- Gegevens
- Hoofdcategorie: Internet en Telecom
Ruim 300.000 WordPress-sites lopen het risico om door aanvallers te worden overgenomen doordat ze een kwetsbare versie van de plug-in File Manager gebruiken. De kwetsbaarheid, die op een schaal van 1 tot en met 10 wat betreft de ernst met een 10 is beoordeeld, werd al aangevallen voordat een beveiligingsupdate beschikbaar was. Hoewel er inmiddels een patch is te downloaden hebben de meeste kwetsbare sites die nog niet geïnstalleerd.
Via File Manager kunnen WordPress-beheerders eenvoudig bestanden van hun website beheren zonder hiervoor van FTP gebruik te maken. De plug-in draait op meer dan 700.000 websites.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
De broncode van de veelbesproken CoronaMelder-app bevat vier tegenstrijdigheden. Dat blijkt uit een rapport van onderzoeksbureau Secura dat in opdracht van het ministerie van VWS de code onderzocht. Ze stellen vast dat er een verouderde versie van een softwarebibliotheek is gebruikt. Ook krijgen eigenaren van een gekraakt toestel geen melding dat ze een verhoogd beveiligingsrisico lopen.
Zo maakt de iOS-applicatie van CoronaMelder gebruik van een verouderde versie van een softwarebibliotheek voor de transportbeveiliging en implementatie van andere cryptografische functies.
Ten tweede worden sommige cryptografische handtekeningen, die worden gebruikt om de sleutels te valideren die blootstellingsmeldingen ontgrendelen (zogenaamde tijdelijke blootstellingssleutels of TEK's), slechts gedeeltelijk gecontroleerd. Hierdoor zouden in theorie alle houders van een recent door KPN afgegeven PKI Overheid-certificaat geldige handtekeningen kunnen overleggen. Dat schendt volgens de onderzoekers gedeeltelijk de integriteitsvereisten die in de architectuur zijn vastgelegd.
Ten derde voert de app geen controle uit om te zien of deze op een ge-root of gejailbreakt apparaat draait. In zo'n geval is het toestel gekraakt om bijvoorbeeld ongeautoriseerde programma’s te installeren of beperkingen van de fabrikant te omzeilen. De onderzoekers wijzen erop dat het uitvoeren van een app op een ge-root (Android) of gejailbreakt (iOS) apparaat beveiligings- en privacyrisico's met zich meebrengt. 'Dit kan de integriteit van alle apps en communicatie schaden.’
Ten vierde noemen de onderzoekers zogenoemde ‘afleidingsberichten’ die verzonden worden om het voor aanvallers moeilijker te maken om zinvolle informatie uit berichten te halen. ‘Als de app is uitgeschakeld, worden er nog steeds ‘lokmeldingen’ verzonden. Dit is niet volledig in overeenstemming met de functionele vereisten en kan onder specifieke omstandigheden een aanvaller helpen om gebruikers van de app te identificeren, zelfs als de app is uitgeschakeld.’
Het rapport wordt door het Eindhovense onderzoeksbureau Secura als vertrouwelijk aangeduid. Dat is opmerkelijk omdat het als openbaar te downloaden bijlage is toegevoegd aan de Kamerbrief. In die brief informeert minister De Jonge de Tweede Kamer over de voortgang van de ontwikkeling van de CoronaMelder.
Alles bij de bron; Computable
- Gegevens
- Hoofdcategorie: Internet en Telecom
Russische hackers hebben persoonlijke gegevens van miljoenen Amerikanen buitgemaakt en op een internetforum gezet.
De diefstal van persoonsgegevens kwam aan het licht na onderzoek door journalisten van de Russische zakenkrant Kommersant. Zij stuitten op Gorka9, een hackgroep die de data in handen kreeg en te koop aanbood. Het gaat om naam, geboortedatum, geslacht, adres, postcode, e-mail, kiezersidentificatienummer en stembureau-nummer van ruim 7,5 miljoen inwoners van de staat Michigan.
Daarnaast hackte Gorka9 gegevens van nog enkele miljoenen burgers in Connecticut, Arkansas, Florida en North Carolina. Gorka9 beweert tegen Kommersant dat de gegevens vanaf maart 2020 up-to-date zijn.
Alles bij de bron; FD
- Gegevens
- Hoofdcategorie: Internet en Telecom
Na een datalek bij het Centraal Orgaan opvang asielzoekers (COA) zijn 150 vermoedelijke slachtoffers van mensenhandel- en smokkel mogelijk in gevaar geweest. Dat blijkt uit een reactie van het COA, dat in juni per ongeluk bijna twaalfhonderd meldingen van vermoedens van mensenhandel op zijn site publiceerde. Zeker honderdvijftig slachtoffers waren door het datalek identificeerbaar.
De bijna twaalfhonderd meldingen werden gedaan door COA-medewerkers en waren gericht aan de politie. Er zijn meldingen van doodsbange mannen op de vlucht voor de maffia en van homo’s die hun familie en misbruikers vrezen. In het document stond veel privacygevoelige informatie van de vermoedelijke slachtoffers, zoals namen, geboortedata, telefoonnummers en verblijfslocaties. NRC en onderzoeksprogramma Argos ontdekten het lek en informeerden het COA, waarna de informatie direct offline werd gehaald.
Alles bij de bron; NRC
- Gegevens
- Hoofdcategorie: Internet en Telecom
Een online dienst die Duitse restaurants gebruiken om reserveringen en coronaformulieren van bezoekers op te slaan, bleek niet goed beveiligd. Daardoor was het mogelijk 87.313 coronaformulieren in te zien van 180 Duitse restaurants die het systeem actief gebruikten, schrijft de Chaos Computer Club (CCC).
Het ging om een online clouddienst van het bedrijf Gastronovi die restaurants gebruiken om naast coronaformulieren ook reserveringen, bestellingen en kassaverkopen op te slaan. In deze clouddienst zaten verschillende kwetsbaarheden waardoor leden van CCC "in een mum van tijd volledige administratieve toegang kregen tot alle gegevens die in het systeem zijn opgeslagen".
Naast deze coronaformulieren konden de leden ook 5,4 miljoen reserveringen inzien die terug gingen tot tien jaar geleden. Daarin stonden 4,8 miljoen persoonlijke gegevens van klanten.
De computerclub raadt digitale coronaformulieren over het algemeen af, "vooral als ze hun gegevens in een cloud opslaan in plaats van in het restaurant zelf". De hackers raden aan gewoon pen en papier te gebruiken en de formulieren te versnipperen als de bewaartermijn verstreken is.
Alles bij de bron; NU
- Gegevens
- Hoofdcategorie: Internet en Telecom
Een lokaal dashboard zou meer inzicht kunnen geven in de verspreiding van het coronavirus. Besmettingscijfers worden nu per stadsdeel gerapporteerd, en soms worden precieze locaties bekend waar een uitbraak plaatsvond.
Het kan de bestrijding helpen, maar er zijn zorgen over de gevolgen voor de privacy van bewoners en ondernemers. 'Gaan mensen in een wijk waar meer besmettingen zijn, daar nog wel naar de bakker of een restaurant?'...
...binnen Amsterdam bestaan er verschillen. Er zijn bijvoorbeeld relatief veel besmettingen bekend in West en Nieuw-West. Bovendien werden er 'clusters' geconstateerd onder studenten en horecabezoekers. Dankzij bron- en contactonderzoek kon dit in kaart gebracht worden. En dat is belangrijk, volgens viroloog van het Amsterdam UMC Menno de Jong, 'Als blijkt dat mensen vooral in privéomstandigheden geen afstand houden, ligt het voor de hand om daar restricties op te leggen', gaf hij als voorbeeld...
Maar hoever moet je daar eigenlijk gaan in het bekend maken van plekken waar besmettingen plaatsvinden? 'Zeker als privacy op het spel staat, is het belangrijk om te bedenken of een dashboard echt iets bijdraagt voor de bewoners van een stad', zegt medisch-ethicus Suzanne Metselaar. Een lokaal dashboard brengt misschien wel meer risico's met zich mee, verwacht ze. 'Als je op die manier iets te weten komt over een specifieke bewoner, kan diegene daar hinder van ondervinden.'
Toch ziet ze een lokaal dashboard als 'het mindere kwaad', ten opzichte van de corona-app. Want de app zou nóg meer details vrijgeven... er zijn inmiddels meerdere dashboards in ontwikkeling. En nu er meer lokale uitbraken zijn, wordt er ook al meer ingezoomd op steden en wijken. Ook GGD Amsterdam zoomt nu meer in op stadsdelen en wijken. Daarnaast wordt daar gewerkt aan een lokaal dashboard, waarop een overzicht te zien moet zijn.
Toch geeft de GGD niet overal openheid over. Er wordt bijvoorbeeld niet gecommuniceerd bij welke specifieke horecagelegenheid, school of sportclub een besmetting heeft plaatsgevonden.
Privacy is daarbij het belangrijkste argument. 'We gaan daarom niet in op individuele gevallen', aldus de woordvoerder. Dat zagen we eerder ook al bij coronabesmettingen op scholen. In principe maakte de GGD niet publiekelijk bekend om welke school het ging, tenzij de school daar zelf voor koos.
Alles bij de bron; AT5
- Gegevens
- Hoofdcategorie: Internet en Telecom
De Amerikaanse politie vraagt steeds vaker gegevens op van slimme speakers in onderzoek naar misdrijven. Dat meldt Wired. Met die gegevens kan worden gecontroleerd wat een verdachte op het moment van het misdrijf aan het doen was.
Zo kan een speaker geluidsfragmenten hebben opgenomen tijdens een moord, maar kan ook het alibi van iemand die zegt alleen thuis te zijn geweest worden gecheckt. Amazon, dat de slimme Echo-luidsprekers maakt, kreeg in de eerste helft van dit jaar 72 procent meer inzageverzoeken van de politie dan in 2016, het eerste jaar waarover cijfers bekend zijn.
Ook bij Google Nest kwam er tot en met 2018 een stijgend aantal verzoeken binnen. Sinds 2019 publiceert het internetbedrijf geen aparte statistieken meer over zijn slimme apparaten.
Bron; Volkskrant-Techblog
- Gegevens
- Hoofdcategorie: Internet en Telecom
De Autoriteit Persoonsgegevens is bezorgd over de manier waarop horecaondernemers contactgegevens van bezoekers registreren. Lijsten met telefoonnummers gaan van tafel tot tafel en worden soms zelfs gebruikt voor ‘romantische’ doeleinden...
...ze had zaterdagavond koud het café verlaten of ze kreeg een WhatsAppje: ‘Leuke avond gehad?’ Het was van de barman die haar zojuist nog twee cocktails had geserveerd. Hij was benieuwd of ze misschien zin had om binnenkort eens samen wat te drinken. Hij had haar telefoonnummer niet gevraagd, maar overgetikt van de registratielijst voor bron- en contactonderzoek.
De afgelopen twee weken kreeg de Autoriteit Persoonsgegevens (AP) tientallen klachten binnen. Registratielijsten met namen en telefoonnummers zouden van tafel tot tafel gaan. Bovendien worden ze soms gebruikt om klanten ongevraagd te abonneren op een nieuwsbrief of mee te laten dingen bij winacties. Het baart de privacywaakhond zorgen...
...Koninklijke Horeca Nederland waarschuwt alle ondernemers tegen ‘slimme constructies’ om gegevens voor andere doeleinden te gebruiken, zoals marketing. ‘Dat schaadt het vertrouwen’, aldus de brancheorganisatie.
Precies om die reden besloot Georgia melding te maken bij de manager van de flirtende ober. ‘Je laat je nummer achter in goed vertrouwen met de gedachte: dit gaat in een doos waar niemand het ziet. Alleen als er een uitbraak is, bellen ze me. Het voelde nu alsof ik helemaal geen controle had over wie mij contacteerde.’
Alles bij de bron; Volkskrant
- Gegevens
- Hoofdcategorie: Internet en Telecom
Bij deepfakes worden filmpjes met behulp van slimme algoritmes aangepast, waardoor je bijvoorbeeld een bekend persoon hele andere dingen kunt laten zeggen dan hij in werkelijkheid doet.
Mensen die zogeheten deepfakes, gemanipuleerde filmpjes, onder ogen krijgen van bijvoorbeeld politici, kunnen negatiever gaan denken over die persoon. Dat heeft onderzoek van de Universiteit van Amsterdam onder 278 mensen uitgewezen...
...Overigens was de manipulatie goed gelukt, zegt UvA-onderzoeker Tom Dobber: slechts 8 van de 140 mensen die het filmpje zagen, twijfelden aan de echtheid ervan. "En deze was niet eens perfect, je zag af en toe dat de lippen gek bewogen. Het is opmerkelijk dat mensen er vol intrappen." ...
...Verschillende deepfakes naar meerdere mensen sturen, kan dat effect nog versterken. Maar, zeggen de wetenschappers, dat gevaar is nog niet in zicht, omdat de technologie nog niet optimaal werkt. Dat kan wel snel veranderen, omdat de technologie zich in een razend tempo ontwikkelt.
Alles bij de bron; NOS
- Gegevens
- Hoofdcategorie: Internet en Telecom
Een aanvaller is erin geslaagd om de privégegevens van 8,3 miljoen gebruikers van Freepik en Flaticon te stelen, zo heeft het bedrijf achter de twee websites bekendgemaakt. Freepik en Flaticon bieden stockfoto's, vectorafbeeldingen en iconen.
Het gaat om e-mailadressen en gehashte wachtwoorden. Van 4,5 miljoen gebruikers zijn geen wachtwoordhashes gestolen, omdat deze gebruikers via hun Google-, Facebook- of Twitteraccount inlogden. Van deze gebruikers is alleen het e-mailadres buitgemaakt. Van de 3,77 miljoen gebruikers van wie e-mailadres en wachtwoordhash werd gestolen ging het voor 3,55 miljoen gebruikers om een wachtwoord dat via het bcrypt-algoritme is gehasht. De wachtwoorden van de overige 229.000 gebruikers waren gesalt en via het zwakke MD5-algoritme gehasht.
Gebruikers van wie het e-mailadres is gestolen zijn ingelicht, maar hoeven volgens Freepik geen verdere actie te ondernemen.
Alles bij de bron; Security