- Gegevens
- Hoofdcategorie: Internet en Telecom
Meta heeft in een rechtszaak over het Cambridge Analytica-schandaal een schikking van 725 miljoen dollar getroffen. Volgens de klagers is het de grootste schikking ooit in een privacyzaak.
Meta heeft als onderdeel van de schikking, die nog door de rechter moet worden goedgekeurd, geen schuld bekend en stelt dat het dit doet in belang van de community en aandeelhouders.
De klagers in de zaak stellen dat Facebook de privacywetgeving heeft geschonden door gegevens van gebruikers met derde partijen te delen, waaronder Cambridge Analytica. Een hoogleraar van de Universiteit van Cambridge had een app ontwikkeld genaamd "This is your digital life" om persoonlijkheidsgegevens van Facebookgebruikers vast te leggen. De persoonlijke informatie die Facebookgebruikers via de quiz-app verstrekten kwam uiteindelijk in handen van Cambridge Analytica.
De app verzamelde niet alleen gegevens van de 270.000 mensen die van de app gebruikmaakten, maar ook van al hun vrienden. Zodoende kreeg Cambridge Analytica de data van 87 miljoen mensen in handen zonder dat die hiervan wisten of hier toestemming voor hadden gegeven. De data werd vervolgens voor politieke profileringsdoeleinden ingezet en gedeeld met derde partijen.
Verder stellen de klagers dat tussen de 250 miljoen en 280 miljoen gebruikers door het schandaal zijn getroffen, wat neerkomt op alle Amerikaanse gebruikers in de periode van mei 2007 tot december 2022. Meta heeft als onderdeel van de schikking, die nog door de rechter moet worden goedgekeurd, geen schuld bekend en stelt dat het dit doet in belang van de community en aandeelhouders.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
De Chinese eigenaar van TikTok, heeft toegegeven dat het op ongepaste wijze de gegevens van gebruikers heeft verkregen. Het gaat onder meer om gegevens van een journalist van Financial Times. Dat gebeurde om hun locatie te onderzoeken als onderdeel van een intern onderzoek naar het lekken van data, schrijft de zakenkrant.
Financial Times baseert zich onder meer op een e-mail van de topman van ByteDance. De krant meldt het "volstrekt onaanvaardbaar" te vinden wanneer verslaggevers worden bespioneerd, hun werk wordt verstoord of hun bronnen geïntimideerd.
"We zullen dit verhaal grondiger onderzoeken voordat we een besluit nemen over onze formele reactie", schrijft de krant. TikTok weigerde commentaar te geven op het bericht.
Alles bij de bron; NU
- Gegevens
- Hoofdcategorie: Internet en Telecom
In twee wireless network bridges van fabrikant Hikvision is een kritieke kwetsbaarheid gevonden waardoor een aanvaller op afstand met aangesloten beveiligingscamera's kan meekijken of daarop aanvallen kan uitvoeren.
De DS-3WF0AC-2NT en DS-3WF01C-2N/O zijn network bridges voor beveiligingscamera's. De camera wordt op de bridge aangesloten die vervolgens de camerabeelden draadloos verstuurt.
De managementinterface van de apparaten gaat niet goed om met gebruikersinvoer. Door het versturen van een speciaal geprepareerd pakket kan een aanvaller beheerderstoegang krijgen. Dit kan zowel vanaf het internet als lokaal netwerk, zolang een aanvaller toegang tot de interface heeft. Vervolgens is het mogelijk om met de aangesloten camera's mee te kijken of die aan te vallen.
De impact van de kwetsbaarheid, aangeduid als CVE-2022-28173, is op een schaal van 1 tot en met 10 beoordeeld met een 9.1. Onderzoekers ontdekten het beveiligingslek op 11 augustus en rapporteerden dit op 16 september bij het Indiase CERT. Hikvision bevestigde de kwetsbaarheid op 4 november en kwam op 16 december met een firmware-update.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
Een kritieke kwetsbaarheid in de wachtwoordmanager Passwordstate maakt het mogelijk voor aanvallers om de wachtwoorden van gebruikers te stelen. Alleen het weten van een gebruikersnaam is voldoende, authenticatie of interactie van gebruikers is niet vereist.
Het is een on-premise webgebaseerde oplossing voor zakelijk wachtwoordbeheer. Organisaties moeten die op een eigen server installeren. Via de wachtwoordmanager kunnen medewerkers wachtwoorden opslaan en delen.
Passwordstate biedt verschillende API's om met de wachtwoordenkluis te communiceren. Onderzoekers van Modzero ontdekten dat het mogelijk is voor een ongeauthenticeerde aanvaller om de authenticatie van de API te omzeilen. Alleen het weten van een gebruikersnaam is voldoende om opslagen wachtwoorden, one-time passwords, wachtwoordenlijsten en andere 'secrets' van de gebruiker op te vragen. "Vanwege de ontbrekende end-to-end encryptie van wachtwoorden, zijn wachtwoorden via deze aanval in cleartext te achterhalen", aldus de onderzoekers.
Click Studios, de ontwikkelaar van Passwordstate, heeft inmiddels een beveiligingsupdate uitgebracht.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
Het kabinet heeft op algoritmes.overheid.nl de eerste versie van een publiek register gelanceerd waarin algoritmes zijn te vinden die door overheden worden toegepast. Volgens staatssecretaris Van Huffelen schiet de transparantie over de inzet van algoritmes door de overheid nog vaak tekort. Iets dat het register zou moeten veranderen.
"Burgers moeten erop kunnen vertrouwen dat algoritmes voldoen aan publieke waarden en de daarvan afgeleide (wettelijke) normen en dat uitgelegd wordt hoe ze werken. Op basis daarvan kunnen burgers de overheid desgewenst kritisch volgen en bevragen of zij zich aan de regels houdt", aldus de staatssecretaris.
Volgens Van Huffelen gaat het hier om een eerste versie en is verdere doorontwikkeling "beslist nodig". Het komend jaar zal in overleg met overheden gewerkt worden aan een eenduidige registratie van algoritmes in het register.
In de huidige versie van het register zijn de gegevens handmatig ingevoerd. Het plan is om de informatie automatisch op te halen uit decentrale algoritmeregisters. Deelname aan het algoritmeregister is niet verplicht voor overheden, maar hier wordt wel naar gekeken.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
De Vrije Universiteit in Amsterdam heeft een datalek gemeld, nadat een laptop van de universiteit is gestolen. Op de ontvreemde computer stonden persoonsgegevens van (oud-)studenten. De universiteit heeft melding gedaan van het datalek bij de Autoriteit Persoonsgegevens.
Op zijn website en via een mail aan alumni maakt de VU bekend dat er op 25 november dit jaar twee laptops zijn gestolen van de campus in Amsterdam. Op een van de laptops stonden persoonsgegevens van studenten, waaronder kopieën van paspoorten en verblijfsvergunningen.
De eerste groep die mogelijk is getroffen, zijn studenten die zich tussen 2003 en 2008 hebben ingeschreven voor een doctoraal-, bachelor- of masteropleiding. Ook studenten die zich hebben proberen in te schrijven zijn mogelijk getroffen. Het gaat om zowel Nederlandse als internationale studenten. Naast een kopie paspoort of verblijfsvergunning is van deze studenten mogelijk ook een cijferlijst, informatie over betalingsachterstand of een bezwaar gelekt.
De tweede groep waarvan data op de laptops staat, zijn internationale studenten die zich tussen 2008 en 2015 hebben ingeschreven voor een studie. Van deze studenten zijn mogelijk ook identiteitsbewijzen en correspondentie zoals bezwaarschriften gelekt.
De derde groep bestaat uit studenten die tussen 2008 en 2019 een bijvak volgden aan de VU of een vooropleiding hadden met een of meer ontbrekende vakken. Van deze studenten zijn mogelijk behaalde certificaten gelekt.
Alles bij de bron; Tweakers
- Gegevens
- Hoofdcategorie: Internet en Telecom
Door middel van een IDOR-kwetsbaarheid was het mogelijk om de inloggegevens van 15.000 Nederlandse huisartsen in handen te krijgen, zo ontdekte huisarts en beveiligingsonderzoeker Jonathan Bouman.
Het beveiligingslek was drie, en mogelijk vijf, jaar lang in de code aanwezig. HaWebSSO is een single-sign-ondienst waarmee huisartsen toegang tot verschillende applicaties van het Nederlandse Huisartsen Genootschap (NHG) en de Landelijke Huisartsen Vereniging (LHV) kunnen krijgen.
Bouman ontdekte een onbeveiligde API endpoint waar hij gegevens van willekeurige gebruikers kon opvragen, ook zonder enige authenticatie. Het endpoint bleek niet goed te controleren dat wie om de gegevens vroeg ook degene is van wie de gegevens zijn. Zo was het mogelijk om e-mailadres, volledige naam, wachtwoordhash en lidmaatschapsgegevens van meer dan vijftienduizend huisartsen op te vragen.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
Epic Games heeft een schikking van 520 miljoen dollar (490 miljoen euro) getroffen, meldt de Amerikaanse concurrentiewaakhond FTC maandag. De gameontwikkelaar van het populaire schietspel Fortnite werd beschuldigd van onder meer het schenden van privacyregels voor kinderen.
Het bedrijf zou informatie van spelers onder de dertien jaar hebben verzameld, zonder ouders op de hoogte te stellen of toestemming te verkrijgen. Ook heeft Epic Games volgens de FTC spraak- en tekstchat bij het populaire computerspel standaard ingeschakeld voor kinderen en tieners. Dat zou ervoor gezorgd hebben dat kinderen werden gepest, bedreigd en lastiggevallen.
Daarnaast werd het bedrijf beschuldigd van het in de val lokken van consumenten met bepaalde technieken om ze te laten betalen voor extra opties in het spel. Mensen die de aankoop wilden annuleren, werden daarbij belemmerd. Dat zou tot honderden miljoenen dollars aan onbedoelde aankopen hebben geleid.
Epic Games geeft de beschuldigingen niet toe, maar ontkent ze ook niet.
Alles bij de bron; NU
- Gegevens
- Hoofdcategorie: Internet en Telecom
Google geeft Gmail voor scholen en het duurdere abonnement voor bedrijven de optie om aan de kant van de client mails te versleutelen. Daardoor kunnen de servers van Google niet langer zien wat er in de mails staat.
Gebruikers kunnen zich in de komende maand opgeven voor de bèta, zegt Google. De functie heet CSE, Client Side Encryption. Het is voor het eerst dat er een optie komt om mails te versleutelen in Gmail.
De bèta gaat functioneren op Workspace Enterprise Plus, Education Plus en Education Standard. Voor Enterprise-gebruikers komt de functie er voorlopig dus niet, evenmin als voor particuliere gebruikers van Workspace. Ook reguliere gebruikers van de gratis maildienst krijgen de optie voorlopig niet.
Het valt te bezien of die ooit zal komen, want relevante advertenties tonen op basis van de inhoud van mails is een verdienmodel van Google voor Gmail. Bij abonnementen komt het geld binnen via de abonnees en in die versie van de dienst zitten geen advertenties.
Alles bij de bron; Tweakers
- Gegevens
- Hoofdcategorie: Internet en Telecom
De Amerikaanse cryptobeurs Gemini heeft van 5,3 miljoen gebruikers de privégegevens gelekt, die vervolgens voor gerichte phishingaanvallen zijn gebruikt. Het gaat om e-mailadressen en gedeeltelijke telefoonnummers.
De melding van het datalek komt een paar dagen na een soortgelijk datalek bij cryptodienstverlener CoinTracker. Daar werden de gegevens van anderhalf miljoen klanten gelekt.
De 5,3 miljoen e-mailadressen van Gemini-gebruikers zijn toegevoegd aan Have I Been Pwned. Via de zoekmachine is het mogelijk om te kijken of een e-mailadres in een bekend datalek voorkomt. Van de bij CoinTracker buitgemaakte e-mailadressen was 63 procent al via een ander datalek bij de zoekmachine bekend.
Alles bij de bron; Security