Privacy Nieuws
Microsoft blijkt ook slachtoffer te zijn geworden van de grote cyberaanval op diverse Amerikaanse overheidsinstanties. De aanvallen lijken aan elkaar gelinkt, vanwege kwetsbaarheden in de netwerksoftware van het bedrijf SolarWinds, die door zowel overheidsinstanties als Microsoft wordt gebruikt.
Buitenlandse hackers, naar verluid gelieerd aan Russische veiligheidsdiensten, hebben maandenlang toegang gehad tot de netwerken van meerdere Amerikaanse ministeries, overheidsagentschappen en bedrijven.
Microsoft erkent dat er problemen zijn ontstaan door de aanwezigheid van kwaadaardige software die via SolarWinds op het netwerk is gekomen, maar dat de schade inmiddels is hersteld, de lekken zijn gedicht en het netwerk weer veilig is.
Het bedrijf zegt geen aanwijzingen te hebben dat vanaf zijn netwerk ook andere netwerken zijn aangevallen. Microsoft heeft ontdekt dat zeker veertig klanten doelwit waren.
Het Amerikaanse ministerie van Binnenlandse Veiligheid, dat donderdag zei dat de hackers meerdere toegangsmethoden gebruikten, blijft onderzoek doen.
Aanleiding was een hack bij het netwerk van leverancier SolarWinds, waarvan ook de Amerikaanse overheid afnemer is.
De ministeries van Handel, Financiën, Binnenlandse Veiligheid, Buitenlandse Zaken en Defensie zijn getroffen.
Daarnaast zouden de hackers ook succesvol hebben ingebroken in het netwerk van de Nationale Gezondheidsinstituten (NIH).
Privacy Nieuws
De Autoriteit Persoonsgegevens (AP) van de Duitse deelstaat Hessen heeft onderwijsinstellingen geadviseerd om snel een alternatief voor Microsoft Office 365 en Windows 10 te vinden. Het software pakket voldoet volgens de toezichthouder niet meer aan de Europese privacywet.
Volgens de Algemene Verordening Gegevensbescherming (AVG) mogen persoonsgegevens alleen verwerkt worden in Europa. Microsoft voldeed tot voor kort aan deze eis omdat gegevens van klanten die via de cloud werken werden opgeslagen op servers in Duitsland. Maar onlangs heeft Microsoft zijn cloudservers weer naar de Verenigde Staten verplaatst.
De toezichthouder van de deelstaat Hessen heeft Microsoft meermalen om opheldering gevraagd. Microsoft heeft echter geen antwoord gegeven. Wat betreft de Duitse AP is de maat nu vol. Hij heeft scholen geadviseerd het gebruik van Office 365 en Windows 10 (die een gestage stroom van gebruiksgegevens naar Microsoft stuurt) te staken.
Volgens de website Office-Watch, hebben alle Amerikaanse Big Tech bedrijven een vergelijkbaar probleem in Europa. Zelfs als ze servers in Europa blijven gebruiken. Ze kunnen niet garanderen dat de gegevens van Europese klanten niet toch via hun Amerikaanse backup-servers toch ingezien kunnen worden door Amerikaanse inlichtingendiensten.
Privacy Nieuws
Overheid en bedrijfsleven mogen gewoon met Microsoft Office ProPlus blijven werken. Microsoft heeft zijn softwarepakket aangepast om te voldoen aan de Algemene Verordening Gegevensbescherming (AVG). Dat heeft minister Ferd Grapperhaus van Justitie en Veiligheid maandag medegedeeld aan de Tweede Kamer.
Het ministerie van Justitie en Veiligheid maakte in 2018 kenbaar zich zorgen te maken om het gebruik van de producten, omdat ambtenaren geen controle hadden over welke diagnostische gegevens van Office ProPlus naar de Verenigde Staten werden verstuurd en daar werden opgeslagen.
Onder Microsoft Office ProPlus vallen meerdere kantoordiensten, zoals tekstverwerker Word, spreadsheetbewerker Excel, presentatiebewerker PowerPoint en e-maildienst Outlook.
Na constatering van de overtreding beloofde Microsoft zijn Office-kantoorsoftware zo aan te passen dat het versturen van de gegevens beperkt kon worden.
De aanpassing geldt voor het gebruik van alle Microsoft Office ProPlus-software die wereldwijd wordt gebruikt, en niet alleen voor licentie die de Nederlandse overheid heeft afgenomen.
De Nederlandse overheid gaat jaarlijks controleren Office ProPlus in lijn is met de AVG.
Privacy Nieuws
De Duitse overheid blijkt net als de Nederlandse overheid te hebben ontdekt dat Microsoft niet voldoet aan de Algemene Verordening Gegevensbescherming (AVG).
Uit het Duitse onderzoek blijkt dat de problemen niet alleen bij de Microsoft software voor de overheid, maar ook bij de versies voor de zakelijke markt en consumenten spelen.
Het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) onderzoekt systeemintegriteit, logging en beveiligingsfuncties van Windows 10. Net als in Nederland zijn er ook in Duitsland problemen geconstateerd met telemetriefuncties in de software. Microsoft stuurt zonder toestemming voortdurend gebruikersgegevens naar Amerika.
De analyses van de BSI omvatten componenten zoals de Trusted Platform Module (TPM), VBS/DeviceGuard, Windows PowerShell, de Application Compatibility Infrastructure, driver management en PatchGuard.
Volgens de BSI heeft de in Windows 10 ingebouwde telemetriecomponent uitgebreide mogelijkheden om toegang te krijgen tot systeem- en gebruiksinformatie en deze naar Microsoft te sturen.
Hoewel gebruikers verschillende telemetrie niveaus kunnen instellen, is het niet mogelijk om de verzonden informatie duidelijk toe te wijzen aan deze niveaus. Windows laadt de configuratiegegevens meerdere malen per uur en wijst de bestaande telemetriebronnen dynamisch toe tijdens het gebruik.
Zelfs de configuratie van het laagst mogelijke telemetrie-niveau verhindert volgens het BSI-onderzoek de gegevensoverdracht niet volledig. Dit geldt zowel voor het niveau 0 (beveiliging) dat beschikbaar is in de Windows-edities van de onderneming als voor het minimumniveau 1 (eenvoudig) dat mogelijk is in de consumentenversies.
Een volledige preventie van het verzamelen en verzenden van telemetriegegevens door Windows is technisch mogelijk, maar voor de eenvoudige gebruiker moeilijk te implementeren, schrijft de BSI.
In het document “Analyse van de telemetriecomponent in Windows 10” (PDF/Eng.) vergelijkt BSI verschillende benaderingen met betrekking tot effectiviteit, uitvoerbaarheid en verwachte bijwerkingen.
De in detail beschreven systeeminterventies omvatten het afsluiten van bepaalde diensten, het deactiveren van zogenaamde ETW-sessies (Event Tracing voor Windows) of het onderdrukken van de communicatie met Microsoft-servers via firewallregels of DNS-manipulaties.
Privacy Nieuws
Microsoft verzamelt volgens het ministerie van Justitie en Veiligheid via Microsoft Office ‘heimelijk gedragsgegevens van gevoelige aard van 300.000 rijkswerkplekken bij ministeries, politie, rechtspraak en toezichthouders’. Grote vraag is nu of dat ook gebeurt bij het bedrijfsleven.
Het datalek is ontdekt tijdens een Data Protection Impact Assessment (DPIA) die het Strategisch Leveranciersmanagement Microsoft (SLM) van de overheid op Microsoft Office en Windows 10 heeft laten uitvoeren door PrivacyCompany.
De DPIA maakt duidelijk dat de overheid en Microsoft een groot probleem hebben. Ze voldoen niet aan de Algemene Verordening Gegevensbescherming (AVG).
De conclusies die de onderzoekers trekken zijn ernstig:
- We weten niet precies welke gegevens Microsoft verzamelt en bewaart over het gedrag van gebruikers
- Het gaat om 23 tot 25 duizend soorten gebeurtenissen (events). Engineers kunnen dynamisch nieuwe events toevoegen
- Er werken 20 tot 30 teams met engineers met deze gegevens, die met eigen kopieën van de datasets kunnen werken
Microsoft verzamelt op grote schaal gegevens
Microsoft blijkt volgens PrivacyCompany bij Windows 10, Microsoft Office en Office 365 aparte scripts te hebben ingebouwd die allerlei handelingen vastleggen die door gebruikers worden verricht.
Maar naar alle waarschijnlijkheid gebeurt hetzelfde bij andere organisaties die Microsoft gebruiken. Want het is niet waarschijnlijk dat Microsoft voor de overheid andere versies van zijn software heeft als bij het bedrijfsleven.
Microsoft verzamelt via de scripts systematisch en op grote schaal gegevens over het individuele gebruik van Word, Excel, PowerPoint en Outlook. Dat gebeurt zonder mensen daarover te informeren en zonder invloed te geven op de instellingen.
Microsoft verstuurt deze telemetriegegevens af en toe in een batch naar haar eigen servers in de Verenigde Staten. Deze telemetrie is versleuteld.
Microsoft biedt (nog) geen mogelijkheid om te kijken naar de inhoud van de diagnostische gegevensstroom.
Het enige dat bekend is, is dat om 23 tot 25 duizend soorten gebeurtenissen gaat (events). En dat er 20 tot 30 teams met engineers werken met deze gegevens.
Net als bij Windows, bepaalt Microsoft ook bij Office zelf de doelen van de gegevensverwerking, en de bewaartermijn van de gegevens (30 dagen tot 18 maanden, of zoveel langer als Microsoft nodig acht).
In het onderzoek wordt geconcludeerd dat er geen instelling bij Office is om te voorkomen dat de software telemetriedata doorstuurt.
Bij Windows 10 Enterprise is die er wel.
PrivacyCompany zegt niet te weten wat Office precies voor gedragsgegevens doorstuurt, maar na een brede analyse durft het bureau te zeggen dat het om de grootschalige verwerking van persoonsgegevens van gevoelige aard gaat.
Microsoft heeft het ministerie van Justitie en Veiligheid belooft om Windows 10 Enterprise en Microsoft Office aan te passen.
De wijzigingen moeten ertoe leiden dat overheidsdiensten de software in overeenstemming met de AVG kunnen gebruiken.
De wijzigingen moeten In april 2019 zijn doorgevoerd.
“In de tussentijd zullen onderdelen van het Rijk aanvullende maatregelen moeten nemen om de datastromen naar Microsoft zoveel mogelijk te stremmen”, staat in een mededeling over de onderhandelingen tussen het Rijk en Microsoft met betrekking tot het voldoen aan de AVG.
Als de verbeteringen onvoldoende zijn, is een gang naar de Autoriteit Persoonsgegevens ‘een mogelijkheid’ voor handhaving, volgens het ministerie.
Die conclusie is ook opmerkelijk. De overheid en Microsoft hadden op 25 mei 2018 al moeten voldoen aan de AVG. Er is nu een datalek geconstateerd. Dan is een gang naar de Autoriteit Persoonsgegevens geen mogelijkheid, maar volgens de Algemene Verordening Gegevensbescherming een verplichting.
Overheidsdiensten krijgen het advies om een eigen assessment uit te voeren en maatregelen te nemen. Het pakket ‘zero exhaust settings’ lost echter niet alle risico’s op, ook blijken niet alle voorgestelde maatregelen haalbaar voor ICT-organisaties van ministeries en andere diensten van overheden.
De afnemers van Office kunnen volgens Privacy Company sowieso niet alle risico’s oplossen. Voor de contracten en de doorgifte naar de VS moet een Europese oplossing worden gezocht. SLM Rijk en Microsoft zullen de komende maanden nauw blijven overleggen.
Privacy Company zegt intussen vervolgonderzoek te doen naar de inhoud van de telemetrie data.
Privacy Nieuws
Microsoft heeft de uitrol van de Windows 10-update stopgezet voor al zijn gebruikers. Aanleiding is een aantal meldingen van gebruikers die merkten dat hun bestanden na de update zijn verdwenen.
Het techbedrijf maakte de update voor Windows 10 deze week beschikbaar. De update geeft gebruikers onder meer toegang tot de Your Phone-app. Daarmee kunnen zij sms’jes en foto’s van Android-smartphones op hun computer bekijken.
Een aantal gebruikers dat de update heeft geïnstalleerd, merkte na afloop dat bestanden waren verdwenen. De documenten waren ook niet terug te vinden in een oude versie van Windows, een back-up die de software automatisch maakt na de installatie van een nieuwe versie.
Hoeveel mensen met de problemen te kampen hebben, is niet duidelijk. Microsoft spreekt op zijn website alleen van “geïsoleerde meldingen”.
Het bedrijf roept gebruikers die de update gedownload hebben op om deze nog niet te installeren. Ook zegt het bedrijf met meer informatie te komen zodra een nieuwe versie van de Windows 10-update beschikbaar is.
Privacy Nieuws
“Je hebt Microsoft Edge al: de veiligere, snellere browser voor Windows 10” staat te lezen in een pop-up die bètagebruikers van Windows 10 momenteel te zien krijgen.
De gebruiker kan vervolgens kiezen om Edge te openen, of alsnog een andere browser te installeren.
Er wordt op social media onder de hashtag hashtag #browserwars verontwaardigd gereageerd op de opmerkelijke popup van Microsoft.
Microsoft raadt bètagebruikers van Windows 10 op deze manier actief af om een andere browser te installeren. Er wordt gesuggereerd dat Firefox, Opera of Chrome onveilig zijn.
Microsoft was vroeger marktleider
Jaren geleden maakten vrijwel alle gebruikers van Microsoft standaard gebruik van de browser Microsoft Explorer die automatisch werd geinstalleerd.
De EU vond dat Microsoft misbruik maakte van zijn positie en daardoor concurrenten geen kans gaf.
Miljarden Euro boete voor Microsoft
Microsoft werd zwaar bestraft voor het misbruik van zijn dominante positie. Het Amerikaanse softwareconcern moest miljarden Euro aan boetes betalen.
Microsoft werd verplicht om zijn gebruikers bij de installatie van zijn software een keuzemogelijkheid voor andere browsers aan te bieden.
Google Chrome nu marktleider
Sindsdien heeft Microsoft qua browser flink marktaandeel verloren. Momenteel is Google Chrome marktleider.
Microsoft heeft inmiddels Explorer vervangen door de nieuwe browser Edge. Deze browser is volgens Microsoft sneller en veiliger dan de concurrentie.
Die claim is omstreden en nog niet bewezen.
De melding verschijnt voorlopig alleen in een Insider-build, een bètaversie van Windows 10. Microsoft gebruikt zulke previewversies vaker om nieuwe features te testen. Die verschijnen niet altijd in de definitieve versies van Windows.
Privacy Nieuws
Cybercriminelen hebben Microsoft Office ‘herontdekt’ als tool om in bedrijfsnetwerken te infiltreren. Dit blijkt uit onderzoek van Unit42, de afdeling cybersecurity van het Amerikaanse bedrijf Palo Alto Networks. Eerste tip: pas op met bestanden met de extensie .docm.
Verderop in dit artikel zetten we de mogelijke aanvalsscenario’s via Office-bestanden op een rij.
Aanvalpogingen met behulp van speciaal voorbereide Microsoft Office bestanden zijn op zich niet nieuw. Op dit moment nemen de pogingen van criminelen om kwetsbaarheden in bedrijfsnetwerken via dergelijke bestanden uit te buiten volgens Unit42 echter weer toe.
Het is daarom voor organisaties van belang om medewerkers via awareness traimingen bewust te maken van de risico’s van het openen van Office documenten van onbekende afzenders.
Mensen openen Office-documenten die bijgevoegd zijn in mailberichten meestal instinctief. Voor ze zich het beseffen hebben ze vrijwel automatisch met hun muis op het Word of Excel bestand geklikt.
Dit geldt ook als deze bestanden afkomstig zijn van afzenders die niet bekend zijn bij de ontvanger. Dit wijst op een gebrek aan kennis over de mogelijke gevaren.
Maar zelfs een bekende en betrouwbare afzender beschermt niet tegen malware-infecties. Het systeem van de verzender kan het het geïnfecteerde Microsoft bestand ook ongemerkt versturen.
Mogelijke aanvalsscenario’s via Office-bestanden
Pogingen tot aanvallen via Office-bestanden zijn zeer veelzijdig geworden. Kennis van deze scenario’s draagt bij tot een effectieve preventieve bescherming van netwerken. Het is voor organisaties daarom van groot belang om medewerkers via awareness trainingen te informeren over de risico’s. PrivacyZone kan daarbij helpen.
We zetten de mogelijke aanvalsscenario’s via Office-bestanden op een rij.
Macro’s
Microsoft Office bevat een optie om zelf macroscripts te schrijven waarmee processen en handelingen kunnen worden geautomatiseerd. Dat kan met de scriptengine die is geïntegreerd in MS-Office (Visual Basic for Applications). Dit is nog steeds de gemakkelijkste manier voor aanvallers om het systeem van de gebruiker in gevaar te brengen.
De scripts kunnen direct na het openen worden uitgevoerd zonder dat het slachtoffer een actie hoeft uit te voeren. Mits macro’s zijn geactiveerd op het systeem van de gebruiker.
Microsoft Office kan zo ingesteld worden dat standaard voorkomen wordt dat de macro’s na het klikken op een bestand automatisch worden uitgevoerd. Er moet dan altijd eerst nog via een popupvenster bevest worden dat het script mag worden uitgevoerd.
De ervaring leert dat veel medewerkers achterdochtig worden bij zo’n popup. Maar de kans bestaat dat ze dan naief toch nog de macroactie goedkeuren. Met alle mogelijke gevolgen van dien.
Kantoorgebruikers dienen zich er daarom van bewust te zijn dat Office-bestanden met macro’s een andere bestandsextensie (.docm) hebben. En dat ze bij deze bestanden altijd achterdochtig moeten zijn.
Ingebedde Flash-bestanden
Externe objecten uit andere programma’s en bronnen kunnen in Office-documenten worden ingesloten. En daarmee automatisch de kwetsbaarheden van deze applicaties. Er zijn succesvolle pogingen gedaan om aan te vallen met behulp van Flash-bestanden die zijn opgenomen in Excel-documenten, waarbij gebruik is gemaakt van een kwetsbaarheid in Flash Player.
Microsoft Equation Editor
Der Formel-Editor (Equation Editor) von Microsoft ist ein Hilfsprogramm für das Zeichnen und Schreiben mathematischer Ausdrücke. Dessen Dateien werden ebenfalls direkt in die Office-Dateien eingebettet. Doch auch auf diesem Weg gab es bereits erfolgreiche Exploit-Versuche. Da der Editor aus Sicht des Betriebssystems und des Office-Programms als eigener Prozess angesehen wird, greifen die im Office-Paket eingebauten Schutzfunktionen nicht.
Microsoft’s Equation Editor is een hulpprogramma voor het tekenen en schrijven van wiskundige uitdrukkingen. Deze bestanden worden rechtstreeks in Office-bestanden opgenomen. Cybercriminelen buiten deze bestanden uit om malware in te verstoppen.
Hoe kun je je als organisatie wapenen tegen dit soort aanvallen via Microsoft Office? Een softwarepakket waarmee vrijwel iedereen werkt.
Vraag als eerste uw ICT-afdeling of een extern ICT-bedrijf om Microsoft Office veilig in te stellen en laat ook actuele antivirus software installeren.
En plan vervolgens een awareness training in voor medewerkers. Zo’n awareness training is overigens volgens de Algemene Verordening Gegevensbescherming (AVG) verplicht.
PrivacyZone biedt Awareness Trainingen aan. Wil je meer weten? Neem contact met ons op. Telefoon: 06-31995740 of mail: info@privacyzone.nl.
Privacy Nieuws
Microsoft geeft gebruikers van zijn producten wereldwijd dezelfde privacyrechten als in Europa.
Microsoft heeft die belofte maandag wereldkundig gemaakt in een blogpost naar aanleiding van nieuw privacybeleid dat het concern maandag lanceerde.
Dat betekent dat u, waar u ook woont, kunt zien wat Microsoft over u verzamelt en deze informatie zo nodig kunt corrigeren of verwijderen.
U kunt ook wereldwijd bezwaar maken tegen het gebruik van gegevens voor marketing- en andere doeleinden door Microsoft.
Microsoft toont met zijn nieuwe privacybeleid aan welke impact de nieuwe Europese privacywet AVG / GDPR wereldwijd heeft.
De Amerikaanse softwaregigant zet een trend.
Sommige globale software ontwikkelaars hebben de invoering van GDPR compliance beperkt tot alleen de mensen in de Europese Unie, waar de nieuwe regels vrijdag van kracht worden.
Facebook heeft bijvoorbeeld gezegd dat het wereldwijd dezelfde instellingen en besturingsmogelijkheden biedt, maar dat het wereldwijd geen veelbelovende rechten in Europese stijl meer biedt.
Privacy Nieuws
Microsoft heeft de Home- en Personal-edities van Office 365 beter beveiligd tegen ransomware. Zodra Microsoft malware ontdekt in de cloudopslag OneDrive krijgen gebruikers een waarschuwing.
Gebruikers kunnen voortaan ook oudere bestanden terughalen.
Net als Google Drive en Apple Cloud biedt OneDrive nu ook de mogelijkheid om bestanden te delen. Deze bestanden kunnen in OneDrive dan beveiligd worden met een wachtwoord, waardoor gedeelde mappen beter kunnen worden afgeschermd.
Het Microsoft mailprogramma Outlook krijgt een aantal nieuwe functies, waaronder het versleutelen van e-mail.
Zakelijke gebruikers konden al langer beschikken over enkele van deze opties.
