Selecteer een pagina

1,5 miljoen klanten Nederlandse Loterij moeten hun wachtwoord wijzigen

Ruim 1,5 miljoen klanten van de Nederlandse Loterij hebben via e-mail het verzoek gekregen om hun wachtwoord te wijzigen. Het gaat om klanten die online onder meer meespelen in de Staatsloterij, Lotto, Toto en EuroLoterij.

Recent hebben er volgens de Nederlandse Loterij verdachte inlogpogingen plaatsgevonden op bijna 12.000 accounts van spelers. Nederlandse Loterij heeft de accounts direct geblokkeerd en de desbetreffende klanten hierover geïnformeerd met het verzoek om een nieuw, uniek en sterk wachtwoord aan te maken.

De cyberaanvallen zijn door Nederlandse Loterij gemeld bij de Autoriteit Persoonsgegevens en de Kansspelautoriteit. Daarnaast doet Nederlandse Loterij aangifte bij de politie en vraagt haar spelers dat laatste ook te overwegen.

Sinds de coronamaatregelen van kracht zijn, zegt de Nederlandse Loterij een toename van verdachte inlogpogingen op accounts van klanten te zien.

Bij de inlogpogingen wordt gebruikt gemaakt van credential stuffing. Hierbij misbruiken internetcriminelen elders gestolen inloggegevens en proberen daarmee in te loggen.

Een uniek en sterk wachtwoord helpt om te voorkomen dat internetcriminelen slagen in hun pogingen. De Nederlandse Loterij verzoekt klanten daarom om hun wachtwoord te wijzigen.

Internetcriminelen hebben geen toegang gehad tot de persoonlijke Wallet en er is geen (prijzen)geld buitgemaakt. Wel hebben internetcriminelen persoonlijke gegevens kunnen inzien.

“We doen er alles aan om de persoonlijke gegevens van onze klanten zo goed mogelijk te beschermen”, meldt woordvoerder Sander van de Voore van de Nederlandse Loterij. “Klanten spelen hierin zelf ook een belangrijke rol. Bijvoorbeeld door het gebruik van unieke en sterke wachtwoorden voor online account.”

FBI en CISA melden dat Chinese hackers proberen onderzoeksgegevens COVID-19 vaccin te stelen

Chinese hackers proberen volgens de FBI en het Amerikaanse cybersecurityagentschap CISA “waardevolle intellectuele eigendoms- en volksgezondheidsgegevens” te identificeren en te stelen bij bedrijven en instellingen die werken aan geneesmiddelen en vaccins tegen Covid-19.

De berichtgeving van media over bedrijven die onderzoek doen naar geneesmiddelen en vaccins tegen Covid-19 zorgt ervoor dat deze bedrijven ook op de radar van Chinese cybercriminelen terechtkomen.

Volgens de FBI brengt de mogelijke diefstal van deze informatie de verstrekking van veilige, effectieve en efficiënte behandelingsmogelijkheden in gevaar.

De FBI doet daarom een beroep op onderzoeksbedrijven om hun digitale infrastructuur voor te bereiden op dergelijke aanvallen en om zwakke plekken in het systeem op te sporen en te elimineren.

Bovendien moet elke ongeoorloofde toegang, elk abnormaal gedrag rechtstreeks aan de autoriteiten worden gemeld.

Aanbevelingen FBI en CISA

  • Ga ervan uit dat persaandacht voor uw organisatie in verband met COVID-19-gerelateerd onderzoek zal leiden tot meer belangstelling en cyberactiviteit.
  • Patch alle systemen voor kritieke kwetsbaarheden, waarbij prioriteit wordt gegeven aan het tijdig patchen van bekende kwetsbaarheden van met het internet verbonden servers en software die internetgegevens verwerkt.
  • Scan webapplicaties actief op ongeautoriseerde toegang, wijziging of afwijkende activiteiten.
  • Verbeteren van de geloofsbrieven en vereisen multi-factor authenticatie.
  • Identificeren en opschorten van de toegang van gebruikers die ongewone activiteiten vertonen.

Online inbrekers stelen via Wehkamp 144.000 Euro van failliete winkelketen Didi

Internetcriminelen hebben via een inbraak in de mailserver van Wehkamp 144.000 euro omzet van de failliete winkelketen Didi buit gemaakt.

De online inbrekers hadden zich toegang verschaft tot het mailverkeer van beide webshops, meldt curator Marc Le Belle van Didi na berichtgeving van RTL Z.

Na het faillissement van modeketen Didi in januari 2020 bleef Wehkamp de kleding van Didi verkopen. De opbrengsten werden overgeboekt naar de rekening van de failliete boedel, die de curatoren Marc Le Belle en Tineke Wolfswinkel beheren.

Volgens een woordvoerder van Wehkamp hebben cybercriminelen in februari 2020 de communicatie tussen Wehkamp en de curatoren overgenomen.

De internetdieven maakten e-mailadressen aan die erg leken op de e-mailadressen van de twee partijen en wisten zo het mailverkeer over te nemen.

De oplichters gaven vervolgens aan Wehkamp een ander bankrekeningnummer voor de opbrengsten door. De webwinkel verifieerde dat rekeningnummer, maar gebruikte daarbij het frauduleuze e-mailadres van de criminelen.

Vervolgens maakte Wehkamp enkele dagen achtereen geld over op de ING-rekening van de hacker. Het ging om een totaalbedrag van 144.000 euro.

Toen werd ontdekt dat de bankrekening was gewijzigd hadden de daders het geld al doorgesluisd. Slechts een klein deel bleek nog op de inmiddels door de ING geblokkeerde rekening te staan.

Curator houdt Wehkamp verantwoordelijk

De curatoren van Didi willen het bedrag alsnog ontvangen, maar Wehkamp weigert opnieuw geld over te maken. De curatoren hebben daarop Wehkamp gedagvaard, bevestigt Le Belle.

Wehkamp laat in een reactie aan RTL Z weten dat er geen aanwijzingen zijn dat de webwinkel verantwoordelijk is voor de gevolgen van de oplichting.

“Het staat vast dat de fraudeur een e-mail die daadwerkelijk afkomstig was van de curator en het specifieke casusnummer in zijn bezit had en heeft gebruikt voor deze fraude. Wij hebben intern laten onderzoeken of er sprake was van een hack bij Wehkamp en dat bleek niet het geval.”

Wehkamp vindt de curatoren op zijn minst medeverantwoordelijk zijn

Wehkamp vindt de curatoren op zijn minst medeverantwoordelijk voor de schade, omdat ook zij niet doorhadden dat met hackers werd gecommuniceerd. Wehkamp heeft aangifte van de hack gedaan.

200 beroemde artiesten slachtoffer van hack bij advocatenkantoor Grubman Shire Meiselas & Sacks

Cybercriminelen hebben de privégegevens van U2, Drake, Barbra Streisand, Madonna, Lady Gaga, Elton John en Robert De Niro in handen. Ze hebben advocatenkantoor Grubman Shire Meiselas & Sacks gehackt en eisen nu losgeld, meldt BBC News.

“We hebben onze cliënten en het personeel inmiddels ingelicht”, zegt een woordvoerder van het Amerikaanse advocatenkantoor. Er zijn inmiddels experts ingeschakeld om de juristen bij te staan.

De hackers zouden ruim 750 gigabyte aan data hebben bemachtigd, waaronder contracten en privémails. Online deelden ze enkele screenshots van het contract voor Madonna’s recentste wereldtournee.

Het kantoor Grubman Shire Meiselas & Sacks vertegenwoordigt meer dan tweehonderd beroemdheden.

De website van Grubman Shire Meiselas & Sacks is momenteel niet bereikbaar.

Inbrekers stelen harde schijven met patiëntgegevens Universitair Medisch Centrum Utrecht

Uit het Universitair Medisch Centrum Utrecht (UMCU) zijn harde schijven met medische gegevens van zo’n zevenhonderd patiënten gestolen. Op de harde schijven staan niet alleen medische dossiers, maar ook burgerservicenummers en namen.

Het ziekenhuis heeft de patiënten en de Autoriteit Persoonsgegevens geïnformeerd en aangifte gedaan bij de politie.

De diefstal gebeurde op 18 april. Bij de polikliniek interne geneeskunde en de polikliniek allergologie werden in totaal tien computers opengebroken.

De harde schijven, processoren en geheugenbanken werden uit de computerkasten gehaald en meegenomen.

Twee computers waren noodcomputers, waar artsen gebruik van kunnen maken als de gebruikelijke computersystemen uitvallen.

Volgens het ziekenhuis konden de behandelingen van de patiënten gewoon doorgaan. De gegevens zijn afgeschermd met een gebruikersnaam en wachtwoord

Ontkennen helpt niet. Facebook en Google weten zelfs wie anoniem pornosites bezoekt

De kans dat u de sites Xhamster, Redtube, Pornhub en Youporn bezoekt is redelijk groot. En als dat het geval is zijn Facebook en Google op de hoogte. Zelfs als u anoniem denkt te surfen.

Volgens het online magazine “Vice” is een op de acht websites die worden bezocht een pornosite. Deze sites verdienen goud geld met de persoonlijke gegevens van hun ‘anonieme’ bezoekers.

Veel bezoekers proberen zichzelf te beschermen door de incognitomodus in de browser te gebruiken, maar dat heeft geen enkel beschermend effect. Volgens blogger Brett Thomas is het voor marketingbedrijven schrikbarend eenvoudig om de identiteit van pornokijkers en de video’s die ze bekijken te achterhalen.

Thomas denkt dat de porno-industrie aan de vooravond van het volgende grote schandaal op het gebied van gegevensbescherming zou kunnen zorgen.

Hoe pornosites hun gebruikers bespioneren

De meeste porno- en internetsites maken gebruik van zogenaamde “tracking tools” die een individuele, digitale voetafdruk van de gebruiker creëren. Bijvoorbeeld om te weten welke zoekopdrachten de gebruiker invoert of naar welke films hij of zij kijkt.

Deze trackingtools zijn bijvoorbeeld gekoppeld aan de “share”-buttons voor Facebook of Twitter en de talrijke reclamebanners op pornosites, die de gegevens doorgeven aan de adverteerders en, op de achtergrond, aan de social media-platforms en Google.

Maar hoe kunnen de gegevens aan een persoon worden toegewezen? Volgens het magazine Vice werkt dat als volgt: De browser op de computer heeft individuele instellingen, zoals geïnstalleerde plug-ins, lettertypes of taal, die worden geregistreerd door de tracking tools. Met deze individuele informatie en het aan elke internetgebruiker toegewezen IP-adres is een zeer nauwkeurige identificatie mogelijk.

“Als je porno op het net bekijkt, mag je verwachten dat je surfgedrag en de titels van de video’s die je consumeert vroeg of laat openbaar worden en ook met je naam geassocieerd kunnen worden”, vat Brett Thomas in zijn blog samen.

Hackers zijn ook geïnteresseerd

Pornosite Xnxx stuurt gegevens over het bezoekgedrag van zijn klanten naar Google, naar een analysebedrijf “Addthis” en naar een advertentienetwerk met de naam “Pornvertising” – zelfs wanneer u in privémodus surft.

Het surfgedrag van bezoekers van pornosites wordt dus her en der op het web geregistreerd. Als deze gegevens in verkeerde handen vallen kunnen grote problemen ontstaan voor de pornokijkers.

Volgens Thomas is de publicatie van pornovoorkeuren door amateur-hackers een steeds groter wordend gevaar, omdat de gegevens over verschillende platformen worden verspreid. Hackers zouden het kunnen verkopen of gebruikers ermee kunnen chanteren.

Sommige mensen denken nu dat de consequenties wel mee zullen vallen. Dat uitlekken van gegevens over het bezoek aan pornosites hooguit pijnlijk is. Beschamend. Dat is in het vrije Westen misschien zo, maar elders in de wereld kunnen er heel andere consequenties aan kleven. In sommige landen worden mensen met bepaalde seksuele voorkeuren onderdrukt en vervolgd.

Thuisbezorgd klanten slachtoffer van hacker die op hun kosten bestellingen plaatst

Een aantal Thuisbezorgd-klanten is slachtoffer geworden van fraude met bestellingen. Een hacker heeft toegang gekregen tot hun accounts en op hun kosten bestellingen geplaatst, meldt Tweakers.

Het is niet duidelijk hoeveel klanten precies getroffen zijn. Volgens een woordvoerder van het platform gaat het om een “zeer beperkt aantal gevallen”.

De woordvoerder benadrukt dat er geen sprake is van een datalek bij Thuisbezorgd zelf, maar dat cybercriminelen wachtwoorden hebben gebruikt die al eerder zijn buitgemaakt bij een hack op een andere website.

De bestellingen zijn met het PayPal-account van de klanten afgerekend. Anders dan bij iDEAL of bij creditcards wordt bij betalingen via PayPal niet altijd om een verificatiecode gevraagd.

Volgens Thuisbezorgd werden gebruikers die ooit toestemming hebben gegeven voor zogenoemde Recurring Payments (herhaaldelijke betalingen) niet om een dubbele bevestiging gevraagd. Ook al hadden de gebruikers wel tweestapsverificatie ingeschakeld voor hun PayPal-account.

Overigens is dit voor alle geautoriseerde sites bij PayPal zo en is dit niet iets wat specifiek alleen op Thuisbezorgd.nl van toepassing is.

Thuisbezorgd heeft de functie inmiddels voor alle gebruikers uitgeschakeld. “Dit leidt helaas wel tot een vermindering van het gebruiksgemak. We zullen de optie weer activeren zodra we deze vorm van fraude kunnen tegengaan.”

Ook vertelt de woordvoerder dat Thuisbezorgd de opgelopen schade zal vergoeden, al raadt hij gedupeerden wel aan om eerst bij PayPal aan te kloppen. Thuisbezorgd roept ze daarnaast op om aangifte te doen.

Thuisbezorgd werkt aan tweestapsverificatie

Thuisbezorgd werkt aan een extra beveiligingsslag om dit soort incidenten te voorkomen. Het bedrijf wil zo snel mogelijk tweestapsverificatie invoeren.

Russische cybercriminelen hebben e-mailboxen Angela Merkel gekopieerd

Russische hackers hebben in 2015 twee e-mailboxen van de Duitse bondskanselier Angela Merkel weten te kopiëren, meldt het Duitse blad Der Spiegel. Daarmee is mogelijk het volledige e-mailverkeer van 2012 tot 2015 in handen van de aanvallers gevallen.

Het Duitse magazine meldt dat de digitale aanval is gereconstrueerd door het Bundeskriminalamt (BKA, de Duitse federale politie) en het Federaal Bureau voor Informatiebeveiliging (BSI).

Uit het onderzoek zou blijken dat de aanvaller in mei 2015 toegang had tot de IT-systemen van de Bondsdag. Volgens Der Spiegel is in totaal voor 16 GB aan data buitgemaakt, waaronder mogelijk de e-mails van Merkel.

Dinsdag werd bekend dat de Duitse justitie een arrestatiebevel heeft uitgevaardigd voor een Rus die verdacht wordt van de hack. Dmitriy Badin zou een agent zijn van de Russische inlichtingendienst GRU. In 2018 werd hij in de Verenigde Staten aangeklaagd voor betrokkenheid bij hacks rond de presidentsverkiezingen van 2016.

Een woordvoerder van de Duitse overheid kon niet direct reageren op de publicatie van Der Spiegel. Hetzelfde geldt voor Moskou, dat beschuldigingen van hacks in het buitenland heeft ontkend.

Misbruik lekken in NL-Alert-app is volgens minister niet uit te sluiten

Het is technisch gezien niet uit te sluiten of iemand datalekken in de NL-Alert-app heeft misbruikt. Dat meldt minister Ferd Grapperhaus van Justitie en Veiligheid in een Kamerbrief.

Met behulp van een unieke gebruikerscode die te vinden was in de NL-Alert-app, kon de actuele locatie van een appgebruiker achterhaald worden. Die informatie zou gebruikt kunnen worden om iemand te volgen.

Volgens de privacywet moeten gegevens goed beveiligd zijn, onder meer door te voorkomen dat Jan en alleman er toegang tot heeft. Het bijhouden van een logboek is niet verplicht, maar volgens de Autoriteit Persoonsgegevens (AP) in de meeste gevallen wel noodzakelijk.

“Door de logbestanden regelmatig te controleren of automatisch te analyseren, kunt u bijvoorbeeld inbreuken op de beveiliging ontdekken. Ook kunt u datalekken signaleren. Of juist uitsluiten dat er een datalek is geweest”, aldus de toezichthouder.

Grapperhaus erkent dat de beveiliging van de NL-Alert-app “boven elke twijfel verheven” moet zijn. Hoewel misbruik niet technisch uit te sluiten is, wijst de minister er in de brief wel op dat iemand toegang moest hebben tot de smartphone van het beoogde slachtoffer. Ook was de kwetsbaarheid niet publiek bekend, wat de kans op misbruik verkleint.

Zowel de eerste als de tweede kwetsbaarheid is in de meest recente versie van de NL-Alert-app verholpen. De update maakt de app echter onbruikbaar.

Minister Grapperhaus adviseert gebruikers om de app te verwijderen. De reguliere NL-Alert wordt via een technische variant op sms verstuurd en is niet afhankelijk van een app.

Datalek bij Tadaah. Identiteitsbewijzen en VOG-verklaringen honderden zorgmedewerkers op straat

Door een datalek bij bemiddelingsplatform Tadaah zijn identiteitsbewijzen van honderden medewerkers uit de zorg en kinderopvang vrij toegankelijk geweest. Dat blijkt uit onderzoek van RTL Nieuws.

Tadaah is een organisatie die zelfstandigen in de zorg en kinderopvang in verbinding brengt met opdrachtgevers

Het gaat om de identiteitsbewijzen van achthonderd mensen, die een kopie van de voor- en achterkant van hun ID, paspoort of rijbewijs naar Tadaah hebben gestuurd.

Naast identiteitsbewijzen waren VOG’s (Verklaring Omtrent Gedrag), verzekeringen en diploma’s voor iedereen in te zien.

In totaal gaat het volgens RTL-nieuws om duizenden gelekte gevoelige documenten. Deze documenten stonden op een onbeveiligde en publiekelijk toegankelijke server en waren daardoor voor iedereen te vinden.

RTL Nieuws heeft het datalek gemeld bij Tadaah, het lek is inmiddels gedicht. “Het is een menselijke fout”, zegt Eike Dehling, één van de oprichters van Tadaah tegen het tv-programma. “Dit mag gewoon niet gebeuren.”

Tadaah heeft het lek gemeld bij de Autoriteit Persoonsgegevens.

Veel op WordPress gebaseerde populaire online leerplatformen zijn zo lek als een mandje

Check Point® Software Technologies Ltd. waarschuwt leraren, leerlingen en studenten wereldwijd voor beveiligingslekken in online leeromgevingen die gebruik maken van de populaire WordPress plug-ins LearnPress, LearnDash en LifterLMS.

De plugins worden gebruikt door vele gerenommeerde universiteiten en worden ingezet op meer dan 100.000 leerplatforms.

In verband met de Corona crisis ontwikkelen momenteel veel organisaties eigen online leeromgevingen waarbij uit kostenbesparingen vaak gebruik gemaakt wordt van het gratis cms WordPress en gratis plug-ins als LearnPress, LearnDash en LifterLMS.

Zowel gebruikers als cybercriminelen kunnen de kwetsbaarheden uitbuiten om persoonlijke informatie te stelen, geld te incasseren en de toegangsrechten van een lerarenaccount te misbruiken.

Dit laatste zou het mogelijk maken om de eigen cijfers en die van anderen te veranderen, certificaten te vervalsen en antwoorden op vragenlijsten op te vragen. Deze kwetsbaarheid is zelfs al enige tijd bekend en is geregistreerd als CVE-2020-11511.

Pluigins voor elke WordPress-website

De kwetsbaarheden zijn gevonden in de WordPress plug-ins LearnPress, LearnDash en LifterLMS. Elk van deze plugins kan van elke WordPress-website een volledig functioneel en eenvoudig te gebruiken Learning Management System (LMS) maken.

LearnPress

Plugin die cursussen met quizzen en lessen maakt terwijl de studenten zich door het curriculum bewegen. Het wordt alleen al in de VS in meer dan 21.000 scholen gebruikt en heeft meer dan 80.000 installaties.

LearnDash

Plugin die tools biedt voor het distribueren van content, het verkopen van cursussen, het belonen van leerlingen en het activeren van triggers op basis van acties. Meer dan 33.000 websites gebruiken LearnDash, waaronder veel van de Fortune 500-bedrijven, evenals de Universiteit van Florida, de Universiteit van Michigan en de Universiteit van Washington.

LifterLMS

Plugin die voorbeeldcursussen, voorbeeldvragen, certificaten en een volledig geconfigureerde website biedt. Meer dan 17.000 websites maken gebruik van deze plugin, waaronder WordPress-agentschappen en -opvoeders, evenals verschillende scholen en onderwijsinstellingen.

“Studenten en leerlingen die zich inschrijven op e-learning sites weten misschien niet hoe gevaarlijk dit kan zijn”, zegt Christine Schönig, Regional Director Security Engineering CER van Check Point Software Technologies.

“Onze veiligheidsonderzoekers hebben aangetoond dat hackers het hele platform gemakkelijk kunnen overnemen. Hoge onderwijsinstellingen en veel online academies vertrouwen op de door ons onderzochte systemen om hun online cursussen en trainingen uit te voeren. We dringen er bij de relevante onderwijsinstellingen op aan om overal de nieuwe versies van de platforms en plug-ins te installeren om de veiligheidsgaten te dichten. We raden alle gebruikers ook aan om voorzichtig te zijn bij het gebruik van de programma’s.”

Officiële NL-Alert-app blijkt eind april ook locatiegegevens gelekt te hebben

De officiële NL-Alert-app blijkt eind april locatiegegevens van gebruikers gelekt te hebben. Donderdag kwam al aan het licht dat de app per abuis privégegevens doorstuurde naar de verwerker van de pushnotificaties. Het ministerie van Veiligheid en Justitie schreef aan de Tweede Kamer dat het advies is om de app te deïnstalleren.

De app verwerkt de locatiegegevens om gebruikers waarschuwingsmeldingen te versturen die zijn gebaseerd op de plek waar ze zijn. Die locatie-informatie werd echter niet afgeschermd verstuurd. Daardoor zou bijvoorbeeld een boze ex of jaloerse partner tot op de minuut kunnen achterhalen waar iemand uithangt.

Het ministerie benadrukt dat er geen aanwijzingen zijn dat iemand het lek daadwerkelijk heeft misbruikt.

De NL Alert-app staat los van de dienst NL-Alert, en biedt aanvullende functionaliteit. Sinds de app begin maart werd gelanceerd, is hij 58.000 keer geïnstalleerd.

Het nieuwe beveiligingsprobleem staat daar los van, en werd niet genoemd in een brief aan de Tweede Kamer. “Dit nieuwe lek had natuurlijk ook in de Kamerbrief moeten staan”, zegt D66-Kamerlid Kees Verhoeven. “Dit niet melden suggereert toch dat je niet wil dat het bij het grote publiek bekend wordt.”

Achterhalen

Voor het achterhalen van iemands locatie moest eerst een uniek nummer worden achterhaald. Wie dat unieke nummer kende, kon vervolgens ongemerkt iemands huidige locatie achterhalen, op ongeveer tien meter nauwkeurig.

Corona-app

Het nieuws over de NL-Alert-app komt voor de overheid op een ongelukkig moment: er wordt gewerkt aan een app die moet helpen om corona-besmettingen op te sporen. “Dit raakt aan die discussie”, zegt Kamerlid Verhoeven van coalitiepartij D66. Ook bij de corona-app gaat het immers om in potentie privacygevoelige gegevens die worden verwerkt.

Twee weken geleden kwam aan het licht dat zeven apps die in de running waren als ‘corona-app’ slecht in elkaar zaten. De apps waren nog in de ontwikkelfase, maar waren niet goed beveiligd en slecht geprogrammeerd.