Lekkende cruise

Afbeelding: Unsplash

Ze hadden hun zoveelste cruise gemaakt. Ook deze keer hadden ze droge voeten gehouden, maar er was toch een lek geweest, zo bleek achteraf. Een datalek. En net als destijds bij de Titanic werd er gedaan alsof er niets aan de hand was.

Onze opvarenden hadden geen persoonlijk bericht ontvangen over het feit dat hún data waren gelekt. Ze kwamen er slechts bij toeval achter. In Europa wapperen we dan al snel verontwaardigd met de AVG: ze moeten me toch inlichten als mijn gegevens lekken?! Maar zo eenvoudig ligt het niet. Om te beginnen moet de lekkende organisatie zelf bepalen of een melding bij de Autoriteit Persoonsgegevens (AP) vereist is. Dat hoeft niet als “het niet waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van betrokkenen”, zo valt bij de AP te lezen. De gelekte informatie bevatte persoonsgegevens (onder andere van de varende collega), dus daar kom je waarschijnlijk niet mee weg.

Vervolgens moet de lekkende partij dit melden bij de slachtoffers, en nu komt het: áls het datalek waarschijnlijk een hoog risico voor hen oplevert. Ook deze inschatting moet de organisatie zelf maken, uiteraard gebaseerd op de AVG-regels. Als persoonsgegevens zijn gestolen door een hacker, dan is het risico wel duidelijk, aldus de AP. Met deze situatie hebben we hier inderdaad te maken: vorige maand stuurde Carnival Corporation, het moederbedrijf van Carnival Cruise Line, brieven naar klanten over een cyberbeveiligingsincident (maar dus niet naar álle klanten). Een maand eerder wist een aanvaller via social engineering toegang te krijgen tot IT-systemen van Carnival en heeft hij persoonlijke gegevens van klanten gekopieerd. Het gaat daarbij om naam, e-mailadres, geboortedatum, geslacht en nog wat specifieke Carnival-gegevens.

Het hoofdkantoor van Carnival Corporation is gevestigd in Miami. Aha, hoor ik je beteuterd denken, dat ligt ruim buiten de EU, dan heb ik niks aan die mooie AVG. Fout! De AVG kent, met een chic woord, extraterritoriale werking: als een bedrijf van buiten de EU zich (ook) op de Europese markt richt, dan valt het onder de AVG. En als ik het allemaal bij elkaar optel, dan lijkt me dat een persoonlijke melding aan de betrokkenen hier wel aan de orde is.

Tenzij… Ja, tenzij de gegevens versleuteld waren, het datalek is beëindigd voordat iets met de data kon worden gedaan, of het informeren van alle slachtoffers een onevenredige inspanning van het bedrijf zou vergen, bijvoorbeeld omdat ze geen contactgegevens (meer) hebben. In dat laatste geval mogen ze het in de krant of op social media zetten.

Kortom: zo gemakkelijk is het nog niet. We weten wel hoe het in dit geval is gelopen: niet. Daarom vroeg de gelekte collega mij wat je in zo’n geval zelf kunt doen. De AP heeft daar een mooi overzicht van gemaakt. Daar staat onder andere in dat je gelekte wachtwoorden moet wijzigen; dat is inderdaad het allereerste wat je doet. Ze zeggen dat je ook bij andere accounts en apps je wachtwoord moet wijzigen, als dat hetzelfde is als het gelekte wachtwoord. Nu zie je meteen waarom je geen wachtwoorden moet hergebruiken: je krijgt het druk na een lek. Want die criminelen gaan je wachtwoord van website A gewoon uitproberen bij website B tot en met Z. Uiteraard had je overal waar dat kan al lang multifactorauthenticatie aan staan.

Je moet na zo’n lek ook extra alert zijn op phishing. Die phishing kan geraffineerder zijn dan de 13-in-een-dozijn phishingmailtjes, omdat ze nu niet alleen je e-mailadres hebben, maar nog veel meer informatie, waarmee ze de mailtjes lekker persoonlijk kunnen maken.

Met alleen maar een bankrekeningnummer (IBAN) of BSN kan een crimineel niet veel, stelt de AP ons gerust. Maar let wel op voor de combinatie van gegevens – een kopietje van je ID-bewijs kan een gamechanger zijn als het om identiteitsfraude gaat.

Samengevat: wees alert…

En in de grote boze buitenwereld …

• zijn nu ook je modieuze data gelekt.
• is Google zelf verantwoordelijk voor AI-samenvattingen.
• houden cybercriminelen van scholen.
• kon iedereen alle gegevens van klanten van ServiceNow inzien, zonder wachtwoord.
• is Fable de afgezwakte versie van Mythos, met heel strakke begrenzingen.
• is het verbod op de Amerikaanse overname van DigiD-hoster Solvinity juridisch een hele kluif.
• meldde de Belastingdienst een datalek dat werd veroorzaakt door het gebruik van Adobe Analytics.
• komt het nieuwe systeem voor de omzetbelasting toch niet geheel in Amerikaanse handen.
• gaan ambtenaren vlammen.

Oliedom

Afbeelding via Unsplash

Meestal zijn datalekken en hacks ongemakken die anderen overkomen. Deze keer is de kans groot dat je zelf beteuterd naar een mailtje van je telecomprovider zit te kijken. Odido heeft namelijk ongeveer een derde van de Nederlandse mobiele markt in handen. Daarnaast leveren ze vaste internetaansluitingen aan een miljoen huishoudens. Ook als klant van Ben ben je trouwens het haasje.

Het nieuws wordt breed uitgemeten in de media. Dat komt natuurlijk in eerste instantie door de omvang: het gaat om 6,2 miljoen accounts, die de criminelen uit het klantcontactsysteem hebben gestolen. Daar zitten ook accounts bij van mensen die al jaren geen klant meer zijn van Odido, ontdekte het bedrijf doordat deze mensen bevreemd reageerden op de mail waarin het bedrijf hen inlichtte over de diefstal. Maar de omvang is niet de enige reden om zenuwachtig te worden. Ook wát er gelekt is draagt daaraan bij. Het gaat namelijk niet alleen om de ‘gebruikelijke’ gegevens zoals naam, adres en e-mailadres. Bij deze hack zijn ook telefoonnummers,  bankrekeningnummers, paspoortgegevens en BSN’s buitgemaakt. En informatie over betalingsachterstanden.

Ongeveer twee miljoen records, met bijna 700 duizend unieke e-mailadressen, zijn inmiddels gepubliceerd, omdat Odido niet aan de eis van ShinyHunters, zoals de criminelen zich noemen, heeft voldaan om ‘een laag 7-cijferig bedrag’ (dus minimaal een miljoen euro) te betalen. En ze dreigen met publicatie van nog meer gegevens. Reden genoeg voor miljoenen mensen om zich zorgen te maken.

Uit de berichtgeving omtrent deze hack spreekt vooral medeleven met Odido en zijn klanten. Waar je in de grote media minder over hoort is de vraag hoe dit heeft kunnen gebeuren. Ik snap ook wel dat ze zich op de slachtoffers richten. Maar toch: hoe heeft dit kunnen gebeuren?

Phishing, beste mensen. Ik hamer er in alle presentaties steeds weer op hoe belangrijk het is dat iedereen weerbaar is tegen deze vorm van cybercrime. Bij Odido is dat deze keer niet gelukt. De phish kwam terecht bij medewerkers van de klantenservice (mogelijk bij een callcenter in het buitenland), die erin trapten en hun wachtwoord prijsgaven. Ook tweefactorauthenticatie (2FA) bleek geen hindernis te zijn: de criminelen belden de medewerkers op en deden zich voor als collega’s van de ICT-afdeling. Zo kregen ze ook de tweede factor in bezit en konden ze inloggen. ShinyHunters heeft hier een mooi staaltje social engineering gepleegd: ze hebben niet het computersysteem gehackt, maar de computergebruikers.

Vervolgens gingen ze gegevens downloaden. Heel veel gegevens. Daar had een automatische noodrem op moeten zitten. Het kan immers nooit de bedoeling zijn dat via een account van de klantenservice zoveel gegevens tegelijk worden gedownload. Het lijkt erop dat daar niet op werd gemonitord. Dat zou betekenen dat niet alleen de organisatorische maatregelen (training) hebben gefaald, maar ook de technische. Dat de training heeft gefaald, kun je bijna niemand kwalijk nemen. Want een zorgvuldig opgestelde phish is nauwelijks van echt te onderscheiden. Oh, wat zou ik deze phish graag eens willen zien. Dat de medewerkers ook hun 2FA opgaven, is trouwens wel een dingetje dat extra aandacht behoeft.

Odido zelf houdt zich erg op de vlakte. Ik verwachtte eigenlijk een melding op de homepage van hun website, maar pas na het nodige graafwerk vond ik de Informatiepagina cyberincident Odido. Daar staat eerst een bijzonder kort officieel statement over de kwestie. Eronder maken ze in koeienletters reclame voor de gratis bescherming tegen onder andere phishing die ze hun klanten bieden (zouden ze die zelf ook gebruiken…?). Pas daarna volgt uitvoerige uitleg over wat er aan de hand is, wat je kunt doen en wat je moet laten. De strekking van het verhaal is dat criminelen, die over de gelekte informatie beschikken, jouw identiteit kunnen aannemen en daarmee op jouw kosten van alles kunnen regelen. Kijk de komende tijd vooral scherp naar facturen die je ontvangt, en check je bankrekening op incasso’s die je niet herkent.

In de veelgestelde vragen werpen ze zelf de vraag op of de beveiliging bij Odido op orde was, maar ze beantwoorden de vraag niet echt. Er staan alleen de gebruikelijke gemeenplaatsen: veiligheid is onze topprioriteit, we werken continu aan verbetering, maar ja, die criminelen zijn ook best wel slim hè.

In de reclametune van Odido zit een mama appelsap (ook wel mondegreen genoemd; je weet wel, dat je (vooral in een liedje) iets anders hoort dan de feitelijke tekst). In de tune wordt de naam van het bedrijf gezongen (‘O-di-do’), maar als je wilt kun je ook verstaan: o-lie-dom. Of Odido inderdaad oliedom was bij het beveiligen van zijn systemen, zal ongetwijfeld worden onderzocht. Maar het is de vraag of wij dat ooit te horen krijgen.

 En in de grote boze buitenwereld …

 … was ik vandaag helaas te druk met andere zaken om deze rubriek te kunnen vullen.

De bellende broekzak

 

Afbeelding via Unsplash

Verkoudheid, files en broekzakgesprekken zijn van die eeuwenoude ergernissen (als in: ze bestonden al in de vorige eeuw) waar de wetenschap maar geen goede oplossingen voor weet te vinden. Ik kom daarop omdat onze zoon, die momenteel de intreeweek van de Universiteit van Amsterdam ondergaat en ‘dus’ niet al te vroeg naar bed gaat, ons in de vorige nacht om 2.48 uur per ongeluk wakker belde. Een typisch broekzakgesprek dus.

Het enige wat we hoorden was hevig geroezemoes uit de een of andere Amsterdamse uitgaansgelegenheid, en de volgende ochtend kregen we daar, via Snapchat, ook de beelden bij geleverd. Voor de zekerheid riepen we nog een paar keer zijn naam in de telefoon, uiteraard zonder reactie. Ach ja, ik word liever zo uit bed gebeld dan dat er echt iets aan de hand is. De schade bleef nu beperkt tot wat hartkloppingen aan onze kant van de verbinding en nog een tijdje wakker liggen omdat ik in gedachten al de contouren van deze blog aan het schetsen was.

Broekzakgesprekken komen tot stand als een telefoon onbedoeld wordt geactiveerd door druk of beweging in de broekzak. Soms leidt een combinatie van toevallige ‘indrukken’ tot een telefoonverbinding. Een andere keer leidt het gewoon tot een scherm dat aangaat en onnodig stroom verbruikt. M’n zoon kan erover meepraten: als hij naar z’n gebruiksstatistieken kijkt, ziet hij enorm veel schermtijd. Het verbaast me dus niks dat we juist door zíjn broekzak werden gebeld.

Nou hoorden wij in dit geval slechts uitgaansgeluiden, maar wat als je telefoon per ongeluk uitbelt terwijl je in een vertrouwelijk overleg zit, of een privégesprek hebt dat verder niemand iets aangaat? Als dat in een verder rustige ruimte plaatsvindt, dan is zo’n gesprek aan de andere kant best wel te volgen. Dat kan pijnlijke situaties opleveren, en misschien kan zelfs vertrouwelijke informatie (zakelijk dan wel privé) uitlekken. Ik ken overleggen waarbij de telefoons verplicht helemaal moeten worden uitgeschakeld.

Wat kun je nog meer doen tegen bellende broekzakken? Flip phones (die toestellen die je dichtvouwt) zijn er immuun tegen. Verder zijn er voor Android apps die om een extra bevestiging vragen voordat er daadwerkelijk wordt gebeld. Niet echt handig lijkt me, want als je echt wilt bellen moet je steeds een extra hobbel nemen en bovendien kan je broekzak die laatste actie ook nog wel doen. Je treft dergelijke apps dan ook niet aan in de top-zoveel. Gelukkig is er een heel gemakkelijke manier om broekzakbellen te voorkomen: vergrendel je telefoon voordat je ‘m in je broekzak stopt. Je weet wel, gewoon even kort op de uit-knop drukken, zodat het scherm inactief wordt. Je telefoon is sowieso al beveiligd met een pincode, vingerafdruk, gezichtsscan of desnoods een swipe-patroon (toch?). De meeste broekzakken zullen er niet in slagen om de telefoon te ontgrendelen.

Broekzakken lijken graag naar 112 te bellen en houden zo de alarmcentrale onnodig bezet. In het extreme doorgetrokken zou dat kunnen betekenen dat een ander gesprek, waarbij elke seconde telt, daardoor te laat binnenkomt. Broekzakgesprekken kunnen levens kosten.

Er zijn meer manieren waarop je geheel onbedoeld informatie kunt lekken. Bijvoorbeeld doordat iemand over je schouder meekijkt naar je scherm, het zogenaamde shoulder surfing. Als je in de trein lekker wilt werken op de laptop maar niet wilt dat iemand kan meekijken, dan moet je óf in een hoekje gaan zitten, óf een privacyscherm voor je beeldscherm plaatsen. Zo’n scherm is een polarisatiefilter, dat het licht slechts in één richting doorlaat, waardoor je alleen iets ziet als je er recht voor zit.

Een bekende analoge wijze om gegevens te lekken is het verliezen of per ongeluk tonen van papieren documenten (ik bedoel u, mevrouw Ollongren). Rondslingerende briefjes met wachtwoorden vallen ook in deze categorie. Je mond voorbijpraten is een zo vanzelfsprekende manier om informatie te lekken dat ik bijna zou vergeten om ‘m te noemen.

Morgen komt zoonlief weer thuis en dan kan ik hem ermee pesten dat hij z’n telefoon niet onder controle heeft.

 

En in de grote boze buitenwereld …

• luistert je telefoon je echt niet zomaar af.
• proberen criminelen je te lokken met een energietoeslag.
• kent de Apple Mac wel degelijk antivirusmaatregelen.
• blogt het NCSC over risicominimalisatie.
• heeft een Russische cybercrimineel zich uitvoerig laten interviewen.
• moeten smartphones langer beveiligingsupdates krijgen, zegt Brussel.
• start de ANWB een digitale-wegenwacht.
• hebben veel mobiele apps te maken met een kwetsbare supply chain.
• wacht de Belastingdienst nog maar even met de invoering van het nieuwe fraudesysteem.
• doet Japan de floppy in de ban.
• wil Telegram van Duitse gebruikers horen hoe gul de chat-app moet zijn met het verstrekken van informatie aan de politie.
• was de aftapvoorziening van KPN onvoldoende beveiligd.
• mag de overheid voortaan gebruikmaken van de public cloud (maar natuurlijk niet individueel op eigen houtje).

 

Zo lek als een mandje

Iedere organisatie is zo lek als een mandje. Pardon? Ja, je leest het goed. Ook de onze. Maar we hebben toch wetten, beleid en vooral technische maatregelen, die dat moeten voorkomen? Ja, dat is óók waar. Maar al die organisaties maken onderdeel uit van de maatschappij en ze hebben daar ook op de een of andere wijze – vaak op een heleboel wijzen – interactie mee. Interactie betekent communicatie. En lekken is een vorm van communicatie.

Neem nou een handelsonderneming. Die heeft te maken met klanten en met leveranciers. Met leveranciers moet zij communiceren over assortiment, inkoopprijzen, orderomvang, gewenste kwaliteit en vast nog een heleboel andere zaken. Naar haar klanten communiceert het bedrijf over assortiment en verkoopprijzen, en de klant laat weten hoeveel hij waarvan wil hebben.  Dat ging vroeger allemaal per post, fax en vertegenwoordiger. Die laatste zal er nog wel zijn, maar dan wel hevig ondersteund door dezelfde moderne techniek die jij en ik gebruiken als we waar ook ter wereld iets willen kopen. Ik hoor trouwens net op de radio dat we, als consumenten, vorig jaar twintig procent méér online hebben besteld dan in het jaar ervoor.

Je moet dus communiceren met de buitenwereld en daarvoor moeten bepaalde systemen in contact staan met de buitenwereld, bijvoorbeeld je online (!) shop en je e-mail (wie herinnert zich nog de tijd dat we alleen interne e-mail hadden, wat trouwens ook al reuze handig was?). Die gedeeltelijke openstelling noemden wij vroeger onze ‘logisch gesloten technische infrastructuur’. Daarmee gaven we aan dat de systemen niet fysiek losgekoppeld waren van de buitenwereld, maar met bijvoorbeeld firewalls wel dichtgetimmerd waren. Alleen daar waar de organisatie een opening naar de buitenwereld wenste, werd dat – op gecontroleerde wijze – toegestaan.

Als je bepaalde kanalen openstelt, dan kun je die op twee manieren gebruiken: enerzijds zoals ze bedoeld zijn, en tja, anderzijds. Via e-mail kun je met je leverancier overleggen, maar een medewerker met kwade bedoelingen kan ook het klantenbestand naar de concurrent mailen. Dat is opzettelijk lekken, maar je kunt ook gegevens lekken zonder kwaad te willen: je mailt de in- en verkoopprijzen naar je privéadres om de gegevens thuis te bewerken, waarbij je even was vergeten dat e-mail niet veilig is, waardoor een concurrent het mailtje zou kunnen onderscheppen en zodoende waardevolle informatie in handen krijgen. USB-sticks vormen ook zo’n notoire bron van lekkage. Volledig te goeder trouw zet je daar gegevens op die elders nodig zijn, en in de trein glijdt dat ding uit je broekzak. Dan mag je blij zijn als de gegevens versleuteld zijn en je bedrijfsnaam niet pontificaal op dat ding staat, want voor je het weet sta je al datalekkend in de krant.

Je wilt je beschermen tegen twee soorten  lekken: de per-ongelukjes en de doelbewuste. De eerste categorie kun je aanpakken met allerlei technische beperkingen, maar die andere groep kun je nooit helemaal tegenhouden. Sluit je de USB-poort af, dan gaan ze mailen. Ga je de mail strenger inregelen, dan gooien ze de informatie via een mobiel apparaat in de cloud. Desnoods printen ze het op vrijdagmiddag uit. Waar een wil is, is een lek.

Natuurlijk kun je er wel voor zorgen dat bepaalde functionarissen beperkt worden in hun mogelijkheden, bijvoorbeeld omdat zij toegang hebben tot wel érg veel en/of vertrouwelijke gegevens. Ze mogen niet extern mailen en hebben geen of beperkte internettoegang, om te voorkomen dat ze gegevens kunnen wegzetten. Op die manier voorkom je waarschijnlijk de meeste per-ongelukjes en voor de doelbewuste lekker maak je het een stuk moeilijker – maar niet onmogelijk. Voor die groep moet je dus méér doen: ervoor zorgen dat ze niet wíllen lekken. Door bijvoorbeeld tijdig te signaleren als iemand iedere dag weer baalt van z’n werk. De rancuneuze medewerker is een factor om rekening mee te houden. Maar er zijn nog talrijke andere redenen waarom mensen dingen doen die ze niet zouden moeten doen. Door daar oog voor te hebben en het gesprek aan te gaan, bereik je wellicht meer dan met het zoveelste technische foefje.

Oké, misschien zijn niet álle organisaties zo lek als een mandje. Als je zó speciaal bent dat je het je kunt veroorloven om je systemen helemaal af te sluiten van de buitenwereld, dan heb je het wat lekken betreft goed geregeld. Maar dan kom je wel dicht in de buurt van de in beton gegoten computer die naar de zeebodem is afgezonken: superveilig, maar knap waardeloos.

En in de grote boze buitenwereld …

... heeft ook de politie last van lekkage.

https://www.security.nl/posting/597769/Politie+laat+onderzoeken+waarom+agenten+informatie+lekken

... komt lekken natuurlijk ook voor in spionagekringen.

https://www.justice.gov/opa/pr/former-us-counterintelligence-agent-charged-espionage-behalf-iran-four-iranians-charged-cyber

... mag de bloemist je niet vertellen wie jou dat valentijnsboeket stuurde.

https://blog.iusmentis.com/2019/02/14/mag-je-onder-de-avg-weten-wie-je-een-valentijnskaart-of-boeket-stuurde/

... voert te politie een online campagne om jongeren duidelijk te maken dat hun gedrag gemakkelijk kan uitmonden in cybercrime.

https://www.politie.nl/nieuws/2019/februari/13/00-9456-jongeren-een-klik-verwijderd-van-cybercrime.html

... is een gehackte hamburgerapp slecht voor je portemonnee.

https://nakedsecurity.sophos.com/2019/02/11/mcdonalds-app-users-hatin-it-after-losing-hundreds-to-thieves/

... heeft iemand een curieus proces tegen Apple aangespannen omdat hij de tweefactorauthenticatie niet meer kan uitzetten en daardoor economisch verlies lijdt en tijd verspilt.

https://www.macrumors.com/2019/02/09/apple-two-factor-authentication-lawsuit/

... was vorige week al in het nieuws dat Google je gaat waarschuwen als je ergens inlogt met een gecompromitteerd wachtwoord. Nu stelt iemand de vraag of dat juridisch en ethisch wel in de haak is.

https://josephsteinberg.com/googles-new-password-checkup-extension-is-powerful-but-is-it-legal-or-ethical/

... leggen nogal wat iPhone-apps precies vast wat jij in die app doet.

https://techcrunch.com/2019/02/06/iphone-session-replay-screenshots/

... geloven veel informatiebeveiligers dat de cloud niet veilig is.

https://www.helpnetsecurity.com/2019/02/08/infosec-pros-believe-data-isnt-secure-in-the-cloud/

... krijgen Amerikaanse helpdeskfraudeslachtoffers hun geld terug.

https://www.security.nl/posting/597502/70+slachtoffers+helpdeskfraude+krijgen+26_000+dollar+terug

... kun je natuurlijk ook een elektrische step hacken.

https://blog.zimperium.com/dont-give-me-a-brake-xiaomi-scooter-hack-enables-dangerous-accelerations-and-stops-for-unsuspecting-riders/

... heeft Enisa richtlijnen voor veilige mobiele apps gepubliceerd.

https://www.enisa.europa.eu/topics/iot-and-smart-infrastructures/smartphone-guidelines-tool

... kun je ook al aangeklaagd worden als je in een scam trapt.

https://www.bbc.com/news/uk-scotland-glasgow-west-47135686

Hulp

De beide Nederlandse dames keken onwennig naar de incheckcomputer van het hotel. Die computer, die zes talen sprak maar niet de onze, vormde de barrière tussen hen en de binnenkant van het hotel; de receptie, die alles zoveel makkelijker had kunnen maken, was op dit tijdstip van de zondagmiddag nog niet bemand. Ik had al eens bij hen geïnformeerd of het lukte en daar hadden ze dapper “ja” op geantwoord. Ik had er belang bij dat het ze binnen niet al teveel tijd inderdaad zou lukken: wij wilden óók inchecken.

Na een tijdje kreeg ik in de gaten dat het toch niet echt – of beter: echt niet – lukte. Het euvel was echter vrij simpel te verhelpen: ze hadden ‘Nederland’ in het veld land ingevuld, maar dat snapte die Duitse computer niet. Ik deed voorzichtig de suggestie om daar ‘Niederlande’ van te maken en voilà, de procedure liep door. Na betaling met een bankpas spuugde de computer het felbegeerde papiertje uit waarop de toegangscode van hun kamer was afgedrukt.

Onze check-in verliep heel wat vlotter, enerzijds omdat we de taal machtig zijn, anderzijds omdat we al gereserveerd en betaald hadden. Korte tijd later zaten we dan ook in onze kamer en konden we even wat tutten alvorens de stad in te trekken. Toen wij onze kamer verlieten, stonden de dames een eindje verderop voor een gesloten kamerdeur. Keer op keer tikten ze de zescijferige code in op het toetsenbordje van het slot: tik … tik … tik … tik … tik … tik, maar ze kregen telkens een rood lampje te zien. Rood is niet goed. Ik kon het niet meer aanzien en vroeg of ik het eens moest proberen. “Ja, graag!” Tik-tik-tik-tik-tik-tik – groen licht! Ze hadden er gewoon te lang over gedaan.

Ondertussen had ik een heel dossiertje over deze dames kunnen opbouwen. Bij de incheckcomputer waren naam en adres zichtbaar en toen ze moesten betalen had ik gemakkelijk hun pincode kunnen afkijken. Ik wist hun kamernummer en had ook de toegangscode gezien. En omdat ze hadden gevraagd of ik wist of het hotel een fietsenstalling had, wist ik ook welke auto de hunne moest zijn.

Als mensen hulp nodig hebben, dan worden ze onvoorzichtig en geven gemakkelijk informatie prijs. Natuurlijk is de kans niet zo groot dat je in een buitenlands hotel wordt geholpen door een landgenoot die met zijn gezin tegelijk met jou arriveert en dan toevallig ook nog crimineel is. Van de andere kant: gelegenheid maakt de dief. Ik vermoed dat die twee zich er helemaal niet bewust van waren dat ze allerlei gevoelige informatie op straat gooiden, ze waren allang blij dat ze geholpen werden.

Criminelen maken graag gebruik van de wetenschap dat mensen die hulp nodig hebben snel in de meewerkstand zitten. Ze manoeuvreren je zelfs in deze positie door je aan te praten dat je een probleem hebt. In de fysieke wereld gebeurt dat bijvoorbeeld bij kaartjesautomaten in metrostations. Ze pikken de toerist eruit, doen zich voor als iemand van het vervoersbedrijf en helpen je om die ingewikkelde automaat te bedienen. Ze betalen het kaartje zelfs met hun eigen pinpas en vragen jou vervolgens om met contanten te betalen. Na afloop blijk je een goedkoop kinderkaartje in handen te hebben voor de prijs van een driedaagse gezinskaart.

In de wereld  van de ICT – en daarvoor zit ik hier – zijn de zogenaamde Microsoftbellers handig in het aanpraten van problemen. Je kent ze wel, die met een Indiaas accent Engels sprekende dames en heren. Wat is er mooier dan dat er nét op het moment dat je een probleem blijkt te hebben iemand de helpende hand toesteekt? Zo iemand ga je toch niet voor het hoofd stoten? Gelukkig zijn deze oplichtingspraktijken inmiddels redelijk breed; bekend. Je mag er echter gerust van uitgaan dat inventieve cybercriminelen steeds weer iets nieuws bedenken. Als je nog niet wist dat je hulp nodig had maar die wordt wel spontaan geboden, wees dan op je hoede. In andere gevallen: wees dankbaar.

Met mijn receptionele hulpactie liep ik zelf ook wel een risicootje. Stel dat de kamer van de dames helemaal zou zijn leeggeroofd. Wie zou er dan verdachte nummer één zijn geweest? Juist. Het is nu bijna twee weken geleden en ik ben nog niet opgepakt, dus het zal wel goed zijn afgelopen.

En in de grote boze buitenwereld …

... gaan sommige criminelen nog veel verder dan zo’n Microsoft-telefoontje.

https://www.9news.com.au/national/2018/07/18/13/51/phone-scam-chinese-embassy-recorded-message-fake-kidnapping-ransom-warning

... krijgen Vodafone-klanten een waarschuwing als zij een nummer bellen dat op de telefoonfraudelijst staat.

https://www.vodafoneziggo.nl/824/vodafone-waarschuwt-klanten-voor-mogelijke-belfraude

... is het te gemakkelijk om een vliegtuig te hacken.

https://www.forbes.com/sites/kateoflahertyuk/2018/08/22/how-to-hack-an-aircraft/#1b2f51f741d1

... moet je informatiebeveiliging niet voor de Bühne doen.

https://www.alienvault.com/blogs/security-essentials/do-you-take-security-seriously

... hapt Android gretiger naar onze gegevens dan iOS.

https://www.bleepingcomputer.com/news/google/idle-android-phones-send-data-to-google-ten-times-more-often-than-ios-devices-to-apple/

... kan één letter grote gevolgen hebben.

https://tweakers.net/nieuws/142453/foutje-in-filterlijst-adblockers-laat-opmaak-van-websites-met-n-verdwijnen.html

... komt na de AVG de EPV.

https://ictrecht.nl/2018/08/15/de-belangenstrijd-rond-de-eprivacy-verordening/

... valt er ook aan CPU’s het nodige te hacken.

https://www.darkreading.com/vulnerabilities---threats/hacker-unlocks-god-mode-and-shares-the-key/d/d-id/1332543

... helpt C.O.A.C.H. je bij het beter beveiligen van je online leven.

https://lifehacker.com/strengthen-your-online-security-with-c-o-a-c-h-1828310041

... waarschuwt de FBI banken ervoor dat hackers wereldwijd gecoördineerd geldautomaten gaan plunderen.

https://krebsonsecurity.com/2018/08/fbi-warns-of-unlimited-atm-cashout-blitz/

... vind je hier wat aardige tips om je wifi-router te beveiligen.

https://lifehacker.com/how-to-make-your-wifi-router-as-secure-as-possible-1827695547

... pakt een phishingtest nog wel eens verkeerd uit.

https://www.security.nl/posting/574446/%22Aanval%22+op+Democratische+Partij+blijkt+phishingtest

Zoekt en men zal u vinden

Om deze blog ook extern te kunnen publiceren, heb ik een account bij Google, gekoppeld aan een privé-mailadres. Want de blog staat op Blogspot en Blogspot is van Google. Mijn werkwijze is: blog schrijven, inloggen bij Blogspot, blog plaatsen, uitloggen bij Blogspot. Soms vergeet ik echter om uit te loggen.

Wij hebben een gezinsagenda bij Google.  Dat is handig, want dan kunnen we gemakkelijk in elkaars agenda kijken. Dat gebeurt meestal op mobieltjes, maar soms wil je ook op de pc of op de laptop in de agenda kijken. Daarvoor moet je inloggen bij Google.

Als je inlogt bij Google, dan log je niet in bij één toepassing, zoals de agenda of Blogspot, maar bij het hele Google-universum. Dat universum bevindt zich in de cloud, en als de cloud om één ding bekend staat, dan is het wel dat alles met alles gesynchroniseerd wordt. En zo kan het dus gebeuren dat ik, als de beide soms’en uit de voorgaande alinea’s gelijktijdig optreden, thuis kan zien wat ik op het werk gegoogeld heb. Alle zoekopdrachten die ik op het werk na het niet-uitloggen heb uitgevoerd, kan ik thuis zien. De gedachte daarachter zal wel zijn dat ik een eerdere zoekopdracht misschien op een ander apparaat wil herhalen.

Nou heb ik nooit vertrouwelijke dingen om te googelen, maar stel eens dat ik in een functie zou werken waarin ik met klantgegevens te maken heb. En dat ik extra informatie over die klant nodig heb en daarvoor misschien wel bij Google te rade ga. En dat ik als zoektermen bijvoorbeeld een naam en een klantnummer gebruik, plus nog wat specifieke termen, al naar gelang waar ik naar op zoek ben. Die zoekopdracht zou dan ook op mijn privé-apparatuur terecht kunnen komen. En dat is niet de bedoeling, zowel vanuit ons eigen beleid als vanuit de AVG.

Dat is echter nog niets vergeleken bij wat er nog meer met mijn zoekopdracht gebeurt. Die komt namelijk terecht in de archieven van Google, dat daar vervolgens van alles mee kan doen. Dit is een goed moment om je te realiseren dat Google in feite een advertentiebedrijf is. Ze gebruiken de informatie die jij hen bewust of onbewust geeft om je ‘voor jou relevante advertenties’ voor te kunnen schotelen. Bovenaan de pagina waarop Google uitlegt hoe dat allemaal werkt staat in koeienletters: “We verkopen uw persoonlijke gegevens aan niemand.” Dat dat niet helemaal waar is, weten we sinds de Cambridge Analytica-affaire – o nee, dat was helemaal niet bij Google, dat was bij Facebook. Mag ik dat soort bedrijven toch een beetje over één kam scheren? Kijk, we hebben het over erg grote bedrijven, en in zo’n groot bedrijf zijn er altijd wel mensen die dingen doen waarvan de directie niet op de hoogte is of op z’n minst vindt dat ze eigenlijk niet kunnen. Bovendien kan zo’n bedrijf gehackt worden of op andere wijze gegevens lekken. Kortom: je doet er goed aan om ervan uit te gaan dat de gegevens die jij in Google (maar bijvoorbeeld  ook in Bing) stopt daar op een ongewenste plek weer uit kunnen komen.

Eind vorig jaar hebben we onze stagiair Roy onderzoek laten doen naar alternatieven voor zoekmachines waarvan we wéten dat ze onze gegevens gebruiken. Die alternatieven zijn er wel degelijk: zoekmachines die plechtig beloven dat ze niets over jou en jouw zoekopdrachten opslaan. Sommige daarvan maken onder water gewoon gebruik van andere zoekmachines, maar dan zijn de zoekopdrachten niet naar jou te herleiden.

DuckDuckGo is de populairste privacy-vriendelijke zoekmachine, zeggen ze althans zelf (“wij van WC-eend…”). Wel schijnen de zoekresultaten minder actueel te zijn dan bij Google en Bing (terwijl DDG put uit onder andere Bing). Een ander vrij bekend alternatief is Ixquick/StartPage, dat gebruikmaakt van Google. Dit is de enige door de EU goedgekeurde zoekmachine; ze mochten in 2008 het allereerste Europese Privacy Certificaat in ontvangst nemen. Ixquick is een Nederlands bedrijf en dat biedt ook nog eens bescherming tegen Amerikaanse datagraaiwetgeving.

De informatie die je met welke zoekmachine dan ook vindt is publiek, maar waar het hier om gaat is de vastlegging van het feit dat jij (in jouw functie) die bepaalde informatie zoekt. Dat is ook weer informatie die waardevol kan zijn. Advies: als het zakelijk gezien niet goed voelt als een bepaalde zoekopdracht ergens terechtkomt waar je er geen controle over hebt, maak dan gebruik van StartPage of DuckDuckGo.

En in de grote boze buitenwereld …

... bestaan er ook browsers die je privacy ondersteunen.

https://www.security.nl/posting/567984/Privacybrowser+Brave+introduceert+privétabs+met+Tor-integratie

... sturen deze beveiligingscamera’s hun beelden naar het verkeerde baasje.

https://www.bbc.com/news/technology-44628399

... brengt WPA3 ons veel veiligere wifi-netwerken, zelfs als je daar IoT-devices op aansluit.

https://www.wired.com/story/wpa3-wi-fi-security-passwords-easy-connect/

... blijft het anders wel erg gemakkelijk om IoT-devices te kapen.

https://www.bleepingcomputer.com/news/security/someone-is-taking-over-insecure-cameras-and-spying-on-device-owners

... legt Troy Hunt (van haveibeenpwned.com) in een paar video’s uit hoe gemakkelijk het is om je eigen website te beveiligen.

https://httpsiseasy.com

... is de Baseline Informatiebeveiliging Overheid in de maak. De BIO gaat op termijn alle sectorale baselines, zoals de BIR2017 en de BIG, vervangen.

https://informatiebeveiliging-gemeenten.nl/2018/06/quickscan-information-security-qis-de-7-stappen/

... beïnvloeden bedrijven als Google, Facebook en Microsoft vaak jouw keuzes voor privacy-instellingen.

https://tweakers.net/nieuws/140275/privacykeuzeschermen-grote-techbedrijven-zetten-gebruikers-aan-tot-datadelen.html

... is de Wet computercriminaliteit III door de Eerste Kamer aangenomen.

https://www.rijksoverheid.nl/actueel/nieuws/2018/06/26/eerste-kamer-stemt-in-met-wetsvoorstel-computercriminaliteit-iii

... heeft dit bedrijf nogal wat uit de kast gehaald om een indringend reclamefilmpje te maken.

https://m.youtube.com/watch?v=FqibWHfn_Yc#fauxfullscreen

... is er nu ook ransomware die je probeert af te persen zonder daadwerkelijk je computer te besmetten. (Dat doet mij denken aan een oud mopje over een Belgisch virus: “Hallo, wilt u alstublieft ‘del C:\*.*’ intypen?”)

https://www.grahamcluley.com/wannacry-ransomware-scam-tries-to-extort-money-without-actually-infecting-your-computer/

... heeft Nederland tegenwoordig cyberdiplomaten.

https://www.telegraaf.nl/nieuws/2193011/nederland-zet-speciale-diplomaat-in-tegen-cyberaanvallen

... heeft een onderzoeker een manier gevonden om de passcode van de iPhone te kraken. Of nee, toch niet.

https://www.imore.com/iphone-brute-force-passcode-hack-probably-wasnt

... delen oplichters AVG-boetes uit.

https://tweakers.net/nieuws/140131/autoriteit-persoonsgegevens-waarschuwt-voor-avg-oplichting-via-boetes.html

Webmail als potentieel lek

Ik heb al eens eerder geschreven over het door een marter kapot geknaagde ruitensproeier-vloeistoftankje van mijn auto. Het is tijd om die marter nog een keer van stal te halen, maar deze keer gaat het verhaal uiteraard een heel andere kant op.

Voor zover marters kunnen denken: wat zou hij gedacht hebben toen hij z’n scherpe tandjes in dat tankje zette? Waarschijnlijk iets in de trant van: “Ha, lekker!” En met aan zekerheid grenzende waarschijnlijkheid niet: “Als ik dit tankje nu eens kapot bijt, dan loopt het leeg en dan krijgt Patrick zijn voorruit niet meer schoon en dan rijdt hij daardoor misschien wel het kanaal in.” Ik heb het er niet over dat dit waarschijnlijk een veel te complexe gedachtegang voor zo’n beest zou zijn. Waar het om gaat is dat hij noch voorzien, noch bedoeld heeft dat dit allemaal zou kunnen gebeuren. Nee, de marter veroorzaakte dit lek zonder opzet en zonder het te beseffen.

Gek genoeg doen mensen zoiets ook wel eens. Niet met tankjes – wij snappen niet wat zo’n beest daar lekker aan vindt. Wij lekken data. Of we creëren op z’n minst de mogelijkheid om dat te doen. Net zo onbedoeld en onvoorzien als bij die marter.

Neem nou zoiets onschuldigs als webmail. Hartstikke handig om vanaf elke gewenste computer even je mail te checken. Stel nou eens dat je je privé-mailaccount via het bedrijfsnetwerk zou mogen benaderen. Lekker handig toch? Of je je mail nou tussendoor even op je mobiel of op je laptop leest, dat maakt toch niets uit? Dat klopt – in (spreekwoordelijk) achtennegentig procent van de gevallen. Eén procent wil ik reserveren voor de mogelijkheid om via je privémail ongewenste inhoud, zoals virussen, binnen te halen. En die laatste procent blijft over vanwege de mogelijkheid die je hebt om mail niet alleen te ontvangen, maar ook te verzenden. Ziedaar het potentiële datalek. En de term ‘datalek’ moet je in deze context breder zien dan binnen het kader van de privacywetgeving (AVG): het gaat ook om vertrouwelijke bedrijfsgegevens (over/van de organisatie zelf).

Je zou via webmail dus bedrijfsgegevens naar buiten kunnen brengen. Maar dat kan toch ook gewoon via de mailserver van de organisatie, zie ik je denken? Klopt, maar het verschil is dat webmail geheel buiten onze controle valt. Bij gebruik van de mailserver kunnen we ervoor zorgen dat bepaalde mail niet wordt verzonden en hebben we in ieder geval nog logging waardoor we, indien nodig, de gang van zaken kunnen reconstrueren. We zijn nu eenmaal een grote organisatie en hebben statistisch gezien recht op een x aantal zwarte schapen die moedwillig foute dingen doen. Daarnaast hebben we een y aantal ‘marters’ in dienst: collega’s die niet beseffen dat ze iets doen wat mogelijk riskant is. Ongetwijfeld geldt
y > x, maar dat maakt voor de mogelijke gevolgen niets uit.

En daarom is het gebruik van webmail niet toegestaan. Zodoende beschermen we niet alleen de organisatie, maar ook haar medewerkers. Ruitensproeiervloeistof en plastic zijn waarschijnlijk niet zo gezond voor marters; ze kunnen ziek worden doordat ze iets hebben gedaan wat niet mocht. Net zoals medewerkers in de problemen kunnen komen door middelen te gebruiken die schadelijk kunnen zijn voor de organisatie.

En in de grote boze buitenwereld …

... staat een zoekmachine met gelekte Nederlandse wachtwoorden op internet.

https://www.nu.nl/internet/5208704/zoekmachine-met-miljoenen-nederlandse-wachtwoorden-online-verschenen.html

... wordt de privacy van Windowsgebruikers binnenkort veel beter gerespecteerd, zegt de privacywaakhond.

https://autoriteitpersoonsgegevens.nl/nl/nieuws/privacy-van-windows-gebruikers-sterk-verbeterd-na-onderzoek-ap

... is er sinds kort een nieuwe alternatieve DNS beschikbaar die meer privacy belooft.

https://nakedsecurity.sophos.com/2018/04/05/cloudflares-1-1-1-1-promises-to-make-dns-more-secure/

... zouden maximaal negentig duizend Nederlanders getroffen zijn door het schandaal rondom Facebook en Cambridge Analytica.

https://nos.nl/googleamp/artikel/2225835-dataschandaal-cambridge-analytica-treft-mogelijk-90-000-nederlanders.html

... zijn niet alle VPN’s even betrouwbaar.

https://www.theregister.co.uk/2018/03/29/almost_a_quarter_of_vpns_tested_leak_ip_addresses

... krijgen ook organisaties buiten de EU te maken met de Algemene Verordening Gegevensbescherming (of General Data Protection Regulation). Facebook heeft gezegd dat ze de AVG niet wereldwijd implementeren.

https://www.theverge.com/platform/amp/2018/4/3/17194504/facebook-mark-zuckerberg-gdpr-privacy-protections-europe

... is een nieuwe Britse standaard verschenen over ‘cyber risk and resilience’.

https://cloudblogs.microsoft.com/microsoftsecure/2018/04/04/announcing-new-british-standard-for-cyber-risk-and-resilience/

... steekt de Chrome-browser een stokje voor cryptomining.

https://arstechnica.com/gadgets/2018/04/google-bans-cryptomining-chrome-extensions-because-they-refuse-to-play-by-the-rules/

... scant diezelfde browser jouw computer op de aanwezigheid van malware.

https://motherboard.vice.com/en_us/article/wj7x9w/google-chrome-scans-files-on-your-windows-computer-chrome-cleanup-tool

... maakt concurrent Firefox het Facebook moeilijker om te snuffelen.

https://www.grahamcluley.com/firefox-users-can-now-isolate-their-facebook-identity-from-the-rest-of-the-web/

... moeten mensen, die een visum voor de VS aanvragen, binnenkort ook vertellen welke social media-accounts, telefoonnummers en e-mailadressen ze de laatste vijf jaar hebben gebruikt.

https://www.engadget.com/2018/03/29/us-visa-applications-require-social-media-info/

... kan een typfoutje je duur te staan komen.

https://krebsonsecurity.com/2018/03/omitting-the-o-in-com-could-be-costly/