Whatsapp-malware Agent Smith ook een groot risico in Nederland?

Het beveiligingsbedrijf Check Point waarschuwt voor denieuwe Android-malware Agent Smith die wereldwijd al zo’n 25 miljoen smartphones zou hebben besmet. Hoe groot is het risico voor Nederlandse smartphones?

Het virus vervangt ongemerkt geïnstalleerde apps door geïnfecteerde dubbelgangers die reclame verspreiden. Volgens Check Point heeft Agent Smith ook de mogelijkheid om bankgegevens, wachtwoorden en andere gevoelige informatie te bespioneren.

Check Point gaf de malware de naam Agent Smith omdat het overeenkomsten ziet met de agent met dezelfde naam in de Matrix films.

Maar in de media werd het al snel een “whatsapp-virus”, omdat het ook de populaire chatapp kan vervangen.

Ongeveer 60 procent van de getroffen gebruikers woont in India, Pakistan, Bangladesh en andere Aziatische landen. Maar volgens Check Point neemt het aantal besmette Android smartphones in Westerse landen als VS, Australië, Groot-Brittannië, Duitsland en Hongarije inmiddels ook snel toe.

Agent Smith is geen virus

De dreiging lijkt groot, maar Nederlandse gebruikers hoeven zich niet echt zorgen te maken als ze zich niet onzorgvuldig gedragen.

Agent Smith is namelijk geen virus. Om deze naam te verdienen, zou het een programma moeten zijn dat zichzelf kan repliceren en andere apparaten kan infecteren. Er zijn echter nog geen Android- of iOS-virussen.

Agent Smith is een Trojaan. Dit is een kwaadaardig programma dat een echte applicatie simuleert maar zichzelf niet kan verspreiden.

Het verschil is belangrijk. Omdat het betekent dat gebruikers de kwaadaardige app zelf moeten installeren. In Nederland kan dat meestal alleen als cybercriminelen de malware in de Google Play Store hebben weten te sluizen.

Ze moeten Google’s veiligheidsmaatregelen weten te omzeilen. Dit is niet onmogelijk. Het gebeurt regelmatig. Maar meestal vallen kwaadaardige apps in de Play Store vrij snel op als ze vaker worden geïnstalleerd en zo in de schijnwerpers komen te staan.

Volgens Check Point hebben de mensen achter Agent Smith tot nu toe vrijwel uitsluitend gebruik gemaakt van de Chinese App Store apps om hun malware te distribueren.

In deze apps vonden de veiligheidsonderzoekers de code van Agent Smith.

Check Point heeft echter elf toepassingen in de Westerse Play Stores ontdekt die malwarecode van Agent Smith bevatten. Maar de trojan is nog steeds inactief, schrijven de veiligheidsonderzoekers. Ze concluderen dat de hackers hun malware via de Play Store proberen te verspreiden. Maar dit zal nu niet meer zo eenvoudig zijn.

Check Point heeft de geïnfecteerde apps gemeld en Google is gewaarschuwd.
Nederlandse gebruikers die uitsluitend apps installeren vanuit de Play Store hebben op dit moment absoluut niets te vrezen. Zeker als ze hun handen van dubieuze toepassingen afhouden.

Verreweg de meest geïnstalleerde “Agent Smith” app was de “Girl Cloth Xray Scan Simulator”. Een toepassing die doet alsof hij met behulp van röntgenstralen door de kleding van meisjes kijkt.

Whatsapp zo lek als een mandje? Hackers kunnen jouw foto’s en video’s bekijken en manipuleren

Whatsapp is weer eens in opspraak. De populaire chatdienst lijkt op Android smartphones eenvoudig te kunnen worden gehackt.

Onderzoekers van de antivirusspecialist Symantec hebben een lek ontdekt die kan worden gebruikt om mediabestanden aan te vallen. In een blogartikel beschrijven ze de zogenaamde Media File Jacking, die betrekking heeft op de versie van Messenger voor Android mobiele telefoons.

Volgens Symantec kunnen hackers gebruik maken van andere apps die op de smartphone zijn geïnstalleerd en die toegang hebben tot het externe geheugen om de privéfoto’s, video’s en spraakberichten van Whatsapp-gebruikers te bekijken en deze in realtime aan te passen voordat ze aan de ontvanger worden getoond.

Dit kan ernstige gevolgen hebben als het bijvoorbeeld wordt gebruikt tegen publieke personen als politici en artiesten, leggen de onderzoekers uit.

Whatsapp heeft nog niet gereageerd op de onthulling. Gebruikers van Whatsapp kunnen volgens de experts zichzelf eenvoudig beschermen. Zo kan bijvoorbeeld de opslag van mediabestanden op externe opslag worden gedeactiveerd om het risico van aanvallen te verminderen. Om dit te doen, ga naar Instellingen > Chats in Whatsapp en sleep de schuifregelaar bij Media Visibility naar links zodat deze niet langer groen wordt weergegeven.

Klantenservice via Whatsapp is in strijd met de AVG. We leggen uit waarom

Steeds meer bedrijven bieden de mogelijkheid om via WhatsApp contact op te nemen. Dat lijkt een prima service, maar het is in strijd met de privacywet. We leggen uit waarom.

De klanten van sommige verzekeraars kunnen bijvoorbeeld via WhatsApp een kopie van een schadeformulier, factuur of contract naar een mobiel telefoonnummer van de klantenservice sturen. Geen gedoe met het schrijven mail. Lekker handig. Maar het mag niet.

Er zijn vier problemen op het gebied van gegevensbescherming:

  • De overdracht van contacten van het adresboek van de gebruiker naar WhatsApp.
  • De overdracht van persoonlijke gegevens naar de VS.
  • Het gebruik van persoonlijke informatie door WhatsApp.
  • De overdracht van gebruikersgegevens naar andere bedrijven van de Facebook-groep

De rechtmatigheid van het gebruik van WhatsApp door bedrijven wordt geregeld door Algemene Verordening Gegevensbescherming (AVG).

De overdracht van contactgegevens van het adresboek naar WhatsApp is al regelmatig verboden.

De verantwoordelijkheid voor het indienen van adresboekgegevens bij WhatsApp ligt bij het individuele bedrijf dat WhatsApp gebruikt om te communiceren.

Overeenkomstig artikel 6, lid 1, AVG is voor een dergelijke overdracht een rechtsgrondslag of toestemming vereist.

Met betrekking tot de contactgegevens van personen die reeds gebruik maken van de WhatsApp-dienst, is artikel 6, lid 1, onder f), van de groepsvrijstellingsverordening van toepassing op niet-publieke organen.

Een legitiem belang van de gebruiker bij de overdracht van contactgegevens van WhatsApp kan worden geïmpliceerd met betrekking tot de reeds geregistreerde gebruikers van de Messenger-dienst.

Zelfs als een legitiem belang bij het overdragen van contactgegevens aan WhatsApp wordt bevestigd, zal een belangenafweging niet in het voordeel van een overdracht zijn, tenminste als de contactgegevens ook worden overgedragen door personen die WhatsApp niet gebruiken. Veel getroffenen maken bijvoorbeeld helemaal geen gebruik van een Instant Messenger-dienst of gebruiken een andere dienst.

De contactgegevens van deze personen kunnen daarom alleen worden doorgegeven met effectieve toestemming overeenkomstig artikel 6, lid 1, onder a), juncto artikel 7 en 8 AVG.

Deze zal niet regelmatig beschikbaar zijn voor de overdracht van gegevens uit het adresboek van de smartphone.

Hoewel het denkbaar is om toestemming van de betrokkenen te verkrijgen, zal dit regelmatig niet uitvoerbaar zijn.

Bovendien, als slechts één persoon van wie de gegevens in het adresboek zijn opgeslagen de toestemming weigert, is het niet langer mogelijk om het adresboek op basis van toestemming te verzenden, tenzij het contact zonder toestemming eerder uit het adresboek is verwijderd.

Voor de functionaliteit zijn deze overdracht naar WhatsApp en de volledige afstemming van alle contactgegevens die in het adresboek zijn opgeslagen, niet verplicht.

Dit wordt aangetoond door tal van andere Messenger-diensten met alternatieve manieren om contact op te nemen met andere gebruikers van dezelfde Messenger-dienst, zoals een QR-code.

Als andere Messenger-diensten dezelfde matchingprocedure uitvoeren als WhatsApp, zullen ten minste enkele van hen de niet-geregistreerde contactpersonen onmiddellijk na de negatieve match verwijderen, volgens hun eigen informatie.

  • Ten eerste is het denkbaar dat een smartphone met een leeg adresboek wordt gebruikt. 
  • Ten tweede is het mogelijk om de toegang tot contacten via de WhatsApp-toepassing uit te sluiten via instellingen, bijvoorbeeld in het Android-besturingssysteem van smartphones vanaf versie 6.0.

 

Vooral bij deze configuratie van de smartphone is de functionaliteit van de applicatie als volgt beperkt:

  • Als WhatsApp na de installatie geen toestemming krijgt om toegang te krijgen tot de contactpersonen, maar voor de eerste toepassing, kan de gebruiker niet zelfstandig met de communicatie beginnen, maar alleen zelf contact met hem opnemen.
  • Het is niet mogelijk om handmatig een telefoonnummer in te voeren dat gebruikt moet worden voor communicatie.
  • Als WhatsApp later toestemming krijgt om toegang te krijgen tot de contactpersonen, worden de telefoonnummers van de contactpersonen overgezet naar WhatsApp.

 

Een gebruik van WhatsApp zonder overdracht van telefoonnummers is daarom alleen mogelijk als de toegang tot de contacten direct na de installatie permanent wordt gedeactiveerd.

De overdracht van persoonlijke gegevens naar de VS is over het algemeen gerechtvaardigd bij WhatsApp, omdat WhatsApp deelneemt aan het zogenaamde Privacy Shield.

De Privacy Shield Agreement is momenteel van kracht en vormt derhalve een geldige rechtsgrond.

Op basis van het Privacy Shield heeft de EU Commissie besloten dat persoonsgegevens naar de VS mogen worden overgedragen indien het ontvangende bedrijf zich heeft gecertificeerd, d.w.z. zich heeft verplicht tot naleving van de principes van het Privacy Shield, en als actieve deelnemer is opgenomen op de website van het Amerikaanse ministerie van Handel.

Op basis van het privacyschild kunnen persoonsgegevens naar de VS worden overgedragen overeenkomstig artikel 45, lid 3 AVG.

Daarom zijn er momenteel geen bezwaren tegen de overdracht van persoonsgegevens aan de VS tijdens het gebruik ervan.

Er wordt echter al geruime tijd op hoog niveau gepraat over de rechtmatigheid van het privacyschild. Het risico bestaat dat de Privacy Shield Agreement voor de rechter wordt aangevochten en door het Hof van Justitie onverbindend wordt verklaard. Dit is al gebeurd met zijn voorganger, de zogenaamde Safe Harbour Agreement.

Het gebruik van WhatsApp is in ieder geval een inbreuk op Art. 25 lid 1 AVG.

Het vereist dat de voor de verwerking verantwoordelijke passende en evenredige technische en organisatorische maatregelen neemt, zowel op het moment dat de verwerkingsmethoden worden vastgesteld als op het moment van verwerking, om de beginselen inzake gegevensbescherming effectief toe te passen.

Dit betekent dat de keuze van de verwerkingsmethoden zodanig moet worden gemaakt dat bij het gebruik van de verwerkingsmethoden aan de basisgegevensbeschermingsverordening kan worden voldaan.

De selectie van WhatsApp vormt een inbreuk op deze verplichting. Enerzijds is de regelmatige overdracht van gegevens uit het contactboek in strijd met het beginsel van de gegevenseconomie in artikel 5, lid 1, letter c AVG.

WhatsApp biedt niet de mogelijkheid om deze overdracht uit te schakelen, te beperken tot individuele contactgroepen of anderszins de overdracht te configureren.

Ten tweede selecteert WhatsApp een serviceprovider die persoonlijke gegevens verwerkt op een manier die niet in overeenstemming is met de toepasselijke wetgeving.

WhatsApp verklaart in haar Privacybeleid zelf dat zij de informatie waarover zij beschikt gebruikt voor doeleinden die nauwelijks beperkt zijn.

KNO-arts zorgt voor Whatsapp datalek schandaal en AVG-wake-upp call voor iedereen die Whatsapp nog zakelijk gebruikt

Een ex-KNO-arts van ziekenhuis Amstelland veroorzaakt een groot datalek door  een Whatsappgroep met honderden patiënten aan te maken. Hij overtreedt daarmee de AVG, schendt zijn medisch beroepsgeheim en een concurrentiebeding. Een AVG-wake-upp call voor iedereen die Whatsapp nog zakelijk gebruikt. 

Iedereen die zonder toestemming werknemers, klanten of patienten toevoegt aan Whatsapp overtreedt de Europese privacywet.

Veel ondernemers worstelen met het AVG-dilemma Whatsapp op zakelijke telefoons. Wat privé wel mag is zakelijk een overtreding van de privacywet.

De KNO-arts maakt met zijn Whatsappgroep honderden privé-nummers van patiënten inzichtelijk voor anderen.

Eén van zijn oud-patienten meldt bij de Amsterdamse lokale omroep AT5 het vreemd te vinden dat een arts hem benadert via zijn privételefoon.

“Je ziet van al die mensen een Whatsappfoto en ook de telefoonnummers. Dit kan echt niet. De arts schendt hiermee het medisch beroepsgeheim en de privacy van patiënten.”

Schending concurrentiebeding en medisch beroepsgeheim

De actie van de arts is niet alleen vanuit AVG-oogpunt bedenkelijk vanuit concurrentieoverwegingen. Hij probeert via de groepsapp patiënten mee te lokken naar zijn nieuwe werkgever: Acibadem International Medical Center.

In het groepsgesprek, dat de arts midden in de nacht aanmaakt met zijn privé-nummer, vertelt hij een nieuwe werkgever te hebben. De dokter plaatste volgens AT5 teksten als: “Hierdoor kunt u niet geopereerd/gecontroleerd worden in Ziekenhuis Amstelland. [Het] is uiteraard wel mogelijk dat u door mij geopereerd wordt in het International Medical Center Acibadem.”

Ook schrijft de arts dat de wachttijden bij zijn nieuwe werkgever ‘aanzienlijk korter’ zijn en dat patiënten er goed aan doen om opnieuw een verwijsbrief van de huisarts te vragen.

Solo-actie

Zijn nieuwe werkgever Acibadem zegt dat het benaderen van deze patiënten een ‘solo-actie’ is van de KNO-arts. “Wij zijn hier vooraf niet van op de hoogte gesteld en de wijze waarop dit is gebeurd past niet binnen de richtlijnen van Acibadem.”

Ziekenhuis Amstelland, oud-werkgever van de dokter, kondigt juridische stappen aan tegen de oud-werknemer. “Er zijn door de betreffende arts gegevens van onze patiënten meegenomen die binnen onze muren hadden moeten blijven.”