Datalek bij Quora. Gegevens van 100 miljoen gebruikers liggen op straat

Quora, een populaire site waar gebruikers vragen kunnen stellen en antwoorden kunnen geven, heeft een groot datalek gemeld. Cybercriminelen hebben gegevens van 100 miljoen Quora gebruikers buitgemaakt.

Quora meldt dat het datalek op 30 november 2018 is ontdekt. Quora heeft alle gebruikers uitgelogd en dwingt alle accounts om het wachtwoord te resetten.

Welke gegevens zijn er gelekt bij Quora?

  • Accountinformatie, zoals naam, e-mailadres, versleuteld (hashed) wachtwoord, gegevens geïmporteerd uit gekoppelde netwerken wanneer de gebruikers daarvoor toestemming hebben gegeven.
  • Publieke inhoud en acties, zoals vragen, antwoorden, commentaar, opmerkingen, upvotes
  • Niet-openbare inhoud en acties, zoals antwoordverzoeken, downvotes, directe berichten.
  • Vragen en antwoorden die anoniem zijn geschreven worden niet beïnvloed door deze schending, omdat Quora de identiteit van mensen die anonieme inhoud plaatsen niet opslaat.

De overgrote meerderheid van de geraadpleegde inhoud was al openbaar op Quora, maar het lekken van account- en andere privacygevoelige informatie is ernstig.

Gemeente Oldambt overtreedt Algemene Verordening Gegevensbescherming. Persoonsgegevens vergunningaanvrager gepubliceerd

De Oost-Groninger gemeente Oldambt heeft geblunderd bij de publicatie van de aanvraag van een vergunning. Daarbij werden privacygevoelige gegevens als e-mailadres, mobiel nummer en zelfs het burgerservicenummer (BSN) op de site van de gemeente gepubliceerd, meldt RTV Noord. De gemeente heeft de Algemene Verordening Gegevensbescherming (AVG) overtreden.
De gegevens zijn intussen van de site verwijderd.

De aanvrager van de vergunning is volgens RTV Noord ‘oprecht heel erg boos’ op de gemeente Oldambt. “Dit biedt zoveel mogelijkheden tot fraude, het gaat mij echt een stap te ver”, laat hij weten.
Met name de publicatie van de BSN-gegevens kan grote gevolgen hebben. Het Burger Service Nummer van de vergunningaanvrager kan nu door kwaadwillenden misbruikt worden voor identiteitsfraude bij officiele instanties.

Menselijke fout

Wethouder Laura Broekhuizen van de gemeente Oldambt heeft met de aanvrager gebeld en namens de gemeente haar excuses aangeboden.

Volgens de gemeente Oldambt is zijn de persoonsgegevens online gekomen door een menselijke fout. “Ons aanvraagsysteem werkt met twee versies van een document. Het ene bevat alle gegevens, het andere alleen de gegevens die wij publiceren. Een medewerker heeft per ongeluk het verkeerde document geplaatst.”

De gemeente Oldambt onderzoekt hoe voorkomen kan worden dat medewerkers nogmaals dezelfde fout maken. “Wij willen ook met buurgemeenten in gesprek om te vragen wat zij wel en niet doen. Aan de ene kant wil je transparant zijn, aan de andere kant wil je de gegevens beschermen”, aldus de gemeente.

Oldambt gaat ook uitzoeken of de fout als een datalek moet worden gezien. Zo ja, dan moet de gemeente dat doorgeven aan de Autoriteit Persoonsgegevens.

Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie.

Volgens de AVG zijn organisaties verplicht om binnen 72 uur nadat een ernstig datalek is ontdekt hiervan melding te doen bij de AP. Ernstig duidt niet op de omvang van het datalek, maar op de impact die het lek kan hebben voor de betroffenen. In Oldambt betreft het slechts één slachtoffer, maar gelet op de risico’s van identiteitsfraude met het gelekte BSN-nummer is het lek wel ernstig.

Datalek bij RTL. 32.000 accounts gehackt

De commerciele omroep RTL heeft bij de Autoriteit Persoonsgegevens (AP) melding gedaan van een omvangrijk datalek. Hackers hebben ingebroken bij 32.000 accounts van RTL-diensten als Videoland, Buienradar en RTL Nieuws.

De mailadressen en wachtwoorden die de cybercriminelen gebruikten zijn buitgemaakt bij hacks in het verleden, onder andere bij LinkedIn, Dropbox en eBay.

RTL heeft alle getroffen accounts geblokkeerd totdat gebruikers hun wachtwoord aanpassen. Er zijn volgens de omroep geen betalingsgegevens gestolen.

Alhoewel de inloggegevens eerder elders zijn buitgemaakt gaat RTL echter zelf niet vrijuit. RTL had onvoldoende beschermingsmaatregelen getroffen waardoor de hackers geautomatiseerd in bulk combinaties van wachtwoorden en mailadressen konden invoeren bij Videoland, Buienradar en RTL Nieuws.

Zo kregen de cybercriminelen toegang tot de volledige naam, het e-mailadres, woonadres en de woonplaats.

In het kader van de Algemene Verordening Gegevensbescherming (AVG) moeten organisaties technische en organisatorische maatregelen treffen om diensten en sites te beveiligen tegen cybercrime. Als er geprobeerd wordt om in bulk in te loggen op een site is dat verdacht en moet zo’n site automatisch die inlogpogingen blokkeren. Dat is blijkbaar bij RTL niet gebeurd.

Veel mensen gebruiken voor verschillende diensten dezelfde inloggegevens. Als een zo’n dienst gekraakt wordt hebben cybercriminelen meteen toegang tot meerdere diensten en sites. Bij security awareness trainingen wordt iedereen daarom geadviseerd om zo snel mogelijk nieuwe alle wachtwoorden te wijzigen. Gebruik voor alle diensten en sites een seperaat wachtwoord.

Wachtwoord aanpassen
Op de website Have I Been Pwnd kun je controleren of wachtwoorden van je online accounts zijn uitgelekt. Is dat het geval? Dan is het belangrijk om dat wachtwoord overal aan te passen. Het is verstandig om voor verschillende online diensten andere wachtwoorden gebruiken.

Eerste AVG-boete in Duitsland. Sociaal netwerk Knuddels moet 20.000 Euro betalen

De Autoriteit Persoonsgegevens (AP) van de Duitse deelstaat Baden-Württemberg heeft de eerste AVG-boete opgelegd. Het sociale netwerk Knuddels.de – het grootste online chatplatform van Duitsland – moet een boete van 20.000 euro betalen. En komt daarmee volgens de AP wegens goed gedrag goed weg.

Het bedrijf had 808.000 emailadressen en 1.872.000 pseudoniemen en wachtwoordenvan gebruikers ongecodeerd opgeslagen. De fout werd in juli 2018 ontdekt nadat Knuddels.de een datalekprocedure in gang had gezet wegens een hackaanval.

Knuddels.de bestaat sinds 1999. Het chatplatform heeft meer dan twee miljoen geregistreerde leden.

Het bedrijf uit Karlsruhe heeft volgens de AP de verplichting om de veiligheid van persoonlijke gegevens te garanderen geschonden.

De boete had volgens de Duitse AP vele malen hoger uit kunnen vallen. De toezichthouder zegt er echter rekening mee gehouden dat het bedrijf na een hackaanval meteen open kaart heeft gespeeld bij de Autoriteit Persoonsgegevens en alle gebruikers.

Lof van de Autoriteit Persoonsgegevens

De AP zegt dat Knuddels op een voorbeeldige manier heeft samengewerkt met de toezichthouder en de veiligheid van de ICT meteen beduidend heeft verbeterd. “Wie van schade leert en transparant bijdraagt aan de verbetering van de gegevensbescherming, kan als bedrijf ook sterker uit een aanval van een hacker tevoorschijn komen”, aldus de AP.

Datalek Microsoft blijkt volgens Duits onderzoek groot probleem voor overheid, bedrijfsleven en consumenten

De Duitse overheid blijkt net als de Nederlandse overheid te hebben ontdekt dat Microsoft niet voldoet aan de Algemene Verordening Gegevensbescherming (AVG).
Uit het Duitse onderzoek blijkt dat de problemen niet alleen bij de Microsoft software voor de overheid, maar ook bij de versies voor de zakelijke markt en consumenten spelen.

Het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) onderzoekt systeemintegriteit, logging en beveiligingsfuncties van Windows 10. Net als in Nederland zijn er ook in Duitsland problemen geconstateerd met telemetriefuncties in de software. Microsoft stuurt zonder toestemming voortdurend gebruikersgegevens naar Amerika.

De analyses van de BSI omvatten componenten zoals de Trusted Platform Module (TPM), VBS/DeviceGuard, Windows PowerShell, de Application Compatibility Infrastructure, driver management en PatchGuard.

Volgens de BSI heeft de in Windows 10 ingebouwde telemetriecomponent uitgebreide mogelijkheden om toegang te krijgen tot systeem- en gebruiksinformatie en deze naar Microsoft te sturen.

Hoewel gebruikers verschillende telemetrie niveaus kunnen instellen, is het niet mogelijk om de verzonden informatie duidelijk toe te wijzen aan deze niveaus. Windows laadt de configuratiegegevens meerdere malen per uur en wijst de bestaande telemetriebronnen dynamisch toe tijdens het gebruik.

Zelfs de configuratie van het laagst mogelijke telemetrie-niveau verhindert volgens het BSI-onderzoek de gegevensoverdracht niet volledig. Dit geldt zowel voor het niveau 0 (beveiliging) dat beschikbaar is in de Windows-edities van de onderneming als voor het minimumniveau 1 (eenvoudig) dat mogelijk is in de consumentenversies.

Een volledige preventie van het verzamelen en verzenden van telemetriegegevens door Windows is technisch mogelijk, maar voor de eenvoudige gebruiker moeilijk te implementeren, schrijft de BSI.

In het document “Analyse van de telemetriecomponent in Windows 10” (PDF/Eng.) vergelijkt BSI verschillende benaderingen met betrekking tot effectiviteit, uitvoerbaarheid en verwachte bijwerkingen.

De in detail beschreven systeeminterventies omvatten het afsluiten van bepaalde diensten, het deactiveren van zogenaamde ETW-sessies (Event Tracing voor Windows) of het onderdrukken van de communicatie met Microsoft-servers via firewallregels of DNS-manipulaties.

Ernstig datalek bij de overheid. Microsoft verzamelt via Office ‘heimelijk’ gegevens 300.000 ambtenaren

Microsoft verzamelt volgens het ministerie van Justitie en Veiligheid via Microsoft Office ‘heimelijk gedragsgegevens van gevoelige aard van 300.000 rijkswerkplekken bij ministeries, politie, rechtspraak en toezichthouders’. Grote vraag is nu of dat ook gebeurt bij het bedrijfsleven.

Het datalek is ontdekt tijdens een Data Protection Impact Assessment (DPIA) die het Strategisch Leveranciersmanagement Microsoft (SLM) van de overheid op Microsoft Office en Windows 10 heeft laten uitvoeren door PrivacyCompany.

De DPIA maakt duidelijk dat de overheid en Microsoft een groot probleem hebben. Ze voldoen niet aan de Algemene Verordening Gegevensbescherming (AVG).

De conclusies die de onderzoekers trekken zijn ernstig:

  • We weten niet precies welke gegevens Microsoft verzamelt en bewaart over het gedrag van gebruikers
  • Het gaat om 23 tot 25 duizend soorten gebeurtenissen (events). Engineers kunnen dynamisch nieuwe events toevoegen
  • Er werken 20 tot 30 teams met engineers met deze gegevens, die met eigen kopieën van de datasets kunnen werken

Microsoft verzamelt op grote schaal gegevens

Microsoft blijkt volgens PrivacyCompany bij Windows 10, Microsoft Office en Office 365 aparte scripts te hebben ingebouwd die allerlei handelingen vastleggen die door gebruikers worden verricht.

Maar naar alle waarschijnlijkheid gebeurt hetzelfde bij andere organisaties die Microsoft gebruiken. Want het is niet waarschijnlijk dat Microsoft voor de overheid andere versies van zijn software heeft als bij het bedrijfsleven.

Microsoft verzamelt via de scripts systematisch en op grote schaal gegevens over het individuele gebruik van Word, Excel, PowerPoint en Outlook. Dat gebeurt zonder mensen daarover te informeren en zonder invloed te geven op de instellingen.

Microsoft verstuurt deze telemetriegegevens af en toe in een batch naar haar eigen servers in de Verenigde Staten. Deze telemetrie is versleuteld.

Microsoft biedt (nog) geen mogelijkheid om te kijken naar de inhoud van de diagnostische gegevensstroom.

Het enige dat bekend is, is dat om 23 tot 25 duizend soorten gebeurtenissen gaat (events). En dat er 20 tot 30 teams met engineers werken met deze gegevens.

Net als bij Windows, bepaalt Microsoft ook bij Office zelf de doelen van de gegevensverwerking, en de bewaartermijn van de gegevens (30 dagen tot 18 maanden, of zoveel langer als Microsoft nodig acht).

In het onderzoek wordt geconcludeerd dat er geen instelling bij Office is om te voorkomen dat de software telemetriedata doorstuurt.

Bij Windows 10 Enterprise is die er wel.

PrivacyCompany zegt niet te weten wat Office precies voor gedragsgegevens doorstuurt, maar na een brede analyse durft het bureau te zeggen dat het om de grootschalige verwerking van persoonsgegevens van gevoelige aard gaat.

Microsoft heeft het ministerie van Justitie en Veiligheid belooft om Windows 10 Enterprise en Microsoft Office aan te passen.

De wijzigingen moeten ertoe leiden dat overheidsdiensten de software in overeenstemming met de AVG kunnen gebruiken.

De wijzigingen moeten In april 2019 zijn doorgevoerd.

“In de tussentijd zullen onderdelen van het Rijk aanvullende maatregelen moeten nemen om de datastromen naar Microsoft zoveel mogelijk te stremmen”, staat in een mededeling over de onderhandelingen tussen het Rijk en Microsoft met betrekking tot het voldoen aan de AVG.

Als de verbeteringen onvoldoende zijn, is een gang naar de Autoriteit Persoonsgegevens ‘een mogelijkheid’ voor handhaving, volgens het ministerie.

Die conclusie is ook opmerkelijk. De overheid en Microsoft hadden op 25 mei 2018 al moeten voldoen aan de AVG. Er is nu een datalek geconstateerd. Dan is een gang naar de Autoriteit Persoonsgegevens geen mogelijkheid, maar volgens de Algemene Verordening Gegevensbescherming een verplichting.

Overheidsdiensten krijgen het advies om een eigen assessment uit te voeren en maatregelen te nemen. Het pakket ‘zero exhaust settings’ lost echter niet alle risico’s op, ook blijken niet alle voorgestelde maatregelen haalbaar voor ICT-organisaties van ministeries en andere diensten van overheden.

De afnemers van Office kunnen volgens Privacy Company sowieso niet alle risico’s oplossen. Voor de contracten en de doorgifte naar de VS moet een Europese oplossing worden gezocht. SLM Rijk en Microsoft zullen de komende maanden nauw blijven overleggen.

Privacy Company zegt intussen vervolgonderzoek te doen naar de inhoud van de telemetrie data.

 

 

21.000 klanten van VakantieVeilingen.nl geconfronteerd met een oud datalek uit 2014

21.000 mensen die tussen 2014 en 2015 een vakantie hebben gewonnen bij VakantieVeilingen.nl zijn deze week door een klant per mail geinformeerd over een datalek. Deze klant kreeg de adresgegevens in handen door een fout destijds van de helpdesk van de veilingsite.

De helpdesk stuurde per ongeluk een mail met een link naar de klant. Via deze link kon de klant toegang krijgen tot de klantgegevens van alle klanten. De klant heeft het bestand met alle contactgegevens vervolgens gedownload en daarna VakantieVeilingen.nl ingelicht over het lek.

Het bestand bevat de volledige namen, woonadressen, e-mailadressen en arrangementen van klanten die destijds hebben gewonnen. 

Jeroen

De klant noemt zichzelf Jeroen. In de mail die hij afgelopen week, ruim drie jaar na de ontdekking van het datalek, aan alle getroffen klanten stuurde zegt hij nu tot zijn opmerkelijke actie besloten te hebben omdat Vakantieveilingen nooit heeft gereageerd nadat hij het datalek had gemeld.

De late actie van de boze klant is een interessante kwestie voor de Autoriteit Persoonsgegevens (AP). Valt dit datalek nog onder de oude Wet bescherming persoonsgegevens (Wbp)? Heeft VakantieVeilingen het lek destijds gemeld? Of is er sprake van een nieuw datalek omdat de mail nu pas is verstuurd en sinds 25 mei 2018 de Algemene Verordening Gegevensbescherming (AVG) geldt? Heeft VakantieVeilingen.nl (opnieuw) een datalekmelding gedaan?

Zo ziet de e-mail eruit

Mijn naam is Jeroen en ik heb, net als u, een veiling gewonnen bij VakantieVeilingen.

In 2015 heb ik contact gehad met de helpdesk van VakantieVeilingen. De helpdesk stuurde mij per mail een bevestiging waarin een link zat. Toen ik op de link klikte kreeg ik ongevraagd toegang tot de persoonlijke gegevens van ongeveer 21000 klanten van VakantieVeilingen.

Uiteraard heb ik per direct VakantieVeilingen hiervan op de hoogte gesteld. De link werd voorzien van een wachtwoord, echter heeft VakantieVeilingen tot nu toe nimmer de moeite genomen om haar excuses aangeboden of navraag gedaan over de door VakantieVeilingen verstrekte gegevens.

Wellicht neemt VakantieVeilingen naar aanleiding van deze mail wél de moeite om alsnog contact met mij op te nemen.

Datalek bij Albert Heijn door programmeerfout in inloggedeelte website

Albert Heijn heeft een datalek gemeld bij de Autoriteit Persoonsgegevens (AP). De supermarktketen heeft inloggegevens van ongeveer tienduizend klanten op ah.nl Per ongeluk gedeeld met enkele online service providers.

Het datalek werd veroorzaakt door een programmeerfout in het inloggedeelte van de website ah.nl. Hierdoor werden de inlognamen en het wachtwoord kort zichtbaar in de adresbalk van de webbrowser.

Albert Heijn heeft de wachtwoorden van de betrokken klanten uit voorzorg geblokkeerd.

De klanten zijn per email op de hoogte gebracht van het datalek. Ze worden verzocht het wachtwoord opnieuw in te stellen.

De partijen die de gegevens mogelijk hebben gezien werken samen met AH aan het verbeteren van de websites.

Verder heeft Albert Heijn de betrokken service providers opdracht gegeven de informatie te verwijderen.

Er is geen ongebruikelijke activiteit waargenomen met betrekking tot de inloggegevens of gebruikersaccounts.

Facebook CEO Marc Zuckerberg zou in Amerika 20 jaar celstraf moeten krijgen vanwege datalekken

Facebook-CEO Marc Zuckerberg draait als het aan de Amerikaanse Democratische senator Ron Wyden ligt 20 jaar de gevangenis in wegens de vele datalekken waarvoor zijn bedrijf verantwoordelijk is.

Wyden komt met een voorstel om hoge gevangenisstraffen voor het management vast te leggen in de Consumer Data Protection Act.

Wyden komt met zijn wetsvoorstel in reactie op vragen uit de Amerikaanse samenleving. In het hele land worden groepsacties georganiseerd door mensen die vinden dat het onbegrijpelijk is dat bedrijven als Über, Google en Facebook op boetes na nauwelijks aangepakt worden.

Wyden loopt al jarenlang voorop bij de aanpak van cybersecurity en privacykwesties in de Verenigde Staten. Hij presenteerde zijn wetsvoorstel donderdag 8 november 2018. Er moeten volgens hem veel zwaardere sancties komen.

Consumer Data Protection Act alleen van toepassing voor grote bedrijven

De Consumer Data Protection Actzou alleen van toepassing zijn voor bedrijven die meer dan $50 miljoen omzet maken en persoonlijke informatie over meer dan 1 miljoen mensen hebben.

In het wetsontwerp wordt aanbevolen om de mogelijkheden van de Federal Trade Commission om schendingen van de privacy af te dwingen, te versterken.

Jaarlijks rapport over gegevensbescherming

De Consumer Data Protection Act eist ookdat bedrijven een jaarlijks rapport over gegevensbescherming moeten indienen. Vergelijkbaar met hoe bedrijven zoals Google en Apple vrijwillig transparantieverslagen over overheidseisen vrijgeven.

Het rapport zou moeten worden ondertekend door CEO’s, die tot 20 jaar gevangenisstraf zouden kunnen krijgen als ze tegen de FTC liegen.

Nationale Do-Not-Track site

Het wetsontwerp van Wyden introduceert ook een nationale “Do No Track” website, die een centrale pagina zou creëren voor Amerikanen om zich uit te schrijven voor het delen van gegevens via het internet.

Op dit moment, als u zich wilt afmelden voor het bijhouden van gegevens, moet iedereen dit zelf doen op elke individuele website waarvoor je je hebt aangemeld.

Apple voorstander van de nieuwe wet

Tim Cook, CEO van Apple, is voorstander van strenge privacywetgeving. Hij pleit voor een federale wet op de privacy van gegevens, met als argument dat privacy een “fundamenteel mensenrecht” is.

Google, Facebook en Amazon hebben andere ideeen over privacybescherming

Google, Facebook en Amazon hebben ook gezegd dat ze een federale wet op de privacy van gegevens ondersteunen, hoewel er een groot verschil is in wat technologiebedrijven willen en wat voorstanders van privacy willen.

Amerikaanse handelsorganisaties, zoals de Internet Association, hebben de technologiebedrijven gevraagd om vooruit te lopen op federale wetten van de Amerikaanse staat.

37 procent van alle ransomware hacks is gericht op de zorgsector

37 procent van de ransomware-aanvallen is gericht op de zorgsector, meldt de cybersecurity verzekeringsmaatschappij Beazley Breach Response (BBR). De hoogste losgeldeis bedroeg maar liefst 2,8 miljoen dollar.

De extreem hoge losgeld eisen zijn volgens BBR gelukkig nog zeldzaam. De gemiddelde eis van cybercriminelen ligt momenteel rond de 10.000 dollar. Dit is beduidend hoger dan het gemiddelde van 1000 dollar dat in oktober 2016 werd gerapporteerd in de Breach Insights.

Volgens BBR is het aantal ransomware meldingen in september bijna verdubbeld ten opzichte van augustus.

In de eerste drie kwartalen van 2018 was 71% van de ransomware-incidenten die door BBR Services werden afgehandeld, bestemd voor het midden- en kleinbedrijf.

Er is volgens BBR momenteel ook een enorme groei van ransomaanvallen in de financiele en administratieve sector zichtbaar.

Een aantal ransomware-aanvallen in het derde kwartaal werden in verband gebracht met de campagnes van Ryuk en BitPaymer.

Er wordt veel BitPaymer ransomware gedetecteerd op netwerken die ook geïnfecteerd waren met banktrojans. Deze computer virussen worden gebruikt om gegevens te stelen van online platforms van banken.

BitPaymer ransomware besmette Schotse ziekenhuizen, verlamde de infrastructuur van een kleine stad in Alaska en sloot computers bij de Professional Golfers’ Association of America.

Ryuk, een variant van Hermes ransomware die werkt via speer phishing, besmette gezondheidszorgorganisaties in Canada en een watervoorziening in North Carolina.

Zo’n 71 procent van de ransomware-aanvallen was gericht op kleine en middelgrote bedrijven, wat aantoont hoe belangrijk het is voor alle bedrijven, ongeacht hun omvang, om meerdere, bijgewerkte back-ups bij te houden en serieus te investeren in IT.

De speer phishing aanvallen maken duidelijk hoe belangrijk het is om medewerkers te trainen in cybersecurity in een kantooromgeving.

Datalek in de onderwereld. Politie kraakt criminele chatdienst IronChat

Een datalek kan fataal zijn voor iedere organisatie. Dat weten criminelen nu ook. De politie is er in geslaagd om de versleutelde criminele chatdienst IronChat te kraken.

De politie heeft toegang weten te krijgen tot de server waarmee de communicatie plaatsvond en kon de berichten ontsleutelen.

De recherche kon 265.000 berichten van criminelen lezen. De politie kon het chatverkeer live volgen.

De criminelen maakten gebruik van zogeheten cryptofoons die duizenden euro’s kosten. Ze dachten versleuteld te kunnen communiceren met de applicatie IronChat.

De server waarover de versleutelde communicatie plaatsvond, is ontdekt nadat de politie in Oost-Nederland, in een onderzoek naar witwassen, een leverancier van de cryptofoons op het spoor kwam.

Met de cryptofoons, die duizenden euro’s kosten, kunnen alleen chatberichten worden verstuurd. Door het gebruik van een eigen computerserver die de communicatie versleutelde, werd het dataverkeer onzichtbaar voor de autoriteiten.

 

De eigenaar van het bedrijf, een 46-jarige man uit Lingewaard, en zijn compagnon, een 52-jarige man uit Boxtel, zijn aangehouden. Zij worden verdacht van witwassen en deelname aan een criminele organisatie.

Hun woningen en het bedrijf zijn doorzocht. Er zijn op diverse plekken in het land doorzoekingen gedaan. 

Unieke inkijk

“Deze operatie heeft ons een unieke inkijk in de criminele wereld gegeven waarin vrijuit werd gecommuniceerd over strafbare feiten”, zegt Aart Garssen, Hoofd van de Dienst Regionale Recherche in Oost-Nederland.

“Uiteraard heeft dit ook tot een aantal resultaten geleid. Zo hebben we een drugslab opgerold in Enschede. Ook hebben we in verschillende acties meer dan € 90.000 aan contant geld aangetroffen, automatische wapens en grote hoeveelheden harddrugs (o.a. MDMA en cocaïne). Daarnaast kregen we een op handen zijnde vergeldingsactie in het criminele circuit van Twente mee. Vanmorgen zijn daarvoor vier aanhoudingen verricht. Hiermee komt het totaal aantal aanhoudingen vandaag op 14”, aldus Garssen.

Toen criminelen naar aanleiding van arrestaties argwaan kregen en vermoedens van een lek onder de criminelen kregen, ontstond volgens de politie de kans op vergeldingen. „Dit hebben we in de kiem gesmoord. We hebben fors geweld kunnen voorkomen.”

Noord-Koreaanse cyberterroristen richten zich met malware bewust op kleinere bedrijven

Het is een rampscenario voor ieder bedrijf. Cybercriminelen leggen met malware – een virus waarmee afpersers losgeld afdwingen – het hele computernetwerk plat. De hele productie valt stil. Niemand kan nog inloggen. Geen omzet meer. Wat nu? Betalen?

In dit artikel leggen we aan de hand van een actueel praktijkvoorbeeld uit dat het niet verstandig is te betalen.

Grotere bedrijven hebben meestal nog wel financiele middelen en gekwalificeerde mensen om de ransomware te verwijderen en het probleem zelf op te lossen. Vaak hebben zij een goed backupsysteem. Zij kunnen omzetverlies nog opvangen. Zij kunnen het zich veroorloven om aangifte te doen bij justitie.

Ransomaanval kan katostrofaal zijn voor kleinere bedrijven

Maar dat ligt anders bij veel kleine en middelgrote bedrijven. Daar kan een ransomaanval katastrofaal uitpakken. Het voortbestaan van het bedrijf staat op het spel.

Juist veel van deze kleinere bedrijven denken dat het risico dat zij worden aangevallen door cybercriminelen wel meevalt. Je leest immers ook vrijwel alleen over grote datalekken bij grote organisaties.

Verplichtingen Algemene Verordening Gegevensbescherming niet op orde

Het zijn dezelfde bedrijven die nog nauwelijks aandacht hebben besteed aan de verplichtingen die de Algemene Verordening Gegevensbescherming (AVG) hen oplegt. Ze denken dat de Autoriteit Persoonsgegevens (AP) wegens personeelsgebrek zich voorlopig alleen op grote bedrijven richt.

Noord-Koreaanse cybercriminelen opereren als hyena’s

Kortom: juist deze bedrijven zijn kwetsbaar. Ooit een natuurfilm gezien waarbij een horde hyena’s jacht maakt op een zwakke gnoe in een kudde? Die beesten jagen bewust op een kwetsbare prooi. Kost minder energie. De kans op succes is groot.

Dezelfde strategie passen Noord-Koreaanse cybercriminelen momenteel toe. De arme communistische staat zit krap bij kas en heeft cybercrime omarmd als lucratief en eenvoudig verdienmodel. De Noord-Koreaanse staatshackers richten zich met hun malware opvallend vaak bij voorkeur op kleine en middelgrote bedrijven.

‘Relatief’ lage losgeld eisen

En er is nog iets wat opvalt. De Noord-Koreanen eisen opvallend vaak relatief weinig losgeld dat betaald moet worden in Bitcoin. Bedrijven zijn dan geneigd om sneller te betalen om van de ellende af te zijn. Om wanhopig het bedrijf te redden.

De Duitse geheime dienst (Verfassungsschutz) en de Duitse landelijke recherche (Landes Kriminal Ambt – LKA) doen sinds woensdag 31 oktober 2018 onderzoek naar een Noord-Koreaanse aanval op een middelgroot bouwbedrijf in Kaiserslautern.

Woensdag ontdekten ICT-medewerkers van het bouwbedrijf IGR AG een lek in het beveiligingssysteem. Er verscheen een blauwe chantagebrief op de computerschermen.

De Noord-Koreaanse hackers hadden de volledige controle over de computers van IGR AG (ongeveer 100 werknemers) overgenomen.

Betrokken bij bouw militaire vliegvelden

In het bedrijf, dat onder andere betrokken is bij de planning en de bouw van de NATO vliegvelden Ramstein, Bitburg en Hahn, functioneerde niets meer.

20 Bitcoin losgeld

De cybercriminelen boden aan om voor ‘slechts’ 20 Bitcoin losgeld de blokkade van het computersysteem op te heffen. Omgerekend in Euro gaat het dan tegen de huidige Bitcoinkoers om ongeveer 111.250 Euro.

IGR AG was echter niet van plan om zich digitaal te laten chanteren. Het bedrijf besloot aangifte te doen.

Duitse geheime dienst

“De gegevens van het bedrijf werden geblokkeerd door een Trojaans computervirus”, vertelt openbaar aanklager Udo Gehring uit Kaiserslautern. De ICT-specialisten van IGR en onderzoekers van de Duitse geheime dienst gaan er van uit dat er Noord-Koreaanse hackers achter de aanval zitten.

De pakkans van de Noord-Koreaanse daders is vrijwel nihil. Het heeft mede om die reden voor ondernemers nauwelijks zin om aangifte te doen. En uit angst voor hoge boetes die de Autoriteit Persoonsgegevens (AP) vanwege de Algemene Verordening Gegevensbescherming (AVG) kan opleggen als blijkt dat een bedrijf niet voldoet aan de wet, besluiten veel bedrijven daarom maar het losgeld te betalen.

Ideaal scenario Noord-Korea

Dat weten de Noord-Koreanen maar al te goed. Een ideaal scenario voor de arme Noord-Koreaanse staat. Een rampscenario voor bedrijven.

IGR deed het enige juiste. Het bedrijf deed aangifte en besloot niet te betalen. De ICT afdeling heeft de grootste problemen die de ransomware heeft aangericht inmiddels opgelost. Er kan weer gewerkt worden.

Krijgt ICG nu nog een boete van de Duitse Autoriteit Persoonsgegevens?

De vraag is nu wat de Duitse Autoriteit Persoonsgegevens gaat doen. Moet IGC een boete betalen? Als het bedrijf volgens de regels van de Algemene Verordening Gegevensbescherming werkt is die kans klein. Geen systeem is waterdicht. Je wordt niet bestraft als je kunt aantonen dat je vooraf technische en organisatorische maatregelen hebt genomen.

Vrijwel ieder bedrijf denkt bij de AVG aan bureaucratische administratieve rompslomp. Vaak uit onwetendheid. De procedures vallen achteraf meestal wel mee. En ze zijn er niet voor niets. Een bedrijf belandt pas echt in een rampscenario als het gechanteerd wordt via ransomware en de AVG verplichtingen niet op orde heeft. Juist dan ben je vanwege de potentiele hoge boetes van de Autoriteit Persoonsgegevens echt chantabel.

Voorkom het malware risico

Voorkom het malware risico. PrivacyZone kan helpen. Bel: +06-31995740 of mail naar info@privacyzone.nl.