Uit onderzoek van Darktrace binnen hun klantenbestand blijkt dat het aantal ‘novel social engineering’-aanvallen tussen september en december 2023 is toegenomen met maar liefst 35 procent.
Darktrace houdt trends bij op basis van zijn wereldwijde klantenbestand om te begrijpen hoe de uitdagingen waarmee beveiligingsteams worden geconfronteerd zich ontwikkelen.
De belangrijkste resultaten uit het onderzoek binnen het klantenbestand van Darktrace zijn:
Alles bij de bron; Dutch-IT-Channel
Pig butchering wordt het genoemd. Volgens de Fraudehelpdesk is het een snel toenemende vorm van datingfraude: mensen worden op datingapps verleid te investeren in cryptovaluta. Slachtoffers zouden wereldwijd al 75 miljard dollar hebben verloren.
Pig butchering ontstond rond 2018 in China. Gelijk met het coronavirus verspreidde het zich daarna over de wereld.
Een slachtoffer behaalde eerst een kleine winst en werd zo net als varkers eerst ‘vetgemest’- maar verloor later ruim tien mille. Zijn chatpartner bleek na betaling spoorloos…
De man deed aangifte maar kreeg te horen dat die niets zou opleveren. Onderzoekers in de VS en Duitsland achterhaalden enkele dadergroepen. De oplichters blijken vaak slachtoffer van mensenhandel, gelokt via nepvacatures, soms verhandeld en gevangen gehouden door criminelen.
Volgens Interpol gebeurt dat vooral in Zuidoost-Aziatische landen als Myanmar, Cambodja en Laos. In Indonesië werden al eens meer dan tachtig personen aangehouden die dagelijks met pig butchering bezig waren; in Myanmar werden recent zelfs twaalfhonderd mensen ‘gered’ die gedwongen met oplichting bezig waren.
Alles bij de bron; Cops-in-Cyberspace
Criminelen bieden duizenden kopieën van Nederlandse paspoorten en identiteitskaarten aan op internet, zo meldt RTL Nieuws op basis van onderzoek. Het gaat om gegevens die bij ransomware-aanvallen op Nederlandse organisaties zijn gestolen en door de criminelen worden gepubliceerd als getroffen organisaties niet betalen.
Naast kopieën van identiteitsbewijzen gaat het ook om andere gevoelige documenten, zoals rekeningafschriften, salarisstroken en echtscheidingspapieren. De gestolen documenten worden vervolgens door anderen weer op internet aangeboden voor het plegen van identiteitsfraude.
De Autoriteit Persoonsgegevens is inmiddels een onderzoek gestart naar bedrijven die slachtoffers van een datalek niet goed informeren. "Dit gebeurt mede naar aanleiding van concrete tips en klachten van mensen", aldus een woordvoerder van de toezichthouder.
Alles bij de bron; Security
Sociale mediabedrijven kunnen een hoop volgen: waar je op klikt, wat je online bekijkt en wat jouw politieke voorkeur is. Niet alleen surf- en zoekgedrag, ook persoonlijke gegevens, zoals woonplaats en leeftijd van gebruikers, werden tot voor kort standaard door Meta verwerkt om ‘de perfecte advertenties’ aan te bieden. Meta, moederbedrijf van Instagram en Facebook, wil nu stoppen met het verwerken van persoonlijke gegevens voor gerichte reclame, maar dan wel tegen betaling.
Dat het ‘oude systeem’ van Meta niet aan de regels voldeed, werd in juli 2023 al door het Europese Hof van Justitie besloten.
Meta bedacht daarop een nieuw model. Facebook of Instagram gebruiken zonder gerichte reclame is mogelijk, maar dan moeten gebruikers wel een abonnement bij Meta afsluiten. ‘Je zult dus moeten gaan betalen om je privacy te behouden’, aldus advocaat gegevensbescherming bij privacy-organisatie Noyb, Maartje de Graaf.
En dat kan nog best wel eens prijzig worden. ‘In landen waar toezichthouders toestaan dat het model wordt gebruikt, zie je dat zeer veel websites dit ook gaan doen’, licht De Graaf toe.
Minder dan een jaar nadat het systeem in Duitsland werd goedgekeurd, maakt 30% van de top-100-websites in Duitsland er al gebruik van. Het kost ruim € 1500 per jaar om de honderd populairste websites te kunnen gebruiken zonder gepersonaliseerde reclame tegen te komen. In Spanje zouden gebruikers te maken krijgen met kosten van ongeveer € 1460, terwijl dit bedrag in Frankrijk ruim € 1100 bedraagt.
De Nederlandse toezichthouder, de Autoriteit Persoonsgegevens, vreest dan ook dat het goedkeuren van dit systeem ertoe zal leiden dat privacy een luxegoed wordt. ‘Je hebt er recht op dat je grip en zeggenschap houdt over jouw gegevens. Dat is een grondrecht voor iedereen. Maar techbedrijven hangen daar nu een prijskaartje aan. Wordt privacy daarmee een luxe die alleen voor rijke mensen is weggelegd?’, aldus de AP op de eigen site.
Daarom vraagt de AP aan de Europese koepel van toezichthouders, om een gedeelde visie op te stellen. Er wordt verwacht dat de EDPB eind maart haar visie op het systeem zal geven. Samen met 27 andere privacy-organisaties schreef Noyb ook een brief aan de EDPB, waarin zij de instantie oproept om zich te verzetten tegen 'pay or okay’.
Alles bij de bron; FD
Consumenten worden vaak niet goed ingelicht over wat een slim apparaat precies doet. Ook ontbreekt informatie over in welke omgeving het product werkt en waar het mee kan samenwerken. Dat concluderen de Autoriteit Consument & Markt (ACM) en de Rijksinspectie Digitale Infrastructuur (RDI) in een gezamenlijk onderzoek.
De ACM en RDI baseren hun conclusie op een steekproef met vijftien slimme apparaten. Daar vallen huishoudelijke apparaten onder, zoals slimme verlichting, babyfoons, televisies, thermostaten en wasmachines. Uit het onderzoek blijkt dat het vooral misgaat bij de meegeleverde apps die slimme apparaten gebruiken.
Met de uitkomsten willen de toezichthouders de basis leggen voor hun toezicht op slimme apparaten.
Alles bij de bron; NU
AI-beeldgenerator Cutout.Pro is het slachtoffer geworden van een datalek. Bij een aanval eerder deze week werden de gegevens van bijna 20 miljoen accounts gestolen, meldt o.a datalekzoekmachine Have I Been Pwned.
Naast e-mailadressen en IP-adressen zijn ook namen van gebruikers en salted MD5-wachtwoordhashes gestolen. De gegevens worden aangeboden op een populair hackersforum en via Telegram-kanalen, aldus Have I Been Pwned. Hoe de gegevens gestolen konden worden, is niet bekendgemaakt.
Alles bij de bron; Tweakers
Deurbelcamera's van fabrikant Eken, die ook onder allerlei andere namen worden verkocht, zijn zeer eenvoudig door kwaadwillenden over te nemen, die daarna ermanent met beelden van de videofeed kunnen meekijken. Het enige dat een aanvaller hoeft te doen is een account aanmaken via de Aiwit-app.
Vervolgens kan de aanvaller naar de deurbelcamera van zijn slachtoffer gaan en de bel indrukken om de pairingmode te starten. Vervolgens is het mogelijk om de deurbel met een wifi-netwerk te verbinden en het apparaat zo volledig over te nemen. Daarna is het mogelijk om live met de camera mee te kijken. Ook kan de aanvaller dan het serienummer van de camera achterhalen.
De oorspronkelijke eigenaar krijgt, wanneer een aanvaller zijn telefoon aan de deurbelcamera koppelt, bericht dat hij geen toegang meer heeft. Door zijn telefoon opnieuw te pairen is het mogelijk voor de eigenaar om de controle weer terug te krijgen. Een probleem is echter dat een aanvaller met het achterhaalde serienummer van de deurbelcamera beelden van de videofeed kan blijven bekijken, ook al is zijn telefoon niet meer gepaird. Hiervoor is geen account of wachtwoord vereist en de eigenaar krijgt hier geen melding van.
Tevens blijkt dat de deurbelcamera's ook het ip-adres en wifi-netwerknaam onversleuteld naar het internet versturen. De camera's worden in allerlei webshops en op online marktplaatsen aangeboden, ook in Nederland. De Android-app van Eken is meer dan een miljoen keer gedownload. De problemen zijn bij de deurbelcamerafabrikant aangemeld, maar er is geen reactie op ontvangen.
Alles bij de bron; Security
De krediet- en hypotheekverstrekker LoanDepot heeft de persoonlijke gegevens van bijna 17 miljoen klanten gelekt. Dat laat het bedrijf aan de procureur-generaal van de Amerikaanse staat Maine weten. De gegevens werden bij een ransomware-aanval op 8 januari gestolen.
Het gaat om naam, adresgegevens, e-mailadressen, financiele rekeningnummer, social-securitynummers, telefoonnummer en geboortedatum. Het gaat om één van de grootste datalekken in de Verenigde Staten van de afgelopen maanden. Hoe de aanval mogelijk was en wat de financiële gevolgen zijn is niet bekendgemaakt.
Alles bij de bron; Security
Het Chinese bedrijf iSoon zou op systematische wijze grootschalige cyberaanvallen hebben uitgevoerd voor de Chinese overheid en daarbij zijn pijlen voornamelijk op buitenlandse overheidsorganisaties en private ondernemingen richten.
Dit blijkt uit gelekte documenten die eerder deze maand op GitHub verschenen, maar ondertussen van het platform zijn verdwenen. Er was volgens de redactie van The Washington Post sprake van meer dan 570 verschillende bestanden waaronder spreadsheets met informatie over cyberaanvallen, afbeeldingen en gesprekken tussen iSoon-medewerkers zelf.
Volgens beveiligingsexperts was er in de documenten ook verkoopmateriaal van het bedrijf terug te vinden waarin nieuwe malware, monitoringsplatformen en hardware werden voorgesteld. The Washington Post meent dat er ook contracten zijn teruggevonden met de Chinese overheid. Die plaatste naar verluidt bestellingen bij iSoon om gevoelige data van buitenlandse overheidsorganisaties te bemachtigen en sommige van deze contracten waren al meer dan acht jaar oud.
Er werd ook een spreadsheet teruggevonden met daarin een lijst van tachtig buitenlandse doelwitten die de werknemers van iSoon hadden kunnen binnendringen...
...Het Chinese bedrijf was ook in het Westen actief. Tussen de gelekte documenten was een lijst terug te vinden met overheidsorganisaties uit het Verenigd Koninkrijk, zoals bijvoorbeeld het Britse ministerie van Binnenlandse, Buitenlandse Zaken en het Britse ministerie van Financiën. Het is evenwel niet duidelijk of iSoon daar ook gevoelige informatie heeft kunnen bemachtigen.
Uit sommige chatlogs bleek ook dat de NAVO een bestelling had geplaatst bij iSoon. Dat gebeurt volgens The Washington Post in 2022. Het is niet duidelijk welke informatie de Noord-Atlantische Verdragsorganisatie wilde bemachtigen via het Chinese bedrijf.
Wie de gegevens heeft gelekt, is voorlopig onduidelijk.
Alles bij de bron; Tweakers
Avast moet een bedrag van 16,5 miljoen dollar betalen wegens het op oneerlijke wijze verzamelen en verkopen van gebruikersgegevens, zo heeft de Amerikaanse toezichthouder FTC bepaald. Het ging om browsegegevens van gebruikers die de browser-extensie of antivirussoftware van de virusbestrijder hadden geïnstalleerd.
Volgens de FTC werden via de programma's browsegegevens van gebruikers op oneerlijke wijze verzameld, oneindig lang bewaard en zonder duidelijke kennisgeving en toestemming van gebruikers doorverkocht. Tevens stelt de toezichthouder dat Avast gebruikers heeft misleid door te claimen dat de software de privacy van gebruikers zou beschermen door third-party tracking te blokkeren, maar werd er niet gemeld dat hun browsegegevens werden verkocht. De FTC laat weten dat gegevens van gebruikers verkocht zijn aan meer dan honderd derde partijen.
Al in 2019 werd bekend dat Avast miljoenen aan het browsegedrag van gebruikers verdiende. Deze gegevens werden verhandeld via databedrijf Jumpshot, waar Avast een meerheidsbelang in had. De FTC laat weten dat Avast zeker tenminste sinds 2014 gegevens van gebruikers via de extensies en antivirussoftware verzamelde.
Verder besloot Avast het her-identificeren van gebruikers aan de hand van verkochte data niet te verbieden. En zelfs bij de contracten waar een dergelijk verbod wel was opgenomen, was dit dusdanig verwoord dat derde partijen niet-persoonlijke identificeerbare informatie aan het browsegedrag van Avast-gebruikers konden koppelen. Sommige van de producten die Jumpshot aanbood waren zo ontworpen dat klanten bepaalde gebruikers konden tracken of zelfs bepaalde gebruikers en hun browsegeschiedenis aan andere informatie konden koppelen die deze klanten al over de gebruikers in bezit hadden.
Alles bij de bron; Security