Explosieve toename phishing aanvallen: ‘Verwijder de email of sms meteen’

De Belastingdienst meldt een zorgwekkende toename van phishing meldingen. Normaal krijgt de Belastingdienst zo’n veertig meldingen per week, maar vorige week steeg dit tot vijfhonderd meldingen en deze week ontvingen de dienst maar liefst duizend meldingen per dag.

Phishing is een methode waarbij kwaadwillenden met voornamelijk nepmailtjes hengelen naar persoonlijke data, zoals inlog- en bankgegevens.

In het geval van de Belastingdienst gaat het om sms’jes waarin wordt gezegd dat de ontvanger nog een schuld open heeft staan. Daarbij staat een link waar de ontvanger dan op moet klikken om deze schuld te betalen. Ook zijn er mails in omloop waarin een link naar een factuur wordt meegestuurd die ontvangers nog zouden moeten betalen.

De Belastingdienst waarschuwt om deze links niet te openen. “Wij vragen u nooit om betalingen te doen via e-mail of sms. Open de e-mail (en bijlage) of sms niet, maar verwijder deze meteen”, aldus de Belastingdienst.

De Fraudehelpdesk liet in oktober al weten dat dit jaar veel meer meldingen van phishing binnenkomen dan voorgaande jaren. Het ging in de periode van januari tot oktober om vijftienduizend meldingen.

Duizend meldingen op een dag is, in vergelijking met vijftienduizend meldingen verspreid over tien maanden, een explosieve stijging. Waarom juist deze week zoveel meldingen binnenkomen is bij de Belastingdienst onbekend.

Ransomware gijzelt computers meerdere Nederlandse bedrijven

Volgens de NOS blijkt uit een vertrouwelijk rapport van het Nationaal Cyber Security Centrum (NCSC) dat er meerdere Nederlandse bedrijven zijn getroffen door geavanceerde ransomware.

Een woordvoerder van het NCSC heeft aan NOS bevestigd dat er onderzoek is gedaan naar ransomware-aanvallen in het buitenland.

In het rapport staat niet om hoeveel bedrijven het gaat. Wel is bekend dat het internationaal meer dan 1800 bedrijven getroffen zijn door ransomware. Volgens het NCSC is een klein deel van deze bedrijven Nederlands.

Wanneer er ransomware op een computersysteem terecht komt worden bestanden versleuteld en moet de eigenaar geld betalen aan de hackers om weer toegang te krijgen.

Op het moment dat bedrijven de hackers achter de ransomware niet betalen kunnen ze alsnog grote verliezen lijden, omdat processen stil komen te liggen.

Het NCSC vermoedt dat de hackers achter de ransomware toegang hadden tot zero-day-kwetsbaarheden. Dit zijn beveiligingslekken in software die niet bekend zijn bij de ontwikkelaar van de software, waardoor kwaadwillende hackers ongestoord hun gang kunnen gaan tot het lek ontdekt wordt.

Wanneer een bedrijf wordt getroffen door ransomware worden er soms miljoenen euro’s betaald om weer toegang te krijgen tot de systemen.

Volgens het rapport komt dit ook voor in Nederland. In sommige gevallen kon het NCSC bedrijven waarschuwen voordat de ransomware werd geactiveerd.

Wie er achter de ransomware zit is niet bekend. Wel verwacht het NCSC dat dit soort aanvallen zullen blijven gebeuren, omdat het zeer winstgevend is.

Het is niet de eerste keer dat bekend wordt dat Nederlandse bedrijven doelwit zijn van ransomware. In 2017 werd de haven van Rotterdam getroffen door ransomware, waardoor de containerterminals stil kwamen te liggen.

Gebruikers Microsoft overtreden volgens Europese Toezichthouder Gegevensbescherming privacywet

Overheden die gebruik maken van diensten van Microsoft vertreden volgens de Europese Toezichthouder voor gegevensbescherming (EDPS) de privacywet. De privacywaakhond schrijft dat in een persbericht.

De EDPS schrijft dit bericht naar aanleiding van een lopend onderzoek naar de risico’s voor de privacy van Europese burgers als overheidsinstellingen diensten van Microsoft gebruiken.

De voorlopige conclusie van de toezichthouder is dat de contracten tussen Microsoft en overheidsinstellingen de gegevensbescherming van Europese burgers onvoldoende waarborgen.

De toezichthouder haalt hierbij een onderzoek aan uit juni 2019 van het Nederlandse ministerie van Justitie en Veiligheid. Hieruit bleek dat verschillende Microsoft-producten te veel data verzamelden van gebruikers.

Microsoft heeft daarop de nodige aanpassingen moeten aanbrengen in hun software. Het ging hierbij om Windows 10 en Microsoft Office.

De EDPS schrijft dat overheidsinstellingen in andere lidstaten hier ook scherp op moeten zijn en ze door het gebruik van de software van Microsoft mogelijk nog niet voldoen aan de privacywetgeving.

Om de privacy van Europese burgers beter te beschermen heeft de EDPS een forum opgericht waar lidstaten kunnen overleggen over het gebruik van software.

Er kan een spion in de laadkabel van je smartphone verstopt zitten

Je bent onderweg en moet een dringend telefoontje plegen of een mailbericht beantwoorden. Probleem. Je accu is bijna leeg en je hebt je laadstekker niet bij je. Wat doe je?

De meeste mensen vragen dan aan iemand in de buurt of ze even hun laadkabel mogen gebruiken. Vaak mag dat. De smartphone wordt soms afgegeven en kan dan achter een balie bij een bedrijf, restaurant of hotel, worden opgeladen terwijl jij iets anders doet.

Los van het risico dat je smartphone dan onbeheerd op een onbekende plek ligt komt er sinds kort een nieuw risico bij. Is de laadkabel van die vriendelijke wildvreemde persoon die je helpt wel veilig?

Een anonieme veiligheidsonderzoeker die actief is op Twitter onder de naam MG bracht enkele tientallen iPhone oplaadkabels naar een hackersconferentie in Las Vegas en verkocht ze voor 200 dollar per stuk. De kabels waren binnen enkele dagen uitverkocht, de hackers betaalden bereidwillig 190 dollar meer dan in de winkel. Omdat MG de originele Apple kabels dusdanig had aangepast dat niet te zien viel dat er mee geknoeid was.

Als je zo’n kabel op een Apple computer aansluit, kun je je je iPhone er gemakkelijk mee opladen. Maar tegelijkertijd opent de chip die MG in de USB-stekker heeft gesoldeerd een verborgen draadloos netwerk. De hacker kan dankzij die chip eenvoudig de scherminhoud van de Mac zien, muisbewegingen en toetsenbordgegevens lezen of spionagesoftware installeren.

De hacker noemt zijn kabels OMG-kabels. De afkorting voor “Oh, mijn God!”) en gaf in het vakblad “Vice Motherboard” aan dat hij de aanpassingen voor iedere een USB-kabel kan maken. Ook voor Android toestellen. De Apple kabels zijn het moeilijkst, alle andere zijn makkelijker aan te passen.

De kans is groot dat het voorbeeld van MG gekopieerd wordt of al is door kwaadwillige hackers. En door buitenlandse inlichtingendiensten.

Hackers kunnen dankzij privacywet heel eenvoudig jouw gegevens opvragen bij bedrijven

Hoe snel voldoet de organisatie waar jij voor werkt aan een verzoek van een klant om een overzicht van alle persoonsgegevens die van hem of haar zijn opgeslagen? Wordt ook gecontroleerd of degene die de gegevens opvraagt ook echt degene is waarvan de gegevens zijn?

Hackers kunnen volgens veiligheidsonderzoeker James Pavur van de Oxford University dankzij de Europese privacywet heel eenvoudig aan persoonsgegevens komen. Pavur ontdekte tijdens een test dat hij zonder problemen de gegevens van iemand anders kon opvragen.

Bedrijven zijn op basis van de AVG verplicht om op verzoek in detail aan te geven welke gegevens zij van een gebruiker hebben opgeslagen.

Er wordt echter niet precies aangegeven hoe de bedrijven moeten controleren of de gebruiker de gegevens zelf of iemand anders met kwade bedoelingen opvraagt. Pavur probeerde uit of hij de gegevens van zijn vriendin – met haar toestemming – van de bedrijven kon krijgen zonder dat hij een identiteitskaart hoefde te tonen.

Het resultaat is schrikbarend: Pavur stuurde 150 onderzoeken om informatie op basis van de AVG.

In 72 procent van alle gevallen kreeg hij het antwoord dat de bedrijven daadwerkelijk gegevens opslaan.

In 24 procent van de gevallen sturen de bedrijven eenvoudigweg alle opgeslagen bestanden met gegevens zoals geboortedata, adressen of betalingsgegevens.

Nog eens 16 procent vroeg alleen om gemakkelijk te onderzoeken informatie, zoals de geboortedatum of creditcardnummers, die Pavur al van de eerste 24 procent van de verstrekkers had gekregen.

De conclusie van Pavur: “Bedrijven staan vaak onder druk om de Algemene Verordening Gegevensbescherming na te leven en snel te reageren op vragen. De aanvragen om inzage in persoonsgegevens worden vaak afgehandeld door bedrijfsjuristen of hun helpers en niet door veiligheidsdeskundigen, die misschien meer achterdochtig zijn.”

Wie controleert of anderen mailberichten openen overtreedt mogelijk de privacywet

Wie via mailsoftware automatisch controleert of verstuurde mail door ontvangers wordt geopend overtreedt de Algemene Verordening Gegevensbescherming (AVG). Dat blijkt uit een uitspraak van de Autoriteit Persoonsgegevens (AP) naar aanleiding van een onderzoek bij de Dienst Uitvoering Onderwijs (DUO).

DUO heeft volgens de AP de Europese privacywet overtreden door met speciale software bij te houden of studenten e-mails hadden geopend.

Door in de gaten te houden of studenten e-mails hebben geopend, wist DUO zeker dat een bericht goed ontvangen en gelezen was. Het ging daarbij om mails over wijzigingen in persoonlijke situaties van scholieren.

De trackingsoftware zou gebruikt kunnen worden als bewijs in rechtszaken, als iemand beweerde nooit bericht te hebben gehad over een wijziging. Bij het openen van een mail werd een onzichtbare afbeelding geopend, waar DUO vervolgens over werd geïnformeerd.

Omdat de software herleidbare privégegevens vastlegt, is deze volgens de Autoriteit Persoonsgegevens in strijd met de Algemene Verordening Gegevensbescherming (AVG). DUO hield bijvoorbeeld het ip-adres van een mailontvanger bij, wat niet zomaar mag. Bovendien werden mailontvangers niet geïnformeerd over dat ze werden gevolgd.

Inmiddels is DUO gestopt met het gebruik van de trackingtechniek.

RDW doet aangifte bij politie wegens illegale handel in kentekengegevens

De Rijksdienst voor het Wegverkeer (RDW) met heeft aangifte gedaan bij de politie wegens illegale handel in privégegevens van Nederlandse automobilisten. Dat heeft de RDW gedaan na berichtgeving door RTL Nieuws.

De RDW verzorgt de uitgifte van alle kentekens voor auto’s, motoren, bromfietsen en boten in Nederland. De dienst heeft vestigingen in Groningen en Veendam.

Volgens RTL is het mogelijk om via internet aan de hand van een kenteken te laten uitzoeken wie de eigenaar van een voertuig is. Dat zou 50 tot 150 euro kosten. Het aanbieden van deze gegevens is echter in strijd met de Algemene Verordening Gegevensbescherming (AVG).

Het achterhalen van de eigenaar achter een kenteken kan op verschillende manieren worden misbruikt, melden experts aan RTL Nieuws. Zo kunnen dieven bijvoorbeeld de eigenaren van dure auto’s op de parking bij Schiphol achterhalen, zodat ze weten dat die mensen op vakantie zijn. Daarna kunnen ze inbreken bij hun huis. Ook kan de informatie gebruikt worden voor lastigvallen en intimidatie.

‘Meerdere keren per week’

De handvol accounts die nu actief zijn in het aanbieden van persoonsinformatie achter kentekens, zeggen tegen RTL Nieuws dat ze dat meerdere keren per week doen.

RDW weet nog niet hoe kwalijk de praktijk is: ‘We moeten eerst uitzoeken wat er precies gebeurt, of deze mensen de informatie rechtstreeks uit de RDW-registers halen.’

Ook andere organisaties hebben toegang

De RDW is niet de enige instelling die toegang heeft tot het kentekenregister. De politie, de Belastingdienst, het Centraal Justitieel Incassobureau en gemeenten kunnen de gegevens ook zien.

De RDW beheert 11,5 miljoen Nederlandse kentekens. Het registreert niet alleen de technische gegevens van het voertuig, maar ook de naam, adres en woonplaats van de eigenaar.

In het register staan alle voertuigen in Nederland die een kenteken moeten hebben. Dat zijn auto’s, bestelbussen, vrachtauto’s, bussen, bromfietsen, motoren, aanhangers, caravans, vrachtwagenopleggers en snorfietsen.

Politie waarschuwt op Facebook om FaceApp niet te installeren. De app is onveilig

Bent u van plan om FaceApp te installeren om te zien hoe u er als u oud bent uit ziet? Niet doen!, waarschuwt de politie. De app is niet veilig. De Russische app overtreedt de Algemene Verordening Gegevensbescherming (AVG).

Veel gratis apps verzamelen gegevens van gebruikers. Op die manier kunnen ze geld verdienen door adverteerders of andere bedrijven toegang geven tot deze data. In de Europese Unie zijn er strenge regels voor hoe hiermee omgegaan moet worden, die gebruikers ook de mogelijkheid bieden die gegevens op te vragen en te laten verwijderen.

De politie heeft op verschillende lokale Facebookaccounts een oproep geplaatst waarin wordt geadviseerd de ouderdomsapp FaceApp te verwijderen. De politie vindt de app niet veilig, omdat deze niet aan de Europese privacywetgeving hoeft te voldoen.

Met de gratis FaceApp kunnen gebruikers een foto van zichzelf uploaden en zien hoe ze eruit komen te zien als ze ouder worden.

De app bestaat al enige tijd, maar is sinds een paar weken erg populair geworden.

Duizenden Nederlanders creëerden een oudere versie van zichzelf met het filter in de app, maar dat is dus niet verstandig volgens de Politie Schagen.

FaceApp is van een Russische appmaker en dit bedrijf hoeft zich niet te houden aan de Europese privacywetgeving, schrijft de politie. De appmaker kan dus geen boete krijgen op basis van de Algemene verordening gegevensbescherming (AVG) als het onzorgvuldig omgaat met de gegevens.

De politie benadrukt dat de app niet alleen je foto opslaat, maar ook je ip-adres, smartphonegegevens en cookies plaatst. Daarom is het beter om de app te verwijderen, aldus de politie.

Het is niet voor het eerst dat FaceApp onder vuur ligt. Privacyvoorvechters bekritiseerden het beleid van de app afgelopen week en adviseerden hem niet te installeren.

Cybercriminelen leggen netwerk in 11 ziekenhuizen en 4 bejaardenhuizen in Duitsland plat

Hackers hebben met behulp van ransomware een computernetwerk platgelegd dat gebruikt wordt door elf ziekenhuizen en vier bejaardentehuizen in de Duitse deelstaten Rijnland-Palts en Saarland. In de getroffen ziekenhuizen moesten artsen uit nood met pen en papier werken om hun medische diagnose vast te leggen en recepten te kunnen schrijven.

De hackers troffen onder meer medische klinieken in Worms, Mainz, Alzey en Bad Kreuznach met de ransomware-aanval.

De aangevallen ziekenhuizen behoren tot het Duitse Rode Kruis (DRK).

De ransomware heeft servers en databases versleuteld. Volgens het magazine Spiegel Online, kon het medisch personeel niet langer toegang krijgen tot de gegevens omdat die versleuteld bleken door de ransomware.

Tijdens de aanval moesten het medisch personeel en de administratie met potlood, balpen en papier opnames van patiënten en laboratoriumbevindingen opschrijven.

De zorg voor de patiënten zou echter niet in gevaar zijn geweest, medische hulpmiddelen niet aangetast en er zijn tot nu toe geen aanwijzingen dat er vertrouwelijke informatie is gestolen.

De hack werd zondagochtend opgemerkt. Het encryptieproces kon pas op zondagmiddag worden gestopt. Het Staatscentrum voor Cybercrime bij het Openbaar Ministerie in Koblenz deed onderzoek.

De zwakke plek in het netwerk waardoor hackers met hun ransomware konden infiltreren is nu geïdentificeerd. Volgens de regionale publieke omroep SWR, worden de betrokken computers inmiddels geleidelijk weer op het netwerk aangesloten.

HagaZiekenhuis gaat in beroep tegen AVG-boete. AP spreekt van zorgelijke situatie

Het HagaZiekenhuis in Den Haag tekent protest aan tegen de hoge boete van 460.000 Euro die de Autoriteit Persoonsgegevens (AP) heeft opgelegd. Het ziekenhuis kreeg de boete omdat medewerkers onbevoegd in het medisch dossier van tv-ster Samantha de Jong (Barbie) hadden gekeken. Zij was er opgenomen na een zelfmoordpoging.

Volgens voorzitter Aleid Wolfsen van de Autoriteit Persoonsgegevens blijkt uit onderzoek naar de manier van werken in het Haagse ziekenhuis dat de beveiliging van medische gegevens nog steeds niet op orde is. ,,Wat we hebben aangetroffen is een zeer zorgelijke situatie”, zegt Wolfsen tegen EenVandaag. ,,De beveiliging is echt onder de maat. Er wordt niet goed gecontroleerd, mensen kunnen te gemakkelijk bij die medische dossiers.”

Directievoorzitter Carla van de Wiel van het ziekenhuis zegt het zuur te vinden dat het geld nu niet aan patiëntenzorg kan worden besteed. Zij zegt er in een schriftelijke verklaring alles aan te doen om de dwangsom te vermijden van nog eens vele duizenden euro’s waarmee de Autoriteit Persoonsgegevens (AP) dreigt als het ziekenhuis niet binnen korte tijd er voor zorgt dat persoonsgegevens van patiënten beveiligd worden zoals is vastgelegd in de privacywet.

Het ziekenhuis heeft maar liefst 85 ziekenhuismedewerkers bestraft voor het neuzen in het medische dossier van Barbie.

Het ziekenhuis zegt nu de interne beveiliging van patiëntendossiers verder aan te scherpen. Dat is hard nodig, want twee van de in totaal zes onderdelen worden als niet afdoende beoordeeld door de Autoriteit Persoonsgegevens.

Wat er onder meer ontbrak aan de eigen beveiligingsregels was dat er in veel gevallen al ingelogd kon worden met gebruik van enkel gebruikersnaam en wachtwoord.

Eigenlijk zou je pas toegang tot de dossiers moeten krijgen na invoering van gebruikersnaam, wachtwoord én controle van personeelspas en pincode.

Wie met gebruikersnaam en wachtwoord inlogde had bovendien vier uur toegang tot bepaalde gegevens. De bedoeling is dat er in die tijd vaker opnieuw ingelogd moet worden en ook dat de controle op het inloggen vaker moet plaatsvinden.

Het HagaZiekenhuis zegt de nu nog ontbrekende extra controle op het inloggen van medewerkers in dossiers voor oktober aangescherpt te hebben.

Die deadline is ook nodig om te voorkomen dat er bovenop de boete nog een dwangsom moet worden betaald die kan oplopen tot nog eens vele duizenden euro’s.

Autoriteit Persoonsgegevens deelt eerste forse boete uit wegens overtreding AVG

De Autoriteit Persoonsgegevens (AP) heeft het HagaZiekenhuis in Den Haag een boete van 460.000 euro opgelegd wegens schending vam de Algemene Verordening Gegevensbescherming (AVG). Het is de eerste boete die sinds de invoering van de wet op 25 mei 2018 in Nederland is opgelegd.

De boete kan nog met maximaal 300.000 euro verhoogd worden.

Het Haagse ziekenhuis kwam eerder dit jaar in opspraak toen bleek dat 85 medewerkers het patiëntendossier hadden ingezien van Samantha de Jong, bekend als realityster Barbie.

De Autoriteit Persoonsgegevens concludeert nu dat de beveiliging van de medische dossiers van het HagaZiekenhuis niet op orde is.

Het HagaZiekenhuis krijgt tot 2 oktober om de interne beveiliging te verbeteren. Lukt dat niet, dan moet het ziekenhuis elke twee weken nog eens 100.000 euro betalen, tot een maximum van 300.000 euro.

De boete die de Nederlandse AP nu heeft opgelegd is vergelijkbaar met de boete die de Portugese Autoriteit Persoonsgegevens vorig jaar op heeft gelegd aan het Centro Hospitalar Barreiro Montijo ziekenhuis in de buurt van Lissabon. Dit ziekenhuis kreeg een boete van 400.000 euro wegens onzorgvuldig omgaan met patiëntengegevens.

Het ziekenhuis heeft inmiddels stappen gezet om herhaling te voorkomen. Personeel wordt getraind om gedrag van collega’s, patiënten en bezoekers die de privacy in gevaar brengen te herkennen.

De AP bevestigt dat dit de eerste keer is dat een Nederlandse instantie een boete krijgt onder de AVG, die sinds mei vorig jaar in werking is.

De boete die in november werd uitgedeeld voor een zaak rond taxistartup Uber werd nog afgehandeld onder de oude Nederlandse privacyregels. “Dit is de eerste volledige AVG zaak”, bevestigt een woordvoerder.

Banken mogen betaalgedrag klanten niet gebruiken om gepersonaliseerde reclame te tonen

ING mag niet zomaar het betalingsverkeer van klanten analyseren om op basis van de gegevens gepersonaliseerde reclame te tonen. Dat heeft de Autoriteit Persoonsgegevens (AP), de Nederlandse privacywaakhond kenbaar gemaakt aan de Nederlandse Vereniging van Banken.

ING heeft onlangs bekendgemaakt gepersonaliseerde reclame te willen tonen aan klanten die online hun afschriften bekijken. Volgens de Autoriteit Persoonsgegevens werken andere banken inmiddels aan soortgelijke opties.

De banken overtreden volgens de AP de Algemene Verordening Gegevensbescherming (AVG) als zij hun plannen doorvoeren.

Onder de privacywetgeving mogen persoonsgegevens in eerste instantie alleen verwerkt worden voor het oorspronkelijke doel. In het geval van transacties gaat het om gegevens die nodig zijn om van een betaalrekening gebruik te kunnen maken.

Een uitzondering is mogelijk als klanten vooraf expliciet om toestemming wordt gevraagd. Bij ING is dat niet het geval: gebruikers moeten juist aangeven dat zij niet wensen dat hun gegevens voor reclame worden gebruikt.

AP-woordvoerder Gras zegt dat de privacyregels omtrent transactiegegevens op dit moment voor alle banken gelden. “Als partijen hun gedrag niet aanpassen, kan de AP optreden.”