- Gegevens
- Hoofdcategorie: Internet en Telecom
De aanvallers die in oktober toegang wisten te krijgen tot accounts van duizenden gebruikers van dna-testbedrijf 23andMe hebben een "aanzienlijk aantal" bestanden met de afstammingsgegevens van gebruikers gestolen.
Nadat de aanvallers toegang tot een 23andMe-account hadden gekregen maakten ze, als het account zich hiervoor had aangemeld, gebruik van de 'DNA Relatives' service om ook data over andere gebruikers in de database te stelen. Via deze service kunnen gebruikers verwanten vinden die hun dna ook via 23andMe hebben laten testen.
Van hoeveel andere gebruikers deze gegevens zijn gestolen is onbekend.
Bij credential stuffing proberen aanvallers of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan. Gisterenavond maakte 23andMe bekend dat het van alle bestaande gebruikers het wachtwoord heeft gerest en nu ook tweestapsverificatie verplicht.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Databases
Met het voorstel voor het oprichten van een European Health Data Space (EHDS) maakt Brussel een einde aan het medisch beroepsgeheim, zo stelt stichting Privacy First. Onlangs liet demissionair minister Kuipers al weten dat door het EHDS medische data van burgers zonder toestemming toegankelijk wordt gemaakt voor derden.
Het EHDS is een digitaal patiëntendossier dat in een gemeenschappelijk Europees formaat is opgesteld en in alle EU-lidstaten te gebruiken moet zijn.
"Volledige medische dossiers, met de meest gevoelige en persoonlijke informatie, kunnen straks door Brussel worden opgevraagd en worden gebruikt voor een breed scala aan doeleinden. Patiënten wordt hiermee de controle over hun medische gegevens ontnomen", aldus Privacy First.
De stichting waarschuwt dat door de opzet van het EHDS zowel overheid als private partijen toegang tot medische dossiers van alle burgers in de Europese Unie krijgen en daarmee komt er ook een einde aan het medisch beroepsgeheim, zo stelt Privacy First.
In tegenstelling tot de situatie in Nederland, waarbij gezondheidsgegevens voornamelijk alleen met toestemming van de patiënt mogen worden verwerkt, gaat het EHDS-voorstel uit van een andere juridische grondslag, waarbij toestemming niet is vereist. Het gaat zowel om primair als secundair gebruik van gezondheidsgegevens.
Privacy First vreest ook dat de schaal waarop gegevens straks ontsloten worden, enorme risico’s voor de veiligheid en privacy van burgers met zich meebrengt.
Mocht het EHDS er komen, dan is volgens Privacy First de enige bescherming voor patiënten het recht op de vernietiging van hun medische gegevens. Patiënten zullen dan een eigen papieren dossier met zich moeten meedragen waarop zorgpersoneel aantekeningen kan maken.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Nieuws uit NL
De Koninklijke Marechaussee heeft afgelopen dinsdag een 19-jarige man aangehouden op verdenking van het op grote schaal vervaardigen en verkopen van valse identiteitsbewijzen via social media.
De Marechaussee startte een onderzoek nadat het expertisecentrum identiteitsfraude en documenten (ECID) meerdere valse identiteitsbewijzen had ontvangen die op een zelfde manier gemaakt en verstrekt leken te zijn. Het onderzoek leidde naar een verdachte, die mogelijk de identiteitsbewijzen maakte en aanbood via social media.
De id-bewijzen zouden door afnemers zijn gebruikt voor onder andere de aanschaf van alcohol of het toegang verkrijgen tot evenementen. Bij de aanhouding van de verdachte afgelopen dinsdag vonden ook doorzoekingen plaats in panden in Arnhem en Deventer. Daar werden tientallen valse id-bewijzen aangetroffen en apparatuur om deze identiteitsbewijzen te maken.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
Winkelketen Sprinter Sports, voorheen bekend onder de namen Perry Sport en Aktiesport, is getroffen door een cyberaanval. Criminelen wisten onder meer door te dringen tot het bestelsysteem en de accountgegevens van klanten.
Hoewel Sprinter geen volledige betaalkaartinformatie zegt te bewaren, adviseert de winkelketen de klanten waakzaam te zijn op verdachte activiteiten op de bankrekening. Als klanten rare dingen zien, dienen zij meteen contact op te nemen met hun bank.
Hackersgroep Metaencryptor claimt op sociale media achter de aanval zitten. Deze groep hackt computersystemen van bedrijven en infecteert ze daarna met gijzelsoftware.
Alles bij de bron; NU
- Gegevens
- Hoofdcategorie: Internationaal Nieuws
Digitale burgerrechtenbeweging EDRi verwacht niet dat er een akkoord wordt bereikt over het plan van de Europese Commissie om alle berichten van burgers door middel van client-side scanning te controleren.
Burgerrechtenbewegingen, privacyorganisaties, beveiligingsexperts, academici en techbedrijven waarschuwden voor het plan. Dat zou namelijk tot massasurveillance leiden en een ernstige aantasting van de privacy en vrijheid van burgers vormen.
Het Europees Parlement verwierp eerder deze maand het plan van Brussel om client-side scanning in te voeren. Nu het parlement een positie heeft ingenomen vindt er een trialoog plaats, overleg tussen het Europees Parlement, de Raad van de Europese Unie en de Europese Commissie.
Het doel van een trialoog is om tot een voorlopig akkoord over een wetgevingsvoorstel te komen dat voor zowel het Parlement als de Raad, de medewetgevers, aanvaardbaar is. Er is echter nog altijd geen voorgestelde tekst, laat staan een politiek akkoord van voldoende EU-lidstaten, merkt EDRi op.
De digitale burgerrechtenbeweging merkt op dat de volgende stappen voor het wetsvoorstel onduidelijk zijn, maar dat het hier om een mijlpaal gaat in de bescherming van digitale mensenrechten en het erop rekent dat de Raad op dit gebied. geen stappen terugdoet.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
De gemeente Eindhoven heeft inwoners die het slachtoffer van een datalek werden soms helemaal niet geïnformeerd. In andere gevallen werden slachtoffers onvolledig of onduidelijk ingelicht.
Dat meldt de interne Functionaris Gegevensbescherming (FG) in een onderzoek waarover het AD bericht. Voor het onderzoek werd een steekproef van zeventig geregistreerde datalekken onderzocht.
Bij acht datalekken werden slachtoffers helemaal niet gewaarschuwd. In elf andere gevallen gebeurde dit onvolledig, onduidelijk of tegenstrijdig. De FG stelt ook vast dat het verplichte datalekkenregister van de gemeente niet overeenkomt met de meldingen die aan de Autoriteit Persoonsgegevens zijn gedaan. Het gaat dan bijvoorbeeld over het soort gegevens dat is gelekt en de mogelijke gevolgen.
Verder blijkt dat datalekken te laat worden geregistreerd. Dit moet binnen 72 uur gebeuren, maar bij een kwart van de zeventig datalekken gebeurde dit later. Sommige datalekken worden na weken of zelfs maanden geregistreerd. De registratie moeten vijf jaar worden bewaard, maar blijken eerder te worden verwijderd. De Functionaris Gegevensbescherming heeft dan ook zijn vragen of het register wel actueel en volledig is.
Eerder dit jaar besloot de Autoriteit Persoonsgegevens het toezicht op de gemeente Eindhoven te verscherpen.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
Laadpassen voor elektrische auto’s zijn fraudegevoelig, waardoor het mogelijk is om op kosten van iemand anders de auto op te laden, zo laat cybersecuritybedrijf Vest vandaag op basis van eigen onderzoek weten. Vanaf het aanvraagproces voor een pas tot aan het gebruik en betalen voor de dienst gaat het mis, aldus onderzoeker Alexander van Ee.
Een laadpas voor een elektrische auto is online aan te vragen. "En controle op juistheid van gegevens is er niet, zo heb ik verschillende keren een bankrekeningnummer gebruikt dat helemaal niet van de aanvrager was", aldus Van Ee. Zo vroeg de onderzoeker een pas aan op naam van Mark Rutte met daarbij het rekeningnummer van de Belastingdienst. "Dat zou natuurlijk absoluut niet de bedoeling moeten zijn."
Volgens de verstrekker van de laadpas moet die eerst worden geactiveerd voordat die te gebruiken is, maar dat blijkt niet echt noodzakelijk. Bij een aantal van de aangevraagde passen kan de auto worden opgeladen zonder dat de pas daadwerkelijk geactiveerd is.
Verder blijkt dat de beveiliging van de chip op de laadpassen minimaal is. Kopiëren van een bestaande pas is relatief eenvoudig. De op de chip wel aanwezige beveiligingsmogelijkheden worden namelijk niet gebruikt.
Het blijkt ook eenvoudig om pasnummer te achterhalen, die daarna te koppelen zijn aan herschrijfbare passen en vervolgens te gebruiken. De reeks gebruikte pasnummers is dusdanig klein, dat bij een bruteforce-aanval relatief snel een bruikbaar pasnummer is te vinden.
De onderzoeker ontdekte ook dat het mogelijk is om elektrische auto's gratis op te laden door middel van 'druppelladen'. Gebruikers gaan namelijk pas na een minuut laden betalen. Door middel van een apparaatje zoals de Flipper Zero is het mogelijk om korte oplaadsessies van een minuut te automatiseren en zo de auto 'vol te druppelen'.
"De geconstateerde gebreken om het betalen van elektrisch laden minder fraudegevoelig te maken lijkt een collectieve tekortkoming. Om die reden wordt de aandacht gevraagd om dit ook collectief naar een voor de consument betrouwbaarder niveau te brengen", stelt het cybersecuritybedrijf. Dat stelt dat het oplossen en voorkomen van misbruik van de aangetoonde problemen het doel is. "Niemand mag het risico lopen onnodig gedupeerd te worden."
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
Noyb stapt naar de rechter tegen Meta. De organisatie van privacyactivist Max Schrems noemt het betalend model zonder advertentie geen voorbeeld van vrije keuze.
Meta kondigde vorige maand aan dat het in Europa gebruikers de keuze geeft: een gratis Facebook en/of Instagram zoals nu het geval is, met reclame.
Hoe Meta dat doet is niet naar de zin van de privacybelangengroep noyb (none of your business) van Max Schrems.
Volgens noyb stelt de Europese wetgeving dat toestemming uit vrije keuze moet bestaan. Tegelijk rekent het bedrijf volgens de privacygroep tot maximaal 250 euro per jaar aan om reclamevrij te gaan.
De organisatie hekelt dat als iemand een fundamenteel recht op databescherming uit, dit geld kost. noyb verwacht ook dat als Meta dit ongestoord kan doen, ook andere platformen zo’n praktijken zullen hanteren.
Alles bij de bron; DutchITChannel
