vrijdag 27 september 2019

In de verkoop


De liefde voor fotografie heb ik van mijn vader meegekregen. Vroeger hadden we thuis dozen vol dia’s, die zo af en toe tevoorschijn werden gehaald om er in een verduisterde kamer via een projector en een projectiescherm naar te kijken. Later, toen de allereerste spiegelreflexcamera in huis kwam (een Asahi Pentax), hobbyde mijn vader veel met allerlei voorzetlenzen om macrofoto’s van bloemen en allerlei voorwerpen te maken. Daarna kwam er nog een Nikon in huis. De digitale fotografie heeft hij alleen meegemaakt met zo’n eenvoudige borstzakcamera. Zijn hoogtijdagen lagen duidelijk in het tijdperk van de analoge – ik noem het graag ‘chemische’ – fotografie.

Mijn moeder wilde wel eens af van die Nikon. En er lag ook nog een antieke Zeiss Ikon, met een klepje aan de voorkant waar een balgobjectief achter zat – een soort harmonica. Geef maar mee, zei ik, we zetten die spullen online en dan zien we wel wat ze opbrengen. Omdat we geen idee hadden van de waarde, gingen we eerst kijken voor welke prijs soortgelijke toestellen te koop stonden. Aha, het ging slechts om een paar tientjes.

Een potentiële koper vroeg om een e-mailadres. Omdat we al een paar vruchteloze contacten achter de rug hadden, gingen we op zijn verzoek in. Even later ontvingen we het volgende mailtje:

Hallo,
Ik wil je artikel kopen als een geschenk voor mijn kind. Mijn kind is in Italië geweest voor school en ik wil dat je het naar Italië stuurt, ik betaal de verzendkosten en ik betaal via een bankoverschrijving. Een belangrijke vraag die ik hoop dat het artikel in goede staat verkeert? Ik heb het volgende nodig om door te gaan met de betaling.👇

Bankgegevens:
vervoerskosten:
Totale overdrachtskosten:
vriendelijke groeten

Ruik je ook dat hier een luchtje aan zit? Om te beginnen het verzoek om via e-mail te communiceren. Marktplaats adviseert om alle communicatie via hun site te laten verlopen, zodat gemaakte afspraken altijd helder zijn. In het mailtje wordt verwezen naar ‘je artikel’. Waarom zo’n algemene aanduiding in plaats van ‘de Nikon-camera’? Wordt hetzelfde mailtje soms ook voor allerlei andere zaken gebruikt? En waarom zo’n irrelevant verhaal over ‘mijn kind’, maar vooral: waarom moeten wij de camera naar Italië sturen? Over de prijs werd trouwens niet gesproken; je kunt het mailtje lezen als: zeg maar wat het moet kosten, ik betaal wel.

Het mailtje bevat geen taalfouten, maar ik vind de stijl wat on-Nederlands: we zeggen meestal niet ‘mijn kind’ maar eerder ‘mijn zoon/dochter’. ‘Ik wil dat je’ en ‘Ik heb het volgende nodig’ klinkt erg dwingend. En ten slotte zijn ‘vervoerskosten’ en ‘overdrachtskosten’ ook wel wat ongebruikelijke termen voor een dergelijke verkoop.

Het duurde dan ook niet lang of we kregen een mailtje van Marktplaats, waarin stond dat we een reactie hadden gekregen van iemand die als onbetrouwbaar te boek stond en wiens account inmiddels geblokkeerd was. Als ik aan fraude denk, dan valt mijn oog al snel op het woord ‘bankgegevens’ in het mailtje. Maar wat kun je met alleen een naam en bankgegevens? Ik vermoed dat na beantwoording van dit mailtje nog een mailtje zou zijn gevolgd met een verzoek om een kopie van een paspoort, zogenaamd nodig om het geld over te maken of om zekerheid te krijgen, want tja, Italië en zo. En dan ligt identiteitsfraude op de loer.

Overigens is de verkoop om een heel andere reden afgeketst dan mijn achterdocht of het mailtje van Marktplaats. In het mailtje stond namelijk ook nog dat het artikel wel in goede staat moest verkeren. Dat konden we niet garanderen (er hadden uitgelekte batterijen in gezeten) en op die mededeling kregen we een wat boze reactie: “Hoe kun je een apparaat dat het niet doet te koop aanbieden!” Een vreemde manier om een einde te maken aan een poging tot oplichting.

Nog even wat tips. Op https://www.veiligbankieren.nl/online-fraude/identiteitsfraude/ geven de banken meer informatie over identiteitsfraude. Ze gaan in op de werkwijze van criminelen, vertellen hoe je je kunt beschermen en zeggen wat je moet doen als je dan toch slachtoffer van identiteitsfraude bent geworden. En op https://www.politie.nl/ klik je op Controleer verkopergegevens om aan de hand van een bankrekeningnummer, e-  mailadres, telefoonnummer of URL na te gaan of een koper of verkoper in het grote boek staat.

Er komt weer een meerdaagse conferentie aan. Daarom zit een Security (b)log er voor volgende week helaas niet in.

En in de grote boze buitenwereld …


... zijn Nederlanders naïef over digitale veiligheid.

... nemen bedrijven tegelijkertijd wel steeds meer beveiligingsmaatregelen.

... is lang niet iedere DoS-aanval een DDoS-aanval.

... heeft het Finse NCSC een gids gepubliceerd over het beschermen van Office365.

... zijn deze adviezen van een jurist over veilige digitale communicatie voor het MKB ook interessant als achtergrondverhaal voor het brede publiek.

... is het wachtwoord van je Chinese beveiligingscamera en babyfoon uitgelekt. Iedereen kan daardoor met je meekijken.

... werken laboratoria aan heel nieuwe biometrische identificatietechnieken, die het makkelijk gaan maken om mensen op afstand te herkennen.

... hoef je niet te gaan hamsteren vanwege een dreigende digitale ontwrichting.

... bestaat er een geheim wapen in de strijd tegen SIM-swapping.

... doen security testers er goed aan om de scope van hun onderzoek heel goed met de opdrachtgever af te stemmen.

... heeft de FBI wat statistieken en tips over business email compromise gepubliceerd.

... heeft Nederland nu een meldpunt voor onveilige IoT-apparaten.






vrijdag 20 september 2019

Gezond verstand


Dit bord staat in Prien am Chiemsee, in het zuiden van Beieren. Voor wie het Duits niet machtig is, volgt hier de vertaling: Verboden te fietsen. Verstandige mensen fietsen hier niet, voor de rest is het verboden. Het bord staat op een toeristische plek: het vertrekpunt van zowel rondvaartboten (rechtdoor) als de plaatselijke stoomtram (links). Rechts van het bord zijn de loketten. Wij waren daar ’s avonds en toen was het vooral op de terrassen erg druk, maar ik kan me goed voorstellen dat het er op een mooie zomerdag krioelt van de toeristen die een kaartje willen kopen en zich verdringen om een mooi plaatsje op de boot of in een wagon te bemachtigen.

Om te beginnen wil ik even afrekenen met het hardnekkige vooroordeel dat Duitsers geen humor zouden hebben. Dit bord getuigt zelfs van openlijke ambtelijke humor en ik geef toe, dat heeft ook mij een beetje verrast. Dit bord is zonder twijfel grappig, maar is het eigenlijk wel humor? Of is het veel meer een appèl aan het gezond verstand? Het staat er eigenlijk letterlijk hè. De meeste mensen zullen zich graag tot het verstandige deel der bevolking rekenen (al is dat helaas in sommige gevallen net zoiets als dat iedereen vindt dat hij goed kan autorijden). Maar goed: als je verstandig bent, dan fiets je hier niet; ik bén verstandig, ergo: ik stap af. En voor hardleerse mensen die stoer willen doen of de tekst niet begrijpen, is er de stok van het verbod achter de deur, compleet met verkeersbord dat ook niet-Duitssprekenden zouden moeten kunnen snappen. Ik denk dat weinigen het wagen om hier te fietsen.

In mijn vak doe ik ook vaak en graag een beroep op gezond verstand. Bijvoorbeeld als ik over phishing en andere scams praat: als iets te mooi lijkt om waar te zijn, dan is het dat meestal ook. Je wint geen prijs in een loterij waar je geen lot voor hebt, zo simpel is het. Ook die Nigeriaanse prins met zijn vette erfenis is natuurlijk een sprookje. Ook in je professionele doen en laten zie ik graag een flinke dosis boerenverstand aan het werk. “Ik wil dit bestand naar mijn privéadres mailen, maar mag dat wel?” Het antwoord op een dergelijke vraag is meestal te vinden in regelgeving. Het mooie is dat veel regelgeving is gebaseerd op datzelfde gezonde verstand dat jij zelf ook hebt. De meeste mensen zouden immers hun snelheid in een woonerf óók matigen als ze niet zouden weten dat ze zich in een woonerf bevinden, gewoon omdat de omstandigheden duidelijk maken dat je daar niet moet scheuren – al zijn er altijd wel hufters die te laat van huis vertrekken en toch hun kind op tijd op school willen hebben, desnoods, zo lijkt het wel, ten koste van andermans kinderen (sorry, even een privéfrustratie luchten).

Terug naar de combinatie van regelgeving en gezond verstand, en het voorbeeld met wel of niet mailen. Ook zonder regelgeving kun je bedenken dat het prima in orde is om een foldertje naar huis te mailen dat je aan een kennis wilt laten zien om hem ergens mee te helpen. Net zo goed zul je begrijpen dat je geen zakelijke informatie naar buiten moet mailen als je in een organisatie werkt waar de afspraak geldt dat zakelijke informatie zich alleen op zakelijke systemen mag bevinden. Daarbij hoeft het overigens nog niet eens om privacygevoelige gegevens te gaan (de AVG-kaart wordt veel te vaak gespeeld om dingen maar niet te hoeven doen).

En als je dan vervolgens het beveiligingsbeleid erop napluist, dan kom je er – hopelijk niet tot je verbazing – achter dat je inderdaad wordt geacht om zakelijke informatie niet naar buiten te mailen, vanwege de consequenties die dat heeft voor de vertrouwelijkheid van die gegevens. Overigens staan veel dingen niet letterlijk in het beleid uitgeschreven, maar moet je de regels voor een bepaalde situatie interpreteren. Daar zijn mensen zoals ik dan weer handig voor.

Wist je trouwens dat je ook bij het gebruik van mobiele apparaten je gezonde verstand mag gebruiken? Een lunchafspraak via WhatsApp regelen? Prima. Zakelijke informatie delen via diezelfde weg? Niet doen. Maar die chats zijn toch versleuteld? Ja, maar wie hebben de sleutel allemaal? Je communicatie gaat via Amerikaanse servers en de Amerikaanse wetgeving is niet kinderachtig als het gaat om het inzien van gegevens door opsporingsdiensten.

Nederlandse fietsers lappen nog wel eens wat verkeersregels aan hun laars, waarschijnlijk omdat hun persoonlijke inschatting op zo’n moment is dat het wel kan (licht staat op rood, maar er is geen ander verkeer). Soms echter ook omdat ze risico’s verkeerd inschatten, en dan gebeuren er ongelukken. Het is verstandig om te beseffen waar je wel en niet verstand van hebt. Daarom is de combinatie van zo’n gezond-verstand-appèl en een verbod zo gek nog niet.

En in de grote boze buitenwereld …


... ontvangt de Autoriteit Persoonsgegevens zo’n tweeduizend meldingen van datalekken per maand. De grootste gaten zitten bij ziekenhuizen en apotheken.

... richten ook Amerikaanse phishers hun pijlen op belastingbetalers.

... lees je hier wat de laatste trends op het gebied van phishing zijn.

... zijn nog steeds veel webcams niet goed beveiligd.

... is een kluis met backup-tapes van een verzekeraar gestolen.

... zou je de Boeing Dreamliner kunnen hacken, maar het is niet heel waarschijnlijk dat dat ook daadwerkelijk gebeurt.

... zijn er grenzen aan wat een camera bij je voordeur allemaal mag doen.

... stuurt je tv gegevens naar onder andere Netflix, Google en Facebook. Ook als hij uitstaat, ook als je geen abonnement hebt.

... betekent ‘weggooien’ bij WhatsApp nog niet dat ook echt alles weg is.


vrijdag 6 september 2019

Vliegenmepper


Een van de eerste aankopen op onze vakantiebestemming was een vliegenmepper. Het werd er een met variabele reikwijdte: hij heeft een telescopische steel, als een radioantenne. Denkt zo’n vlieg: “Hij kan er toch lekker niet bij”, ben ik ‘m lekker te slim af. Op zich heb ik niets tegen vliegen, maar ze moeten me niet lastigvallen. Zeker niet bij het eten. Onze vliegenmepper heeft heel wat slachtoffers gemaakt.

Zo werden we op een avond belaagd door zeker een dozijn van die vieze, dikke vliegen die waarschijnlijk ook nog gemeen kunnen steken. Ik ben daar toen flink tekeergegaan (er zijn filmbeelden van, maar die zijn alleen voor huiselijk gebruik). Onthoud: Slag bij Livaki, 2019: agressieve vliegen leden zware verliezen tegen Nederlandse toerist met lokale vliegenmepper.

Een andere vakantiescène. Ik lag daar vredig te dobberen op een pool floaty (zeg maar een luchtbed 2.0), had ik de hele tijd wespen om me heen – of misschien waren het wel bijen, want de huiseigenaar, die op de bovenverdieping woonde, was imker. Die insecten waren ook wel irritant, maar er zijn meerdere redenen om hen niet met de vliegenmepper te lijf te gaan: het zijn nuttige beestjes en als ze met z’n allen kwaad op je worden, dan heb je een probleem. Ik had ook net het zoveelste artikel in de vaderlandse pers gelezen over waarom ze in augustus agressief zijn, met tips wat je ertegen kunt doen. Maar ja, daar had ik zo midden in dat zwembad niet veel aan.

En toen kwamen de zwaluwen. Ik had al vaker gezien dat ze laag over het water scheerden om de insecten eruit te vissen. Zouden ze mij komen ontzetten, zodat ik rustig verder kon dobberen? Ze plukten inderdaad insecten uit de lucht, maar niet de mijne.

Ik moest onwillekeurig aan inhuurkrachten denken. Bij grote, complexe, diffuse projecten over zaken waarbij we zelf (nog) onvoldoende kennis van de materie hebben, wordt al gauw geroepen dat we externe hulp nodig hebben. Die mensen zijn dan altijd heel vriendelijk, maken een uiterst deskundige indruk (ze kennen de lesstof op hun duimpje) en zijn al gauw druk in de weer met spreadsheets en zo. Dat kan maanden, ja zelfs jaren zo doorgaan. Al die tijd blijven ze net zo vriendelijk, deskundig en druk als in het begin. Daarmee weten ze ook het management te imponeren.

En dan komt er een dag dat je afscheid van ze neemt, want je kunt nu wel op eigen benen staan. Althans, dat denk je. Want wat blijkt? Je hebt al die tijd aan het handje van die inhuurkracht gelopen en zijn koers gevolgd. Soms had je kritische vragen of opmerkingen, maar daar kwam je altijd samen uit. Had je zelf een goed idee, dan werd dat soepel overgenomen (wellicht ook door de volgende klant van de inhuurkracht...). Maar meepraten en bijsturen is toch heel wat anders dan zelf aan het roer staan. Je weet wat je wilt bereiken, maar je vraagt je opeens af of je wel de goede koers vaart. Kijk je achterom, naar wat je samen met de inhuurkracht allemaal hebt gedaan, dan zie je geen mooi, recht kielzog, maar een zigzaggend schuimspoor. Een enkele keer zie je zelfs dat je een rondje hebt gevaren. Dacht je op een ferry van A naar B te zitten, blijkt het een cruiseboot te zijn geweest.

Ik heb hiervan geleerd dat je een inhuurkracht maar beperkt als leermeester moet gebruiken. Maak eerst jezelf de stof eigen en huur dan pas iemand in. Dat praat makkelijker en stelt je beter in staat om te beoordelen of de inhuurkracht jouw koers vaart. Wat je zojuist hebt gelezen is dus geen aanklacht tegen inhuurkrachten, maar meer een gebruiksaanwijzing.

De zwaluwen waren heel druk, maar niet met mijn probleem. Maar omdat ik die krantenartikelen had gelezen, wist ik wat me te doen stond. ‘s Avonds kwam er een bakje azijn buiten op de eettafel te staan. Dat hield de insecten op afstand.

In verband met een meerdaagse conferentie heb ik volgende week geen  tijd om een Security (b)log te maken.

En in de grote boze buitenwereld …


... zijn vele miljoenen telefoonnummers van Facebook-gebruikers uitgelekt. Die nummers kunnen misbruikt worden om allerlei accounts over te nemen via SIM-swapping-aanvallen.

... is de gemeente Lochem behoorlijk transparant over een flinke hack.

... verdienden criminelen een behoorlijk bedrag door met behulp van kunstmatige intelligentie de stem van de baas van een bedrijf te imiteren.

... was het Twitter-account van de Twitter-baas gehackt.

... kun je in de nasleep van dat incident niet meer tweeten via sms.

... levert jouw deurbel misschien wel beelden aan de politie (in ieder geval in de VS).

... kaatst Huawei de bal terug met de bewering dat ze zijn gehackt door de VS.

... is nu een officiële Nederlandse vertaling van het Traffic Light Protocol beschikbaar, waarmee documenten en e-mails geclassificeerd kunnen worden. (Het TLP komt overigens niet in de plaats van het in het VIR-BI beschreven rubriceringsschema van de Nederlandse overheid, dat de termen Departementaal Vertrouwelijk en Staatsgeheim Confidentieel/Geheim/Zeer Geheim hanteert.)

... heeft een operator van het Satori-botnet zichzelf schuldig verklaard.

... hebben de Russen digitale aanvallen uitgevoerd vanuit... Meppel.

... valt ook je virtuele geld straks onder het toezicht van De Nederlandsche Bank.

... heeft Business Email Compromise (waaronder CEO-fraude) ransomware ingehaald als grootste dreiging.

... heeft een Nederlandse spion in 2007 het Stuxnet-virus bij een Iraanse nucleaire installatie naar binnen gesmokkeld.