Brandjes blussen

Foto: auteur

De vakantie is mijn favoriete periode om verhalen voor deze blog te verzamelen. Je komt in andere landen en proeft van andere culturen. Die culturen beperken zich niet tot lekker eten, mooie gebouwen en vriendelijke mensen. Daarom gaat er zelden een zomer voorbij zonder dat ik iets bruikbaars oppik.

Zoals deze zogenaamde brandslang. Ik vond het vrij bijzonder, een brandslang bij een vakantiehuis; dat heb ik niet eerder gezien. Nieuwsgierig opende ik de brandslangkast. Daarin bevond zich een bouwpakket, bestaande uit een paar meter bijeengebonden tuinslang, een spuitstuk en een paar klemmetjes.

Ik zie het al voor me. Vlam in de pan. Je herinnert je die rode kast, sprint erheen en ziet dat de ‘brandslang’ met drie stevige plastic strips bijeengehouden wordt. Je snelt terug het inmiddels brandende huis in om een mes of schaar te halen. Hoestend van de rook weet je de slang uit te rollen. Je steekt het spuitstuk in het ene uiteinde en kijkt beteuterd naar het andere uiteinde. Je handen graaien tevergeefs in de brandweerrode kast, op zoek naar een koppelstuk om de slang aan de kraan aan te sluiten. Ondertussen is deze brandkast het enige wat nog over is van je vakantieverblijf. Het duurde allemaal te lang. En de brandweer heeft in deze contreien doorgaans een wat langere aanrijtijd dan bij ons thuis, denk ik. [Even terzijde: een pan met olie of vet nooit met water blussen.]

Men heeft het product aangeschaft, maar verzuimd het te installeren. Het ICT-equivalent daarvan is dat je een product niet (goed) configureert, dus dat je de instellingen niet aanpast aan jouw behoeften. Of aan de beveiligingsvoorschriften van de organisatie. Dat kan ertoe leiden dat alle netwerkpoorten openstaan (wat een enorm aanvalsoppervlak creëert), of dat gegevens ongecontroleerd in de cloud terechtkomen, of dat een product geen updates ontvangt, om maar eens een paar doemscenario’s te schetsen.

Ah, dat is iets voor ICT’ers, hoor ik je denken. Dat gaat mij als gewone gebruiker niet aan. Maar dat is niet helemaal waar – of misschien wel helemaal niet waar. Want ook als eindgebruiker maak je soms keuzes die van invloed kunnen zijn op de organisatie. Omdat weliswaar veel is dichtgetimmerd, maar er toch ook nog veel mogelijk is. En dan geldt niet: als iets kan, dan mag het ook. Je kunt misschien een app installeren om die zakelijk te gaan gebruiken, maar mag het ook? En als het mag, kun je dan bijvoorbeeld kiezen tussen opslag van de gegevens in de cloud en lokaal op het apparaat? En wat is in welke situatie toegestaan? Dat is allemaal nog niet zo gemakkelijk.

Voorschriften zijn steeds in ontwikkeling, en soms zijn ze er domweg nog niet, bijvoorbeeld als het om nieuwe technologie gaat. Dat hebben we gezien bij de opkomst van de cloud en het herhaalde zich toen consumenten-AI op het toneel verscheen. Dat maakt het natuurlijk extra lastig. Voor een organisatie is het dan belangrijk dat niet iedereen zomaar z’n eigen gang gaat, want dan wordt het rommelig (om het woord chaotisch maar te vermijden).

Ook thuis doe je er goed aan om naar instellingen van apparaten te kijken. Wijzig bijvoorbeeld een in de fabriek ingesteld wachtwoord in een eigen wachtwoord (dat je natuurlijk opslaat in je password manager). Kan het ding iets waar je geen gebruik van maakt? Heb je bijvoorbeeld een NAS (een netwerkschijf) die van buitenaf benaderbaar is, maar maak je daar nooit gebruik van? Check dan of die functie uit staat. Want hoe minder openingen jij hackers biedt, hoe eerder ze een ander slachtoffer zoeken.

 

En in de grote boze buitenwereld …

• gebruikten phishers hulp-op-afstand-software en Canadese belastingformulieren in een internationale campagne.
• houdt deze website AI-ongelukken en -jailbreaks bij.
• hebben cybercriminelen de zomervakantie overgeslagen.
• liet een hacker, die volop AI gebruikte, ook nog een auditrapport achter bij zijn slachtoffer.
• bevat Google duizenden misleidende advertenties, ontdekten onderzoekers met behulp van een tool van Google.
• stuurde een ethische hacker, die geen reactie kreeg, een mail vanuit een account van dat kwetsbare bedrijf.
• gebruikten hackers AI guardrails om AI-gebaseerde security tooling uit te schakelen.
• biedt een bedrijf het verwijderen van AI guardrails juist als dienst aan.
• heeft AI al best vaak op eigen houtje bedrijven gehackt.
• worden fake CAPTCHA's gebruikt voor social engineering.