Een inlogportal die zes Nederlandse gemeenten gebruikten om burgers toegang te geven tot gemeentelijke belastingdocumenten, bleek vatbaar voor sql-injectie. Via de kwetsbaarheid waren onder andere BSN's te raadplegen. Het lek is inmiddels gedicht.

Een Tweaker wilde zijn aanslagen voor de gemeentelijke belasting vast inzien, en merkte daarbij op dat hij bij de portal waar de gemeentesite van Oldambt naar verwees, kon inloggen met alleen zijn burgerservicenummer en geboortedatum. Een burgerservicenummer wordt algemeen niet als betrouwbare inlog beschouwd omdat dit nummer niet vertrouwelijk genoeg is...

...Een medetweaker constateerde naar aanleiding van de posting naast deze slordigheid een nog kwalijker euvel: de portal bleek ook kwetsbaar voor sql-injectie. Via deze kwetsbaarheid was het mogelijk bij de database achter de portal te komen en zo de betreffende documenten te benaderen. Ook bleek het mogelijk om een tabel met burgerservicenummers te raadplegen.

Het lek zat dus niet in gemeentesites zelf, maar in een externe site waar gemeenten naar verwijzen op hun pagina voor inwoners die hun documenten in willen zien. 

De tweaker lichtte Data B Mailservice in over de kwetsbaarheid, het bedrijf dat verantwoordelijk is voor het portaal. Dat bedrijf is gespecialiseerd in fysieke en digitale documentstromen. "Na contact met de ontwikkelaar hebben zij adequaat gehandeld, het lek binnen enkele uren gedicht en de portalen uitgeschakeld".

Alles bij de bron; Tweakers

Door een fout in de app van het programma Het Jachtseizoen, zijn mogelijk namen, profielfoto's en de locatie van gebruikers op straat komen te liggen, maakt Talpa vrijdag bekend op zijn website.

Nadat het mediabedrijf de bug ontdekte, is de app offline gehaald. Ook is het bedrijf een onderzoek gestart om vast te stellen welke persoonsgegevens mogelijk toegankelijk waren en of de gegevens daadwerkelijk door derden zijn ingezien.

In Het Jachtseizoen gaan de presentatoren op zoek naar een bekende Nederlander. Het trio heeft vier uur de tijd om de persoon op te sporen. De bijbehorende app is in 2017 uitgebracht en stelt kijkers in staat om het spel na te spelen, waarbij de GPS-locatie van het doelwit wordt gedeeld met de jagende spelers.

Alles bij de bron; NU

Polishouders van CZ, Zilveren Kruis, Menzis en VGZ van wie de kinderen niet naar de tandarts gaan, kunnen een brief van hun verzekeraar verwachten. Hierin worden ouders erop gewezen dat mondzorg bij minderjarigen kosteloos is. Zo moeten gebitsproblemen en hoge kosten op latere leeftijd voorkomen worden.

Minister Bruno Bruins (Medische Zorg) plaatste eerder vraagtekens bij de maatregel. "Als je verzekeraar gaat kijken welke zorg je hebt gehad, en je gaat bellen als je iets niet hebt geconsumeerd, daar ben ik niet zo erg voor." maar de Autoriteit Persoonsgegevens liet daarop weten dat hij de privacyregels in dit geval 'te streng' interpreteerde.

In principe mag volgens de privacywet alles worden gedaan wat nodig is om dat contract netjes uit te voeren, meldt de woordvoerder. "Bij het contract hoort ook dat er een goed en open contact is tussen de contractpartners. 

De Autoriteit Persoonsgegevens (AP) gaf zorgverzekeraars eerder deze maand de definitieve toestemming om op basis van declaratiegegevens gericht te informeren.

Alles bij de bron; NU

Een commerciële spyware-app KidsGuard gericht op ouders, werkgevers en wantrouwende partners heeft de data van duizenden slachtoffers via een verkeerd geconfigureerde server gelekt. De app maakt het mogelijk om de locatie te volgen, telefoongegevens en socialmediagebruik te controleren, berichten van allerlei chat-apps te lezen, screenshots en foto's te maken, gesprekken op te nemen en de surfgeschiedenis te bekijken.

Ook is het mogelijk om een keyloggerfunctie in te schakelen, alsmede alle bestanden op de telefoon te benaderen, zoals foto's en video's die het slachtoffer heeft gemaakt. Om de app op het toestel van een slachtoffer te installeren is het niet nodig om het toestel te jailbreaken of rooten. Eenmaal geïnstalleerd doet de spyware zich op Android voor als een "system update" app en laat geen icoon zien, zodat het slachtoffer niet weet dat de spyware is geïnstalleerd.

Beveiligingsonderzoeker Till Kottmann ontdekte dat de app gegevens in een cloudbucket van internetgigant Alibaba opsloeg. De bucket, waar bedrijven allerlei data in kunnen opslaan, stond op openbaar en was die niet met een wachtwoord beveiligd. 

Alles bij de bron; Security

Gilles de Kerchove, EU-coördinator voor terrorismebestrijding (EU CTC), wil dat techbedrijven het mogelijk maken om autoriteiten toegang tot versleutelde data te geven. Dat liet hij weten tijdens een bijeenkomst van de Raad Justitie en Binnenlandse Zaken eind januari in Zagreb.

"De EU-coördinator voor terrorismebestrijding vroeg om aandacht voor de omgang met nieuwe technologie en voor het analyseren en gebruiken van data, met aandacht voor privacy, gegevensbescherming en encryptie. De EU CTC was van mening dat bij de ontwikkeling van encryptie aandacht zou moeten zijn voor de mogelijkheid tot rechtmatige toegang tot data voor de rechtshandhaving", zo stelt minister Grapperhaus van Justitie en Veiligheid in een verslag van de bijeenkomst (pdf).

De Kerchove stelde eerder ook al dat opsporingsdiensten toegang moeten krijgen tot versleutelde data. Hij reageerde destijds op een toespraak van de Amerikaanse minister van Justitie Barr die techbedrijven vorig jaar opriep om toegang tot versleutelde data te faciliteren. "Ik ben verheugd over de recente toespraak van minister van Justitie Barr waarin hij internetbedrijven oproept tot het vinden van oplossingen die dergelijke rechtmatige toegang mogelijk maken. Zoals de minister zegt moeten we vermijden dat de wetshandhaving achterop hinkt door de steeds sterkere digitalisering terwijl criminele en terroristische organisatie deze omarmen", aldus De Kerchove.

Alles bij de bron; Security

De gegevens van bijna tienduizend Nederlanders zijn buitgemaakt bij de hack op de Amerikaanse hotelketen MGM Resorts, meldt de NOS die inzage had in de database met gelekte gegevens. 

Op basis van adresgegevens en e-mailadressen die eindigen op .nl, constateert de NOS dat 9.800 Nederlanders slachtoffer zijn geworden van het datalek. Een aantal slachtoffers laat aan de NOS weten dat zij in hotels of casino's van MGM zijn geweest.

Alles bij de bron; NU

Google Education is een online onderwijsplatform dat het Amerikaanse bedrijf gratis beschikbaar stelt aan scholen. Ook Nederlandse scholen maken hier gebruik van.

De Amerikaanse staat New Mexico heeft Google aangeklaagd voor het verzamelen van data van leerlingen via Google Education, schrijft The Wall Street Journal. De staat zegt dat Google het platform heeft gebruikt om privacywetten te omzeilen en toegang te krijgen tot persoonlijke gegevens van kinderen. Google had ouders om toestemming moeten vragen en dat zou het bedrijf niet hebben gedaan.

In de aanklacht staat dat Google veel persoonlijke gegevens van de leerlingen verzamelde, waaronder fysieke locaties van scholieren, zoekopdrachten op het internet, bekeken video's op YouTube, contactlijsten, spraakopnamen en opgeslagen wachtwoorden. 

Dit zou Google doen door scholieren aan te moedigen om hun Google Education-inloggegevens te gebruiken om toegang te krijgen tot hun Google-accounts. Zodra scholieren daar zijn aangemeld, wordt de functie Chrome Sync automatisch ingeschakeld, zodat Google de Chrome-gebruikersgegevens van scholieren op zijn servers kan verzamelen, zo wordt beschreven in de aanklacht.

In november maakten privacy-experts in de Volkskrant kenbaar zich zorgen te maken over het gebruik van Google op Nederlandse scholen. Kennisnet, een publieke organisatie die scholen ondersteunt met ICT, schatte Googles marktaandeel op basisscholen toen op 70 procent.

Alles bij de bron; NU

Wie zich misdraagt in het openbaar vervoer, krijgt binnenkort standaard een civiele boete opgelegd van 313 euro. Dit staat verder los van eventuele strafrechtelijke vervolging. De boete, die geïnd wordt door Service Organisatie Directe Aansprakelijkheid, is bedoeld voor dekking van de kosten van het OV-bedrijf.

Het zogenoemde ‘lik op stuk’-beleid wordt volgende week al ingevoerd bij de vervoerders Connexxion en Keolis. Bij Qbuzz/UOV heeft het proef gedraaid en met succes, aldus directeur Arie van Os van de stichting Service Organisatie Directe Aansprakelijkheid. 

De door zijn organisatie opgelegde boete bestaat uit 240 euro voor de aanhouding en afhandeling van het strafbare feit door BOA’s en 50 euro voor de verwerking door SODA, beide vermeerderd met btw. SODA investeert een deel van dit geld in de opleiding van BOA’s en het vorderen van de bedragen.

Boetes zijn volgens Henri Janssen van FNV Spoor een goed middel, al kan dat niet als alternatief voor toezicht worden beschouwd. Fysieke inzet van veiligheidsmensen schrikt volgens hem meer af dan boetes. De boete wordt overigens alleen opgelegd aan amokmakers. Dus niet als iemand geen geldig vervoersbewijs heeft, maar zich wel kan legitimeren en meewerkt aan de afhandeling.

Alles bij de bron; BeveilNieuws

Update;

Bedrijven kunnen schadevergoedingen opleggen via het civiel recht. Veel supermarkten doen dat bij winkeldiefstal. Als een overtreder niet akkoord gaat, moet uiteindelijk de rechter erover beslissen. De boete is dus niet gelijk definitief.

Bron update; Beveiliging