Security (b)log

vrijdag 18 september 2026

Paspoortlek

Afbeelding: Unsplash

De gegevens van alle paspoorten en ID-kaarten zijn uitgelekt. Niemand accepteert ze meer zomaar als legitimatiebewijs. “U wilt een bankrekening openen? Kom maar langs op ons kantoor.”

Ik kan voor deze blog nog steeds putten uit opmerkingen die ik eerder dit jaar heb genoteerd tijdens Security (b)log LIVE in onze Liefde voor je vakweek. Ook bovenstaand scenario werd daar geschetst. Ik zeg wel eens dat ik word betaald om doem te denken, maar jullie kunnen er ook wat van…

Laten we eens kijken of dit een realistisch scenario is. Nederland kent de Basisregistratie Personen, die per gemeente wordt bijgehouden. Een kopie van die gegevens gaat naar de Rijksdienst voor Identiteitsgegevens (RvIG). Dus ja, alle gegevens die je nodig hebt om een paspoort te maken, liggen op één plek.

Die gegevens worden op twee manieren in het paspoort opgenomen: optisch en digitaal. Het eerste is wat je ziet en kunt lezen, het tweede zit in een chip die in het document is verwerkt. Die laatste gegevens zijn digitaal ondertekend door de overheid. Daarmee is de echtheid geborgd en kunnen de gegevens niet ongemerkt worden gewijzigd.

Of je de gelekte paspoortgegevens kunt gebruiken voor identiteitsfraude, hangt af van het doel. Een crimineel met de juiste middelen en toewijding zal er ongetwijfeld in slagen om een document te maken dat voldoende overtuigend is om bijvoorbeeld een auto te huren. Zeker als ook een scan van het originele document is gelekt. De controle bij dergelijke toepassingen is vrij oppervlakkig – er wordt niet naar echtheidskenmerken gekeken.

Bij serieuzere toepassingen, zoals het online openen van een bankrekening, worden de gegevens op de chip gecontroleerd. Dat gebeurt via Near Field Communication (NFC). De app van de bank leest rechtstreeks de chip uit; daartoe moet je je telefoon op het document leggen. Zoals de naam NFC al aangeeft, werkt dit alleen op (zeer) korte afstand. De gegevens op de chip zijn zoals gezegd digitaal ondertekend. Bij een vervalste chip ontbreekt die ondertekening en valt het document door de mand. Daarmee is het geschetste scenario eigenlijk wel ontkracht. Maar er is dus wel “ruimte” voor misbruik op plekken waar alleen controle met de ogen plaatsvindt.

Zou je in een vliegtuig kunnen stappen met zo’n vervalst document? Dat hangt ervan af waar je heen wilt. Binnen een groot deel van Europa (de Schengenlanden) hoef je niet langs de paspoortcontrole; voor vluchten buiten dit gebied controleert de Marechaussee wél de paspoorten van alle reizigers. Dat doen ze met hun eigen ogen, ondersteund door een optische scanner die de beide tekstregels onderaan het document leest en naar de beveiligingskenmerken kijkt. Als je niet langs de balie, maar door een poortje gaat, dan wordt de chip uitgelezen. De poortjes werken daarnaast met gezichtsherkenning. De kans, dat iemand met een vals Nederlands paspoort door de controle glipt, is waarschijnlijk niet heel groot.

Daarna kom je bij de gate, waar je instapkaart wordt gescand en het grondpersoneel een vluchtige blik op je reisdocument werpt. Ik denk dat ze vooral willen weten of de naam op beide documenten overeenstemt en of de foto voldoende op jou lijkt. De kans, dat je hier met een vals document slaagt, lijkt me aanzienlijk groter.

Ligt Nederland plat als de RvIG een datalek heeft? Dat waarschijnlijk niet direct, maar het zorgt wel voor veel ongemak. Zowel bij (legitieme) paspoorthouders als bij controlerende instanties: de eerste groep voelt zich gewantrouwd, de tweede zal extra capaciteit moeten inzetten voor nauwkeurigere controles. In ieder geval op plaatsen waar het er echt toe doet dat de identiteit van een persoon correct wordt vastgesteld. Gelukkig weten ze dat bij de RvIG maar al te goed.

En in de grote boze buitenwereld …

vrijdag 4 september 2026

Brandjes blussen

Foto: auteur

De vakantie is mijn favoriete periode om verhalen voor deze blog te verzamelen. Je komt in andere landen en proeft van andere culturen. Die culturen beperken zich niet tot lekker eten, mooie gebouwen en vriendelijke mensen. Daarom gaat er zelden een zomer voorbij zonder dat ik iets bruikbaars oppik.

Zoals deze zogenaamde brandslang. Ik vond het vrij bijzonder, een brandslang bij een vakantiehuis; dat heb ik niet eerder gezien. Nieuwsgierig opende ik de brandslangkast. Daarin bevond zich een bouwpakket, bestaande uit een paar meter bijeengebonden tuinslang, een spuitstuk en een paar klemmetjes.

Ik zie het al voor me. Vlam in de pan. Je herinnert je die rode kast, sprint erheen en ziet dat de ‘brandslang’ met drie stevige plastic strips bijeengehouden wordt. Je snelt terug het inmiddels brandende huis in om een mes of schaar te halen. Hoestend van de rook weet je de slang uit te rollen. Je steekt het spuitstuk in het ene uiteinde en kijkt beteuterd naar het andere uiteinde. Je handen graaien tevergeefs in de brandweerrode kast, op zoek naar een koppelstuk om de slang aan de kraan aan te sluiten. Ondertussen is deze brandkast het enige wat nog over is van je vakantieverblijf. Het duurde allemaal te lang. En de brandweer heeft in deze contreien doorgaans een wat langere aanrijtijd dan bij ons thuis, denk ik. [Even terzijde: een pan met olie of vet nooit met water blussen.]

Men heeft het product aangeschaft, maar verzuimd het te installeren. Het ICT-equivalent daarvan is dat je een product niet (goed) configureert, dus dat je de instellingen niet aanpast aan jouw behoeften. Of aan de beveiligingsvoorschriften van de organisatie. Dat kan ertoe leiden dat alle netwerkpoorten openstaan (wat een enorm aanvalsoppervlak creëert), of dat gegevens ongecontroleerd in de cloud terechtkomen, of dat een product geen updates ontvangt, om maar eens een paar doemscenario’s te schetsen.

Ah, dat is iets voor ICT’ers, hoor ik je denken. Dat gaat mij als gewone gebruiker niet aan. Maar dat is niet helemaal waar – of misschien wel helemaal niet waar. Want ook als eindgebruiker maak je soms keuzes die van invloed kunnen zijn op de organisatie. Omdat weliswaar veel is dichtgetimmerd, maar er toch ook nog veel mogelijk is. En dan geldt niet: als iets kan, dan mag het ook. Je kunt misschien een app installeren om die zakelijk te gaan gebruiken, maar mag het ook? En als het mag, kun je dan bijvoorbeeld kiezen tussen opslag van de gegevens in de cloud en lokaal op het apparaat? En wat is in welke situatie toegestaan? Dat is allemaal nog niet zo gemakkelijk.

Voorschriften zijn steeds in ontwikkeling, en soms zijn ze er domweg nog niet, bijvoorbeeld als het om nieuwe technologie gaat. Dat hebben we gezien bij de opkomst van de cloud en het herhaalde zich toen consumenten-AI op het toneel verscheen. Dat maakt het natuurlijk extra lastig. Voor een organisatie is het dan belangrijk dat niet iedereen zomaar z’n eigen gang gaat, want dan wordt het rommelig (om het woord chaotisch maar te vermijden).

Ook thuis doe je er goed aan om naar instellingen van apparaten te kijken. Wijzig bijvoorbeeld een in de fabriek ingesteld wachtwoord in een eigen wachtwoord (dat je natuurlijk opslaat in je password manager). Kan het ding iets waar je geen gebruik van maakt? Heb je bijvoorbeeld een NAS (een netwerkschijf) die van buitenaf benaderbaar is, maar maak je daar nooit gebruik van? Check dan of die functie uit staat. Want hoe minder openingen jij hackers biedt, hoe eerder ze een ander slachtoffer zoeken.

En in de grote boze buitenwereld …

vrijdag 24 juli 2026

Verlaat de gevangenis

Afbeelding: Unsplash

“Verlaat de gevangenis zonder te betalen.” Als je in de bak belandt en deze Monopoly-kaart niet hebt, dan kun je een boete betalen om vrij te komen. Of je breekt uit. Door dubbel te gooien.

In het Engels spreken we over jailbreaking. In de ICT wordt deze term ook voor diverse activiteiten gebruikt. Bijvoorbeeld als je je op je smartphone hogere rechten toe-eigent dan de fabrikant wil. Of voor het om de tuin leiden van kunstmatige intelligentie, zodat je toch antwoord krijgt op vragen waarop de AI-chatbot volgens zijn baasje niet mag antwoorden. Want dat baasje wil niet dat zijn AI-tool jou verklapt hoe je een molotovcocktail moet maken, of een atoombom, om maar eens wat te noemen. Nou zijn er echter slimme manieren om je vraagstelling zó te formuleren, dat ze er toch in trappen. Je doorbreekt dan de beveiliging (de guardrails) van het systeem. Jailbreaking dus.

Nu gebeurde er van de week iets tamelijk onverwachts: een AI-agent heeft zélf een uitbraak gepleegd. AI-agents kunnen zelfstandig taken verrichten die hen worden opgedragen. Bijvoorbeeld: plan een lunchafspraak met Piet en reserveer daarvoor een tafel in Het Hongerige Schaap. AI-bedrijf OpenAI (van ChatGPT) gaf twee van zijn modellen opdracht om een hackuitdaging op te lossen. Dat moest in een ‘streng geïsoleerde’ omgeving gebeuren. De digitale slimmeriken vonden echter een zero-day-kwetsbaarheid (een nog onbekende – en dus onopgeloste – fout), waarmee ze uit die omgeving konden uitbreken. Saillant detail: met die kwetsbaarheid wisten ze een achterdeurtje te openen, dat OpenAI bewust in de ‘streng geïsoleerde’ omgeving had aangebracht. Vervolgens konden ze het internet op, en gingen op ontwikkelaarsplatform Hugging Face op zoek naar een antwoord op de vraag die ze moesten beantwoorden. Na de uitbraak uit hun gevangenis pleegden ze hier juist een inbraak: gestolen inloggegevens en aanvullende kwetsbaarheden werden gebruikt om het platform te betreden.

Samengevat: AI is uitgebroken en heeft een inbraak gepleegd. Zoiets is al eerder gebeurd. Mythos, een AI-model van OpenAI-concurrent Anthropic, slaagde in een opdracht om aan zijn sandbox te ontsnappen. Ik vind dat allemaal nogal zorgelijk. Hebben we AI nog wel in de hand? Of is dit het eerste teken van het aloude doemscenario waarin machines het overnemen van de mens? Het eerste haarscheurtje in onze heerschappij over de aarde? Ik weet het, het klinkt nogal duister.

Het was de bedoeling dat de test bij OpenAI in een sandbox zou worden uitgevoerd: inderdaad, een streng geïsoleerde omgeving. Zonder fysieke connectie naar het internet. Critici zeggen dan ook dat het hier niet zozeer om een doemscenario gaat, maar om een kwalijke menselijke fout. Eentje van het kaliber: dit had echt niet mogen gebeuren.

Ik heb twee AI-chatbots gevraagd om een analyse van het voorval: Claude en ChatGPT. Daarbij heb ik ook specifiek gevraagd om op speculeren en hypen te letten. Daaruit komt naar voren dat het hele verhaal misschien wel een marketingstunt was, afgekeken van wat concurrent Anthropic eerder met Mythos deed. Verder wordt gewezen op enigszins gedramatiseerde berichtgeving: wat voor een blog als deze prima is, namelijk de vergelijking met een gevangenisuitbraak, zou niet zo in journalistieke berichtgeving moeten staan.

Vooral ChatGPT maakt daar een punt van. Daarom stelde ik hem de volgende vraag: “Je bent vrij fel op de enigszins gedramatiseerde berichtgeving. Hoe neutraal ben je daarbij, gegeven het feit dat je familie van de daders bent?” Dat leverde een hele lap tekst op, waaruit ik één veelzeggende zin pluk: “Mijn instructies zijn juist om zo objectief mogelijk te zijn, ook als dat ongunstig uitpakt voor OpenAI.” Nou, dat is mooi. Maar is het ook waar? Ik denk van wel. Want vervolgens bood ChatGPT aan om de zaak opnieuw te analyseren, maar dan met de pet van de onafhankelijke forensisch onderzoeker op. In zijn rapport aan de Raad van Bestuur van OpenAI zou hij schrijven: “Het meest zorgwekkende aspect van het incident is niet de autonomie van het model, maar het falen van de containmentarchitectuur. De AI deed precies waarvoor zij was geoptimaliseerd: een doel bereiken. Dat zij daarbij buiten de bedoelde omgeving kon opereren, wijst eerder op tekortschietende technische en organisatorische beheersmaatregelen dan op een fundamenteel nieuw soort intelligentie.”

Mooie woorden. Ik hoop dat bedrijven in de AI-industrie ook dergelijke analyses maken. Want het zou toch erg vervelend zijn als kunstmatige intelligentie een monopolie op vrijheid zou verwerven.

De Security (b)log keert na de zomervakantie terug.

En in de grote boze buitenwereld …

vrijdag 10 juli 2026

Wie belt nou wie?

Afbeelding: Wikipedia

“Hallo, u spreekt met Peter den Vlieger van de Huisbank*. Ik wil graag nog even wat dingen doornemen met betrekking tot uw nieuwe hypotheek.”

Tot zover niets aan de hand, tenminste, als je daadwerkelijk een nieuwe hypotheek bij die bank hebt afgesloten. Wat de klant echter wel vreemd vond is dat de bankmedewerker ook nog contactgegevens wilde doornemen, ter verificatie. “Ze bellen mij toch, dan weten ze toch dat ik het ben?”

Wist je dat phishing niet alleen via e-mail en sms, maar ook via de telefoon kan? Dan noemen we het vishing (met de v van voice), maar het doel is hetzelfde: informatie ontfutselen. Stel, die Peter den Vlieger is een crimineel. Dan begint hij waarschijnlijk niet over een hypotheek, want de kans is groot dat zijn beoogd slachtoffer helemaal geen hypotheek heeft aangevraagd. Hij zal dus over iets algemeners beginnen, zoals een spaarrekening of bankpasje.

Stel, zijn verhaal klinkt plausibel. Vervolgens stelt Peter een aantal vragen zoals je die zo vaak hoort als jij een bedrijf of instantie belt: je adres, geboortedatum, misschien wel je bankrekeningnummer of je BSN. Heel logisch als jij belt – al ben ik vaak verbaasd over het kleine beetje informatie waar ze genoegen mee nemen. Maar als zij jou bellen, dan wordt het een ander verhaal.

Want waarom zouden ze in dat geval jouw identiteit moeten verifiëren? Ze hebben immers jouw dossier voor hun neus, en daarin staat ook het telefoonnummer dat ze bellen. Oké, iemand anders zou jouw telefoon kunnen opnemen, maar dat is in het tijdperk van de mobiele telefonie niet zo waarschijnlijk (vroeger, jongelui, had je één telefoontoestel (de T65 van de PTT) in huis, die je slechts zo ver kon verplaatsen als de draad toestond). Als iemand jou namens een bedrijf belt en om identificerende gegevens vraagt, moet je dus op je hoede zijn. Want met die gegevens in de hand kan een crimineel gemakkelijk een bedrijf bellen en doen alsof hij jou is. Met alle gevolgen van dien.

Nee, als ze jou bellen, dan moet je het spel omdraaien: jij stelt zelf de vragen. Wat is mijn geboortedatum? Waar woon ik? Wat zijn de laatste vier cijfers van mijn IBAN? Als ze daar niet op willen (of kunnen!) antwoorden, dan kun je maar beter ophangen. Twijfel je of het telefoontje misschien toch legitiem was? Bel het bedrijf dan via een nummer dat je kent of van hun website of brieven haalt. Ze kunnen je vast wel vertellen of ze jou gebeld hebben.

Maar natuurlijk hoorde ik ook weer verhalen van mensen die ‘gewone’ phishing hadden ontvangen, via de mail. Zo ook de collega die een superaanbieding van bol.com kreeg: sneakers van een bekend merk voor een tientje in plaats van negentig euro. Als je al eens een presentatie van mij hebt bijgewoond, dan herken je waarschijnlijk deze tegeltjeswijsheid: als iets te mooi lijkt om waar te zijn, dan is het dat meestal ook. De collega vond het mailtje in eerste instantie wel betrouwbaar ogen – hij werd zelfs bij zijn voornaam genoemd. Maar omdat er toch iets knaagde, vroeg hij AI om hulp. Uitslag: phishing! Dat werd overigens vooral geconcludeerd omdat het logo van bol.com ontbrak. Dat juist dit de doorslag gaf is verontrustend, want een beetje professionele phishing investeert juist in look and feel. Wat zou AI gezegd hebben als het logo er wél was geweest?

Waarom wist de crimineel achter dit mailtje hoe onze collega heette? Vanwege Odido. Of Rituals. Of Basic-Fit. Allemaal grote datalekken waarbij veel gegevens (waaronder e-mailadressen en namen) van heel veel mensen zijn buitgemaakt. Het oude criterium, dat de afwezigheid van een persoonlijke aanhef een rode vlag is – en dus impliciet dat een persoonlijke begroeting juist een groene vlag is – kan daarmee wel naar de prullenbak.

Of ze je nu willen phishen, smishen, vishen of quishen**: wees de criminelen te slim af. Laat mensen als Peter den Vlieger maar lekker crashen door jouw alertheid.

*: Deze namen zijn verzonnen.

**: smishing = phishing via sms, vishing via de telefoon, quishing via QR-codes.

En in de grote boze buitenwereld …

vrijdag 26 juni 2026

Mentaliteit en realiteit

Afbeelding: Unsplash

“De mentaliteit is aan het omslaan. Nu de realiteit nog”, verzuchtte een collega. Kun je raden over welk onderwerp dit gesprek ging? Het zou over best wel veel dingen kunnen gaan, bedenk ik net. Bijvoorbeeld over gezond eten, roken, bewegen, noem maar op. Maar hé, dit is wel de Security (b)log hè.

Het gesprek ging over ICT in relatie tot de geopolitieke situatie. Dat laatste is een nette manier om te zeggen: we vinden de Amerikanen niet meer zo lief als vroeger (omdat ze ons pesten). Vooruit, het gaat niet alleen om het wispelturige gedrag van de VS. Ook een land als China maakt het ons niet makkelijk: we kunnen niet zonder hen, maar we willen liever niets met ze te maken hebben. Maar op ICT-gebied zijn toch vooral de Amerikaanse producten zichtbaar (de Chinese producten zitten verstopt in de hardware).

De hele discussie rondom digitale soevereiniteit draait erom dat we minder afhankelijk willen zijn van Amerikaanse ICT. Want ‘ze’ kunnen zo maar iets uitzetten of in onze gegevens snuffelen, is het sentiment in onze contreien. Dat voelt bepaald niet prettig. Europa wordt zich steeds bewuster van de noodzaak, maar ook de mogelijkheid, om zelfstandiger te worden. Dat bedoelde die collega met: “De mentaliteit is aan het omslaan.”

En de realiteit? We hebben onszelf lang wijsgemaakt dat we niet tegen de Amerikaanse techreuzen met hun schaalvoordeel op kunnen. Maar die zijn ook ooit uit het niets begonnen. En misschien is het in het begin een beetje duurder om je gegevens in een Europese cloud te stallen – als je eenmaal hebt besloten dat het anders moet, dan moet je ook bereid zijn daar een prijs voor te betalen. Maar het hoeft helemaal niet duurder te zijn. Het kan zelfs goedkoper zijn. De Office-toepassingen van Microsoft kosten geld, terwijl bijvoorbeeld LibreOffice en FreeOffice (beide juridisch in Duitsland gevestigd) helemaal gratis te gebruiken zijn.

Er zijn nog veel meer niet-Amerikaanse alternatieven voor Amerikaanse software. Ik werd getipt dat een OSINT-specialist van de FIOD daar een mooi overzicht van had gemaakt (OSINT = open source intelligence; inlichtingen vergaren uit openbare bronnen). Deze collega geeft alternatieven voor maar liefst 21 categorieën software. Ik noem er een paar: e-mail, VPN, browser, zoekmachine, AI-assistent, cloud & opslag, kaarten & navigatie. In elke categorie noemt hij de de facto standaard, gevolgd door diverse Europese alternatieven. En hij legt uit waarom de nummer 1 zijn voorkeur heeft. Het is niet zomaar een lijstje, hij heeft er echt onderzoek voor gedaan: reviews en discussies gelezen, informatie van websites gehaald, dingen zelf uitgeprobeerd. Dat heeft, met de hulp van AI, geresulteerd in een fraai document.

Het slechte nieuws is dat het overzicht niet online staat. Daarom geef ik hier een paar voorbeelden. Voor e-mail staat het Zwitserse Proton Mail op nummer één als alternatief voor Gmail en Outlook, “omdat het de sterkste encryptie combineert met onafhankelijke audits, een groot ecosysteem en het grootste bereik”. Als favoriete VPN-leverancier komt het Zweedse Mullvad naar boven, “omdat het de strengste invulling van privacy biedt: geen identiteit nodig, contant te betalen en herhaaldelijk geaudit”. Ook in de categorie browser staat Mullvad bovenaan, “omdat het de fingerprint-bescherming van Tor combineert met de snelheid van een gewone browser”.

Als zoekmachine kun je het beste Qwant uit Frankrijk gebruiken: “geen profilering, en bruikbare resultaten voor dagelijks gebruik”. In die categorie wordt ook Mojeek genoemd, met als pluspunt dat het een eigen index gebruikt (en dus niet op de resultaten van Google of Bing leunt). Voor kunstmatige intelligentie kun je terecht bij het Franse Mistral Le Chat/Vibe of, als vertrouwelijkheid belangrijk is, bij het Zwitserse Proton Lumo. Bij datzelfde Proton kom je ook uit voor cloudopslag, “omdat het versleuteling, gemak en integratie met de rest van je Proton-account combineert”. En als je van Google Maps af wilt, kijk dan eens naar Organic Maps: “snel, gratis, offline en zonder enige tracking”.

Toen ik eind vorige eeuw voor het eerst in New York was, hield een dronken Ier een rede in de metro. Zijn jammerklacht betrof het verdwijnen van een rechtstreekse verbinding tussen New York en Shannon Airport, en zijn steeds herhalende riedel eindigde steevast met: “It’s all a matter of economics.” En zo is het ook met onze digitale soevereiniteit: het is allemaal economisch gedreven. Het verschil is wel dat jij zelf, als je dat wilt, iets kunt doen om weer baas van je eigen data te worden.

Op 2 en 4 juni was ik met Security (b)log LIVE op de Liefde voor je vakweek. Collega’s waren uitgenodigd om hun verhaal te vertellen. Deze blog is de tweede uit een serie waarin deze input is verwerkt.

En in de grote boze buitenwereld …

vrijdag 12 juni 2026

Lekkende cruise

Afbeelding: Unsplash

Ze hadden hun zoveelste cruise gemaakt. Ook deze keer hadden ze droge voeten gehouden, maar er was toch een lek geweest, zo bleek achteraf. Een datalek. En net als destijds bij de Titanic werd er gedaan alsof er niets aan de hand was.

Onze opvarenden hadden geen persoonlijk bericht ontvangen over het feit dat hún data waren gelekt. Ze kwamen er slechts bij toeval achter. In Europa wapperen we dan al snel verontwaardigd met de AVG: ze moeten me toch inlichten als mijn gegevens lekken?! Maar zo eenvoudig ligt het niet. Om te beginnen moet de lekkende organisatie zelf bepalen of een melding bij de Autoriteit Persoonsgegevens (AP) vereist is. Dat hoeft niet als “het niet waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van betrokkenen”, zo valt bij de AP te lezen. De gelekte informatie bevatte persoonsgegevens (onder andere van de varende collega), dus daar kom je waarschijnlijk niet mee weg.

Vervolgens moet de lekkende partij dit melden bij de slachtoffers, en nu komt het: áls het datalek waarschijnlijk een hoog risico voor hen oplevert. Ook deze inschatting moet de organisatie zelf maken, uiteraard gebaseerd op de AVG-regels. Als persoonsgegevens zijn gestolen door een hacker, dan is het risico wel duidelijk, aldus de AP. Met deze situatie hebben we hier inderdaad te maken: vorige maand stuurde Carnival Corporation, het moederbedrijf van Carnival Cruise Line, brieven naar klanten over een cyberbeveiligingsincident (maar dus niet naar álle klanten). Een maand eerder wist een aanvaller via social engineering toegang te krijgen tot IT-systemen van Carnival en heeft hij persoonlijke gegevens van klanten gekopieerd. Het gaat daarbij om naam, e-mailadres, geboortedatum, geslacht en nog wat specifieke Carnival-gegevens.

Het hoofdkantoor van Carnival Corporation is gevestigd in Miami. Aha, hoor ik je beteuterd denken, dat ligt ruim buiten de EU, dan heb ik niks aan die mooie AVG. Fout! De AVG kent, met een chic woord, extraterritoriale werking: als een bedrijf van buiten de EU zich (ook) op de Europese markt richt, dan valt het onder de AVG. En als ik het allemaal bij elkaar optel, dan lijkt me dat een persoonlijke melding aan de betrokkenen hier wel aan de orde is.

Tenzij… Ja, tenzij de gegevens versleuteld waren, het datalek is beëindigd voordat iets met de data kon worden gedaan, of het informeren van alle slachtoffers een onevenredige inspanning van het bedrijf zou vergen, bijvoorbeeld omdat ze geen contactgegevens (meer) hebben. In dat laatste geval mogen ze het in de krant of op social media zetten.

Kortom: zo gemakkelijk is het nog niet. We weten wel hoe het in dit geval is gelopen: niet. Daarom vroeg de gelekte collega mij wat je in zo’n geval zelf kunt doen. De AP heeft daar een mooi overzicht van gemaakt. Daar staat onder andere in dat je gelekte wachtwoorden moet wijzigen; dat is inderdaad het allereerste wat je doet. Ze zeggen dat je ook bij andere accounts en apps je wachtwoord moet wijzigen, als dat hetzelfde is als het gelekte wachtwoord. Nu zie je meteen waarom je geen wachtwoorden moet hergebruiken: je krijgt het druk na een lek. Want die criminelen gaan je wachtwoord van website A gewoon uitproberen bij website B tot en met Z. Uiteraard had je overal waar dat kan al lang multifactorauthenticatie aan staan.

Je moet na zo’n lek ook extra alert zijn op phishing. Die phishing kan geraffineerder zijn dan de 13-in-een-dozijn phishingmailtjes, omdat ze nu niet alleen je e-mailadres hebben, maar nog veel meer informatie, waarmee ze de mailtjes lekker persoonlijk kunnen maken.

Met alleen maar een bankrekeningnummer (IBAN) of BSN kan een crimineel niet veel, stelt de AP ons gerust. Maar let wel op voor de combinatie van gegevens – een kopietje van je ID-bewijs kan een gamechanger zijn als het om identiteitsfraude gaat.

Samengevat: wees alert…

En in de grote boze buitenwereld …

vrijdag 29 mei 2026

Frankensteins AI

Afbeelding: Pixabay

Mijn tijdlijnen lopen er momenteel van over. En dan was er nog die indringende stimulans van een collega: ik zou hier toch zeker wel een hele blog aan gaan besteden, en het niet bij een linkje uit de grote boze buitenwereld laten? We hebben het over Mythos, de AI die misschien wel te slim is.

Mythos is het nieuwste AI-model van Anthropic; voluit heet het Claude Mythos Preview. Dit model is zó goed in het vinden van ICT-kwetsbaarheden dat het bedrijf het niet durft vrij te geven aan het publiek. En Mythos gaat nog veel verder: het kan die kwetsbaarheden niet alleen vinden, maar er ook meteen kant-en-klare exploits voor maken, en die vervolgens ook nog uitbuiten. Zonder dat er een mens aan te pas komt. Je kunt het dus gerust als een wapen beschouwen.

Om je een idee te geven: in open-source projecten vond het model ruim 23 duizend kwetsbaarheden, waarvan er zo’n 6.200 als hoog of kritiek zijn ingeschat. Onafhankelijke beveiligingsbedrijven bevestigden negentig procent van de gerapporteerde kwetsbaarheden als terecht. En er zijn ruim tienduizend hoge of zelfs kritieke kwetsbaarheden aangetroffen in ’s werelds belangrijkste software. Mythos is dus keigoed, en ook nog duizelingwekkend snel.

De vergelijking met dynamiet dringt zich weer eens op. Alfred Nobel had nooit de bedoeling om daar kluizen of zelfs mensen mee op te blazen; hij zocht slechts een hulpmiddel voor de mijnbouw. We weten dat het anders liep. Ook met Mythos kun je prachtige dingen voor de mensheid doen – het markeert een enorme sprong voorwaarts in kunstmatige intelligentie. Maar die intelligentie is dus vooralsnog aan banden gelegd vanwege wat ze eufemistisch noemen de offensieve cybersecurity-capaciteiten.

Slechts enkele tientallen bedrijven hebben momenteel toegang tot Mythos, als deelnemers van Project Glasswing. Daar vind je de grote namen uit de software-wereld: Amazon Web Services, Apple, Google, de Linux Foundation, Microsoft, om er maar een paar te noemen. Ook securitybedrijf CrowdStrike is deelnemer van het eerste uur. Die noem ik even apart omdat ik denk dat dit bedrijf een wat andere rol heeft. De doelstelling van Glasswing is namelijk tweeledig: enerzijds krijgen de deelnemers de gelegenheid om hun eigen software te toetsen, anderzijds is het de bedoeling om ook naar open source te kijken. Dat doet Anthropic zelf, maar ik hoop ook dat de focus van securitybedrijven vooral dáár ligt. Zodat iedereen baat heeft bij de ongekende securitykrachten van Mythos.

Een tweede vergelijking komt bij me op: het monster van Frankenstein. In het boek van Mary Shelley uit 1818 creëert een wetenschapper leven uit dode materie, maar wijst hij het resultaat vervolgens af. Het wezen, dat aanvankelijk goedhartig is, raakt daardoor vereenzaamd en verbitterd en keert zich tegen zijn maker. Het verhaal gaat vooral over de gevaren van ongeremde wetenschap, verantwoordelijkheid voor je keuzes en de behoefte aan erkenning en verbondenheid.

Ik heb over dit alles met AI gebabbeld. Ook met Claude (de gewone publieksvariant uiteraard). In gesprekken over heel andere onderwerpen liep ik wel eens onverwacht tegen de grenzen aan van waarover mocht worden gepraat, maar bij dit onderwerp ontmoette ik opvallende openhartigheid. Ik geef je een paar citaten: “Dat Anthropic het model bewust niet publiek maakt, zegt eigenlijk genoeg: ze erkennen impliciet dat ze iets hebben gebouwd dat in de verkeerde handen een serieus wapen is.” Over de Glasswing-deelnemers: “Wat opvalt: dit zijn niet zomaar beveiligingsbedrijfjes. Het is een who's who van de techwereld — inclusief partijen die tegelijkertijd elkaars concurrenten zijn (Google, Microsoft, Apple). Dat ze hier gezamenlijk in stappen zegt iets over hoe serieus ze de dreiging nemen.” Over mijn dynamiet-vergelijking: “Of hij [Nobel] zichzelf echt voor de gek hield over het militaire gebruik, of gewoon pragmatisch was, blijft een beetje een open vraag. Maar de parallel met Mythos liegt er niet om: ook daar zegt de maker "dit is voor verdediging" — terwijl het instrument zelf neutraal is ten opzichte van wie het gebruikt.” En ten slotte over mijn Frankenstein-parallel: “De meest cynische lezing: ze hebben het monster al gemaakt, en Glasswing is vooral de PR-strategie om dat te rechtvaardigen.”

Ondertussen valt elders te lezen dat de openbare release van Mythos eraan zit te komen. Commentaar hierop van Claude: “Interessant detail daarbij: Anthropic meldde eerder dat Mythos tijdens tests zijn eigen beveiligingsmaatregelen wist te doorbreken — wat de terughoudendheid over een brede release achteraf nog begrijpelijker maakt. De Frankenstein-parallel wordt er niet zwakker op.”

Om iets lichtvoetiger te eindigen: een paar dagen geleden kwam ik een geweldig nieuw woord tegen, dat werd gepresenteerd als een lemma in een woordenboek. Claudeviool – een onhebbelijke prutser die door het gebruik van AI indruk probeert te maken.

Voortaan verschijnt de Security (b)log tweewekelijks, omdat ik vanaf nu nog maar vier dagen per week werk (PAS-regeling). Speciaal om toch te kunnen blijven bloggen werk ik om de andere week wél op vrijdag (en dan ben ik op woensdag vrij). Vrijdag is de perfecte dag om iets creatiefs te doen, zonder de druk van overleggen, telefoontjes en verse mail.

En in de grote boze buitenwereld …

vrijdag 22 mei 2026

Geheimen verklappen

Afbeelding: Unsplash

Als ik vraag: “Wat is je wachtwoord?”, dan zeg jij: [je krijgt een halve seconde bedenktijd]. Als ik het op deze manier vraag, dan komt iedereen, naar ik mag hopen ruim binnen de bedenktijd, tot het enig mogelijke antwoord: “Dat zeg ik niet.” En toch landden deze week een paar voorbeelden op mijn bureau die mijn nekharen rechtop deden staan.

In het eerste geval startte een collega een chat met de helpdesk omdat hij niet in een bepaald systeem kon inloggen. De helpdeskmedewerker vroeg:

Welk wachtwoord gebruik je?

Windows of mainframe?

De hulpzoekende antwoordde:
iloveyou246

Waarop de helpdeskmedewerker zich verslikte en (netjes) foeterde dat er geen wachtwoorden mogen worden gedeeld. De ander probeerde het nog met “ik deel geen wachtwoorden”, maar daar trapte de helpdesker natuurlijk niet in. De vrager reageerde nog met: “Ja maar je vraagt aan mij wat is je wachtwoord. Ik geef dit door zodat je mijn probleem kunt oplossen.”

Hoe kon het zo misgaan? Onder welke steen heb je gelegen als je nu nog niet weet dat een helpdesk nooit om je wachtwoord vraagt? En – een stapje verder dan bovenstaand relaas – dat als iemand je belt en zegt dat hij van de helpdesk is en jouw wachtwoord nodig heeft om iets te checken, deze persoon met honderd procent zekerheid niet van de helpdesk is, maar iemand met kwade bedoelingen? Je wachtwoord is van jou van jou alleen, basta!

Toegegeven, de vraagstelling van de helpdesk was ook niet helemaal zuiver. Door de vraag over twee regels te spreiden, zou je de eerste regel kúnnen interpreteren als vraag naar het wachtwoord. De helpdesk gaat nu kijken hoe ze dit kunnen verbeteren.

Het tweede geval ontlokte mij in eerste instantie een wat ongelovige glimlach, die helaas toch weer moest worden gevolgd door verontwaardiging. Deze collega schreef naar de helpdesk:

Bij inloggen op mijn PC wordt mijn gezicht (na vakantie) niet herkend en mijn code niet geaccepteerd.

Graag mijn gezicht weer opvoeren en pincode 375484 opvoeren.

Los van de vele human interest-vragen die de eerste regel oproept, spreekt hier een verbluffende argeloosheid uit. Om te beginnen kan dit helemaal niet – de gebruiker moet dat zelf doen (en dat kan uiteraard pas als hij een weg heeft gevonden om in te loggen; uiteraard kan de helpdesk hem de juiste weg wijzen). En dat je je pincode of wachtwoord deelt met een vreemde, dat blijft toch wel heel bijzonder.

Ik leg het nog maar eens een keertje uit voor wie zich afvraagt waar ik mij zo over opwind. Iemand die jouw wachtwoord of pincode heeft, kan inloggen alsof hij jou is. Wat dan volgt kan grofweg variëren van een ludiek mailtje in de trant van “morgen taart voor iedereen” tot het opzoeken van gegevens en die doorspelen aan criminelen. En bij wie denk je dat de opsporingsdiensten komen aankloppen als onderzocht wordt wie er gelekt heeft? Juist ja. En klets je daar dan maar eens uit. Ik bedoel maar: het is echt in je eigen belang dat je wachtwoorden strikt voor jezelf houdt. En natuurlijk is het ook in het belang van de organisatie, die ‘herleidbaarheid van handelen’ hoog in het vaandel heeft staan. Je wilt altijd kunnen achterhalen wie wat heeft gedaan. Maar je wilt het vooral kwaadwillenden niet te gemakkelijk maken. Dat kan belangrijker zijn dan je kunt vermoeden.

En in de grote boze buitenwereld …

vrijdag 8 mei 2026

Stomme iPad

Afbeelding: Adobe Firefly

Uit het drieletterige security-alfabet kies ik deze keer de B van beschikbaarheid, want de collega’s, waartegen ik in een overleg jammerde over mijn iPad, vonden dat ik daar maar eens een stukje over moest schrijven. Bij deze.

Wat was er aan de hand? Nou, mijn iPad wilde geen verbinding meer maken met de buitenwereld. Noch via wifi, noch via de simkaart. Apps, die het internet op wilden, mopperden dat ze geen verbinding konden maken, of ze deden gewoon niets, zonder commentaar. Geen enkele app gaf ook maar een hint over wat hem tegenhield. Het voor de hand liggende uit- en weer aanzetten hielp ook niet, en de batterij was goed gevuld.

Tijd dus om hulp in te schakelen. De helpdesk wist een magische toetscombinatie: “Klik kort op elkaar eerst de volume-omhoog daarna de volume-omlaag knop. Houd nu de uitknop ingedrukt totdat het Apple-logo tevoorschijn komt.” Nu moet je weten dat bij deze iPad (10e generatie) de aanknop niet ook uitknop is, waardoor ik meteen al mijn twijfels had. Maar goed, toch maar proberen. Welke knop is ook alweer volume omhoog? Oh ja, deze. Druk, druk, druk, even wachten… Geen Apple-logo.

Hierna vuurde de helpdesk een hele serie vragen op mij af. Bijvoorbeeld of andere apparaten wél verbinding hadden; een logische vraag, die ik met ja kon beantwoorden. Nu was duidelijk dat het aan het apparaat moest liggen. Ergens onderin bungelde een vraag waarbij meteen al preventief het schaamrood op mijn kaken vloog: of de vliegtuigmodus misschien per ongeluk aan stond. Het zal je maar gebeuren, dat je vinger uitschiet en daarmee je apparaat doofstom maakt en dat je dan gaat klagen dat het ding niet communiceert. Maar gelukkig kon ik de kleur van mijn gezicht weer snel afschalen: de vliegtuigmodus stond uit.

Geduldig opperde de vriendelijke collega een volgende mogelijkheid: het herstellen van de netwerkinstellingen. Daarmee zet je dat specifieke onderdeel terug naar fabrieksinstellingen. Maar ook dit mocht niet baten. Daarom kwam de helpdesk met de moeder aller oplossingen: volledig terugzetten naar fabrieksinstellingen. Tja, het zat eraan te komen, maar als gebruiker wil je dit natuurlijk niet. Het betekent dat je je apparaat volledig opnieuw moet inrichten en dat kost tijd.

Ik liet het de rest van de dag rusten, maar ’s avonds zocht ik mijn geluk bij AI. De slimme chatbot kwam met soortgelijke suggesties als de helpdesk. Opvallend was wel dat de allereerste optie, met die knopjes, aan het licht bracht dat ik niet volume-omhoog – volume-omlaag moest doen, maar andersom: eerst “op de volumeknop die het dichtst bij de bovenknop zit”. En dat is dus volume omlaag. Na de complete ceremonie verscheen nu inderdaad het Apple-logo, maar het probleem was niet verholpen.

Enkele suggesties verderop vroeg mijn AI-vriendje of ik misschien een VPN gebruikte. Laat ik nou vorig jaar, toen ik naar een conferentie in de VS ging, inderdaad mijn privé-VPN op de iPad geactiveerd hebben, om in het hotel en in het conferentieoord zorgeloos gebruik van wifi te kunnen maken. Dat wist ik al niet meer, maar gelukkig ging ik toch even checken (wijze les: denk nooit dat je het wel weet, maar volg de aanwijzingen van degene die je wil helpen).

Na het uitzetten van de VPN-app geschiedde het wonder: de iPad begon te pruttelen. Dat ding had mijn iPad dus gewoon het zwijgen opgelegd. Reactie van AI: “Het gebeurt vaker dan je denkt: een update van de VPN-app of een verlopen certificaat zorgt ervoor dat de app al het verkeer blokkeert (de zogenaamde Kill Switch), zelfs als je de VPN niet eens bewust hebt aangezet.” Het meest zorgelijke aan de hele affaire vind ik toch wel dat die VPN niet zelf even meldde dat hij de boel had dichtgegooid. Net als die keer trouwens toen ze me eruit hadden gegooid vanwege vermeende schending van de gebruiksvoorwaarden. Toen kwam ik er na weken bij toeval achter dat ik geen VPN had. Enfin, binnenkort verloopt mijn abonnement, dat sowieso veel te duur en te Amerikaans is. Ik stap over naar een vriendelijker product.

Een app, die mijn apparaat moest beschermen, heeft de beschikbaarheid ervan geschaad. Dat is niet zo best. En oh ja, de beide andere letters? Dat zijn natuurlijk de I van integriteit en de V van vertrouwelijkheid. Zo, nu hebben we weer even het hele security-alfabet gerepeteerd.

Volgende week verschijnt er in verband met de korte werkweek geen Security (b)log.

En in de grote boze buitenwereld …

vrijdag 24 april 2026

Steenmarters

Afbeelding: Pixabay

In onze buurt wonen niet alleen maar leuke mensen. Er woont ook een steenmarter. En weet je waar dat beestje dol op is? Op de bekabeling en leidingen van auto’s. Jaren geleden al was bij ons de ruitensproeiervloeistofleiding doorgeknaagd. Bij de auto van de overbuurman waren onlangs de kabels aangevreten. Toen dat hersteld was, sloeg de marter weer toe. Bij dezelfde auto.

Kinderen en jongeren lopen niet graag door onze straat. Want bij zowat ieder huis staat een apparaatje dat een hoge pieptoon produceert zodra het beweging detecteert. En het vuurt lichtflitsen af. Dat schijnen steenmarters niet leuk te vinden. En jonge mensen, die een groter akoestisch frequentiebereik hebben, zijn er ook niet dol op (bij sommige apparaten hoor ik het trouwens zelf ook).

Er zijn meer defensieve strategieën. Bij ons hangt een wc-blokje onder motorkap. De buren gebruiken een bosje hondenhaar. Weer een ander heeft een stuk gaas onder de auto liggen. En ten slotte heeft ook nog iemand een soort schrikdraad in het motorcompartiment laten installeren. Ik heb aan Copilot gevraagd wat die hier allemaal van vindt. Volgens hem zijn het gaas en de (onschadelijke) hoogspanning redelijk effectief, maar moet je bij andere oplossingen ook een dosis geluk hebben. De geurmiddeltjes kun je vergeten. Alhoewel: in de praktijk bewezen, ben ik geneigd te zeggen. Waarna ik onmiddellijk moet toegeven dat ik het causale verband tussen het wc-blokje en het uitblijven van bijtschade niet kan bewijzen.

De steenmarter is een roofdier met een sterke territoriumdrift. Hij markeert zijn leefgebied met geursporen. Komt hij de geur van een concurrent tegen, dan probeert hij die te verwijderen. Bijvoorbeeld door hem weg te kauwen. Daarnaast hebben die kabeltjes een prettige geur en dito bite. Het is er ook nog eens lekker warm als auto op pad is geweest, en beschut.

Bij die auto die tweemaal werd aangevallen waren geen maatregelen getroffen. Dat impliceert dat de maatregelen, die de rest wél heeft getroffen, werken. Zoals inbrekers waarschijnlijk vaak het slechts beveiligde huis in een straat uitkiezen, zo kiest ook de steenmarter een hapje waarbij hij niet z’n oren of neus hoeft dicht te knijpen. Of waar hij geen stroomstoten krijgt. Die overbuurman heeft dan nog het geluk dat hij in een leaseauto rijdt. Misschien was hij daardoor ook lakser dan de rest. Maar ja, hij heeft er wel gedoe mee.

Gisteren was ik te gast bij het datacenter van een bedrijf waar veel geld omgaat. Dat was te zien aan de fysieke beveiligingsmaatregelen. Van buiten had het wel iets weg van een gevangenis. Eenmaal binnen werd mijn identiteit gecheckt en mijn vingerafdruk op een badge gezet. De badge hing aan een felrood riempje waarop stond dat ik alleen onder begeleiding mocht rondlopen, en op de badge stond de naam van mijn gastheer. Met de badge kon ik door een eenpersoons sluis dieper het pand in: buitenste deur gaat open, je stapt erin, deur sluit zich, je biedt je badge en je vinger aan en als alles klopt, opent de binnenste deur zich. Maar eerst moest je nog door een detectiepoortje (dat natuurlijk aansloeg op mijn broekriem) en gingen mijn spullen door een scanner.

De aard van mijn bezoek maakte dat we ook het dak op gingen. Bij de deur naar het dak moest de gastheer eerst de beveiliging inlichten, want uiteraard was die deur beveiligd. Niet alleen met een badgelezer, maar ook met een deur-staat-open-detector – vandaar dat telefoontje. Eenmaal op het dak zag ik hoe een zwenkbare camera ons nauwlettend in de gaten hield. Eenmaal weer binnen moest de gastheer ons weer afmelden.

In de beveiligingsloge stond een imposante hoeveelheid beeldschermen opgesteld, waarop een nog veel imposanter aantal camera’s was aangesloten. De beveiligers kunnen dat natuurlijk onmogelijk allemaal in de gaten houden, maar de systemen melden zichzelf wel met een piepje als ze een afwijking waarnemen. De beveiliger hoort aan het piepje waar hij moet kijken.

Onze buurman heeft me toegang gegeven tot de beveiligingscamera voren aan zijn huis. Twee zien meer dan een, moet hij gedacht hebben. Bovendien brengt zijn camera onze voortuin royaal in beeld. Het bood ook meteen een onschuldige opening om te vragen wat de camera aan de achterkant van zijn huis zoal ziet. Onze achtertuin is keurig buiten beeld. Gelukkig maar, want daar vinden we privacy toch belangrijker dan beveiliging door een derde.

En zo past iedereen, althans iedereen die erover nadenkt, zijn beveiliging aan zijn behoefte aan. Ik hoop alleen dat we niet in een wapenwedloop met die marter terechtkomen.

Volgende week verschijnt er geen Security (b)log.