Het gaat om informatie van personeel en klanten in Japan en Noord-Amerika. Het is onduidelijk hoeveel mensen door het datalek zijn getroffen, maar het zou om 350.000 verschillende gegevens gaan.
Capcom werd afgelopen week getroffen door een cyberaanval waarbij 1 terabyte aan informatie werd gestolen. Inmiddels heeft het bedrijf in kaart gebracht wat voor privacygevoelige informatie op straat ligt.
In Japan zijn de namen, adressen, telefoonnummers en e-mailadressen van iedereen die met de klantenservice contact heeft gehad gelekt. Bij de Amerikanen gaat het om gegevens uit een online winkel en de e-sportsite van het bedrijf.
Alles bij de bron; NU
Update [13/01/2021]
Bij de ransomware-aanval op de Japanse gameontwikkelaar Capcom die vorig jaar november plaatsvond zijn de gegevens van mogelijk 390.000 mensen gestolen, zo laat het bedrijf in een 2e update over het incident weten.
Bij de vorige update verklaarde Capcom dat van negen mensen was bevestigd dat hun persoonlijke data inderdaad was gestolen. Ook dat aantal is naar boven bijgesteld. Op dit moment staat de teller op meer dan 16.400 getroffen personen. Van deze mensen zijn namen, adresgegevens, telefoonnummers, e-mailadressen en in het geval van huidige en voormalige medewerkers ook HR-informatie buitgemaakt. Verder wisten de aanvallers salesgegevens, partnerinformatie en ontwikkeldocumenten te stelen.
Alles bij de bron; Security
Een nieuw beleid voor bestandsopslag in Google's cloud gaat over enkele maanden in. De internetgigant kondigt aan dat het maatregelen gaat nemen voor accounts die inactief zijn of die over hun opslaggrenzen heen zijn gegaan. Google mag dan content van consumenten wissen, geeft Google aan.
Het gaat om consumentenaccounts voor Google-diensten als Gmail, Photos en Drive, waarbij laatstgenoemde dan Google Docs, Sheets, Slides, Drawings, Forms en Jamboard omvat. De nieuwe policies voor bestandsopslag in deze clouddiensten zijn vorige week aangekondigd, en gaan per 1 juni 2021 in.
Het betreft hierbij data-opslag bij de specifieke producten waarin de gebruiker inactief is - of voorbij de opslaggrens is gegaan. Activiteit in of met de ene dienst zorgt dus niet voor 'databescherming' in een andere Google-dienst. Kritische gebruikers merken op dat dit nieuwe beleid geen rekening houdt met data van gebruikers die zelf mogelijk inactief zijn maar waarvan de bestanden nog door anderen wordt gebruikt of geraadpleegd.
Alles bij de bron; AGConnect
Apple stopt met het loggen van ip-adressen bij het controleren van de applicaties die de gebruiker wil starten. Eerder opgeslagen ip-adressen zullen worden verwijderd. Dat heeft het techbedrijf in een document bekendgemaakt. MacOS voert verschillende controles uit tijdens het starten van een applicaties. Zo checkt Gatekeeper of een app malware bevat en of het certificaat van de ontwikkelaar is ingetrokken.
Eerder deze week zorgde de Gatekeeper-controle voor problemen. Wanneer gebruikers een gesigneerde applicatie starten stuurt de notary-service informatie over het certificaat waarmee de app is gesigneerd naar de servers van Apple om te controleren dat de digitale handtekening overeenkomt. Wanneer dit het geval is wordt de applicatie gestart. Is er geen internetverbinding, dan is de controle niet mogelijk, maar voert macOS de app gewoon uit. Is er wel verbinding met internet, maar zijn er problemen met Apples server, dan blijven de applicaties 'hangen', wachtend op een antwoord.
De werkwijze zorgde voor felle kritiek. "Apple Users Got Owned", schreef Kyle Rankin, Chief Security Office bij fabrikant Purism. Volgens Rankin hebben Mac-gebruikers geen echte controle over hun computer. "Net als met zoveel Apple-features is security een marketingterm terwijl de echte drijfveer controle is. Code signing gaf Apple al controle of je een app kon installeren of software kon upgraden, deze feature geeft Apple controle of je wel applicaties kunt draaien."
Alles bij de bron; Security
Max Schrems heeft aanklachten ingediend tegen Apple bij twee Europese toezichthouders. Volgens Schrems volgt Apple zonder toestemming het internetgedrag van gebruikers van iPhones.
Volgens Schrems slaan iPhones automatisch een trackingcode voor advertenties op zonder toestemming te vragen aan de gebruiker, wat tegen de Europese privacywetten in zou gaan. Het draait daarbij om de zogeheten ‘Identifier for Advertisers’ (IDFA) die automatisch wordt gegenereerd bij het instellen van een nieuwe iPhone. Met die identifier kunnen Apple en andere partijen gebruikers online volgen.
Alles bij de bron; RTL
De Volkskrant schrijft dat de NSA jarenlang een samenwerkingsverband met het land misbruikte om meerdere Europese bondgenoten af te luisteren.
De NSA zou in 2008 een samenwerking hebben opgezet met de militaire inlichtingendienst van Denemarken, de Forsvarets Efterretningstjeneste of FE. Daarbij vroeg de FE technische en financiële hulp bij het aftappen van internetkabels in Denemarken. De NSA mocht daarvoor in ruil internetkabels aftappen die met name richting Oost-Europa liepen.
De NSA misbruikte die samenwerking volgens de omroep om niet alleen de Oost-Europese landen af te luisteren, maar ook bondgenoten zoals Denemarken zelf, en Duitsland en Nederland. De Deense omroep baseert zich op documenten van een klokkenluider. Het wordt uit de berichtgeving niet duidelijk welke informatie de NSA uit Nederland verzamelde.
De Amerikaanse dienst gebruikte het controversiële programma Xkeyscore om informatie in te winnen. Dat is een zoekmachine voor metadata waarvan het bestaan door de Snowden-onthullingen aan het licht kwam. De Amerikanen zouden via Xkeyscore specifiek naar medewerkers van het defensiebedrijf Terma hebben gezocht, maar wat ze met die informatie wilden, is niet bekend.
Alles bij de bron; Tweakers
De Finse regering werkt aan een wetsvoorstel dat het eenvoudiger voor slachtoffers van een datalek moet maken om hun bsn aan te passen. Aanleiding is de datadiefstal bij de Finse psychotherapiepraktijk Vastaamo en de afpersing die hierop volgde.
Inmiddels zijn honderden patiëntenrecords gepubliceerd, waaronder namen, contactgegevens, burgerservicenummers en patiëntenrapporten. De afperser heeft slachtoffers van het datalek ook individueel benaderd en gedreigd met het openbaren van hun data tenzij er niet wordt betaald. Inmiddels heeft de politie meer dan twintigduizend aangiften ontvangen van cliënten van de psychotherapiepraktijk van wie de informatie is gestolen.
Net als in Nederland krijgt elke Finse burger een burgerservicenummer dat voor allerlei publieke en private zaken wordt gebruikt. Het is niet eenvoudig om een bsn in Finland aan te passen en al helemaal niet mogelijk als maatregel om criminele activiteiten te voorkomen, bijvoorbeeld in het geval van een datalek.
De nieuwe wetgeving waar nu aan wordt gewerkt en die volgend jaar april van kracht moet worden, moet dit proces vereenvoudigen, zo liet de Finse minister Sirpa Paatero tijdens een persconferentie weten.
Een andere maatregel die werd aangekondigd betreft een wet voor strengere identificatie bij online diensten, zoals leningen. Op dit moment volstaat een naam en adres om fraude te plegen, de nieuwe wetgeving moet ervoor zorgen dat de identiteit van de koper beter wordt gecontroleerd.
Alles bij de bron; Security
Aanvallers zijn er in maart in geslaagd om toegang te krijgen tot een database van stockfotowebsite 123RF en hebben zo de gegevens van meer dan 8,6 miljoen gebruikers kunnen stelen. De data werd vervolgens op internet verkocht.
Het gaat om e-mailadressen, ip-adressen, adresgegevens, namen, gebruikersnamen, telefoonnummers en met het MD5-algoritme gehashte wachtwoorden. MD5 is een zwak algoritme waardoor het voor aanvallers eenvoudig is om wachtwoordhashes te kraken en zo het bijbehorende wachtwoord achterhalen.
De data zou al in maart van dit jaar zijn gestolen, maar het datalek kwam deze week pas aan het licht. De stockfotowebsite is inmiddels begonnen met het waarschuwen van getroffen gebruikers. Van de gestolen e-mailadressen was 74 procent al via een ander datalek bij Have I Been Pwned bekend.
Alles bij de bron; Security
Een vrouw uit Utrecht die via een website van het RIVM beschermingsmiddelen dacht te kopen is voor ruim 13.000 euro bestolen. Begin april ontvangt de vrouw een sms die van het RIVM afkomstig lijkt. De link wijst echter naar een nagemaakte RIVM-site die beschermingsmiddelen verkoopt.
Het afrekenen van de bestelde goederen lijkt via iDeal te kunnen. De getoonde iDeal-pagina's zijn echter phishingsites. Een eerste betaling via de Rabobank mislukt, waarna ze ervoor kiest om via Triodos te betalen, waar ze ook een rekening heeft. "Ik deed een aantal pogingen maar het lukte niet. Later op de ochtend probeerde ik het weer, het lukte weer niet", zo laat ze tegenover het AD weten.
De codes die de vrouw met haar identifier genereert en invoert worden door een crimineel gebruikt om de Triodos-app met haar gegevens op twee telefoons te activeren. De crimineel maakt vervolgens zo'n 13.000 euro over van de spaarrekening naar de betaalrekening van de vrouw. Vervolgens doet hij verschillende overboekingen, waarbij het bedrag steeds onder de 5.000 euro blijft. In twintig minuten wordt er in totaal 13.250 euro naar verschillende rekeningen overgemaakt.
Triodos stuurt de vrouw twee keer een e-mail dat zij de de Triodos Bankieren-app heeft geactiveerd. Deze berichten ziet zij pas later als het geld al van de rekening is verdwenen. De vrouw doet aangifte bij de politie en de bank stelt een onderzoek in. Triodos besluit het slachtoffer niet te vergoeden. "Hoewel we van mening zijn dat u in deze situatie geen verkeerde intentie heeft gehad, heeft u wel met de oplichters meegewerkt door op de link te klikken en daarna uw persoonlijke codes te verstrekken", zo laat de bank in een e-mail weten.
Alles bij de bron; Security
Onrechtmatige content blijkt soms voor slachtoffers moeilijk om weer offline te krijgen. Ze moeten bijvoorbeeld complexe juridische procedures doorlopen of weten niet waar ze terecht kunnen.
Een simpele oplossing bestaat niet, maar er zijn wel een aantal verbeteringen mogelijk, zo blijkt uit onderzoek van het Instituut voor Informatierecht van de Universiteit van Amsterdam in opdracht van het WODC...
...Nu laten we vrij veel over aan zelfregulering, maar de vraag die wij in ons onderzoek allereerst stellen, is: Moet het niet makkelijker worden om onrechtmatige content van het internet te verwijderen? Daarin hebben we eerst de huidige juridische routes geanalyseerd, en zijn we vervolgens op zoek gegaan naar verbeterpunten.’
De onderzoekers zien als verbeterpunt bijvoorbeeld het experimenten met een toegankelijke civiele procedure waarin de rechter snel uitspraak kan doen. Verder stellen ze in hun rapport dat het inrichten van een centraal meldpunt of kenniscentrum kan helpen om slachtoffers advies te geven over wat voor hen de beste route is. Het rapport wordt voorgelegd aan de Tweede Kamer.
Alles bij de bron; EMerce
Het kledingmerk The North Face heeft van een onbekend aantal klanten het wachtwoord gereset nadat het te maken kreeg met een credential stuffing-aanval. Bij credential stuffing worden eerder gelekte e-mailadressen en wachtwoorden gebruikt om op geautomatiseerde wijze toegang tot accounts te krijgen. Aanvallers kijken of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen.
Bij een onbekend aantal klanten wisten de aanvallers door middel van hergebruikte wachtwoorden op accounts in te loggen. Naast e-mailadres hebben de aanvallers zo toegang gekregen tot informatie over bestellingen, adresgegevens, loyaliteitspunten, naam, geboortedatum en telefoonnummer.
Creditcardgegevens waren niet toegankelijk voor de aanvallers, maar die hebben wel toegang tot een token kunnen krijgen waarmee producten op de webshop van het kledingmerk konden worden gekocht.
Om klanten te beschermen heeft The North Face van alle gecompromitteerde accounts het wachtwoord gereset. Daarnaast roept het kledingmerk deze klanten op om geen wachtwoorden te hergebruiken en heeft het bij de Amerikaanse autoriteiten melding van een datalek gemaakt.
Alles bij de bron; Security