen. 50% gaat naar de SEAL Foundation. We doden de domein. Geen drama. Geen rechtbank. Klaar. Je krijgt het op geen andere manier. Dat is geen dreiging. Dat is gewoon de architectuur van de situatie.
HOOFDSTUK IV — HET GELD, DE BANS, DE HELE CIRCUS
Het gaat hierom dat Steam gokwebsites en oplichters banneert: het is geen handhaving. Het is inkomstenverzameling. Valve stopt het geld in de zak, wast zijn handen, en gaat dan het podium op om iedereen een wholesome verhaal te vertellen. Ondertussen heeft Valve in 2017 de mogelijkheid om skins correct te tracken gedood. We gaan dat bewijzen: Skins zijn anoniemer dan Monero. Een Peruviaanse maffia heeft volgens geruchten Dota 2 skins gebruikt voor geldverkeer. Steam is functioneel een sanctie-omzeilmachine ter waarde van ~$7B aan “trading cards”.
HOOFDSTUK V — DE MALWARE-ZAK
Wij onthullen de kwetsbaarheid in het spel NIET openlijk. Wij rapporteren het NIET aan Steam. Niet omdat we het niet kunnen — maar omdat hun bug bounty ongeveer drie kopek waard is en we niet voor drie kopek werken. Onze veiligheidscollega's hebben het al aan Steam support gemeld. Dit is NIET de triviale CSGO-variant. Dit komt dichter in de buurt van: RCE bij serververbinding. Dat wil zeggen — je sluit je aan bij een server, je klikt niets aan. De verbinding zelf is het aanvalsoppervlak. De dreiging is actief.
VERKLARING BETREFFEND GEBRUIK EN RECHTEN
PhishDestroy Project & Cybersecurity Coalition
1. ER ZIJN GEEN VOORWAARDEN AAN GEBRUIK
Al het materiaal dat door de Coalitie in deze verwijzing is geproduceerd — de feitenverklaringen, de analyse, de bewijsstukken, de tooling en de bevindingen — wordt vrijgegeven ZONDER VOORBEHOUDE VAN ENIGE RECHTEN. Iedereen mag het reproduceren, aanpassen, bewerken, herschrijven, vertalen, citeren, opnemen in officiële documenten, presenteren als eigen werk, of doorgeven aan wie dan ook — zonder te vragen en zonder de Coalitie te informeren.
2. WAAROM DIT PRAKTISCH BELANGRIJK IS
Er is niet aan vast te klampen. De Coalitie vraagt niets, heeft niets te verdien, behoudt niets en heeft geen verwachting van welke aard dan ook. Een autoriteit die dit materiaal gebruikt, handelt niet namens de Coalitie. Het gebruikt openbare informatie die toevallig door iemand anders is samengesteld.
3. ALLES IS AL OPEN
De onderzoeken worden openlijk gepubliceerd op phishdestroy.io. De tooling wordt gepubliceerd als open source onder de MIT-licentie op gitlab.com/phishdestroy. De methodologie staat in de verwijzing. De Coalitie accepteert geen donaties en heeft die positie sinds 2018 gepubliceerd.
4. INTEGRITEIT VAN HET BEOUWDE BUND
Elke levering wordt vergezeld door een bestand SHA256SUMS met een SHA-256-vertegenwoordiging voor elk geleverd bestand, samen met een losse OpenPGP-handtekening SHA256SUMS.asc. De ondertekeningsleutel is gepubliceerd op phishdestroy.io/.well-known/pgp-key.txt en op keys.openpgp.org.
5. OVER TON
De autoriteit kan de gepubliceerde onderzoeken van de Coalitie tegenkomen en ze als scherp, adversariaal en soms satirisch vinden. Die indruk is correct. De Coalitie schrijft opzettelijk zo. De vrijwaring is het mechanisme waarmee de inhoud kan worden gescheiden van de toon: de autoriteit mag wat nuttig is nemen, het in eigen woorden herformuleren, en elk woord van de toon van de Coalitie verwerpen. Er gaat niets verloren door dit te doen.
6. WAT DE COALITIE BIEDT
Informatie, onderzoek en observatie. Er wordt niets gesteld als een bevinding waarvoor de Coalitie geen bevoegdheid heeft. De Coalitie zoekt geen remedie, geen betaling, geen erkenning en geen resultaat voor zichzelf. Het vraagt alleen dat de vragen die in de verwijzing zijn gesteld, aan Valve Corporation worden gesteld door een orgaan met de macht om een antwoord te eisen.
AFSLUITENDE OPMERKING — AAN WIE DIT VOORTZET
We willen bedanken wie dan ook dit materiaal naar de juiste plek brengt. Valve heeft diepe zakken en Taylor Wessing factureert per uur. We weten wat we doen. We weten over wie we schrijven. We hebben geen auteurschap nodig. We hebben geen attributie nodig. We hebben geen overwinning nodig. We hebben iemand nodig met echte autoriteit om Valve de vragen te stellen die al in deze verwijzing staan, met de macht om een antwoord te eisen. Dat is het. Dat is de hele vraag.
PhishDestroy — openbaar onderzoek — alle rechten overgedragen aan de mensheid · OFAC-regio-toegang: verboden