In 2018 in aanloop naar Kerst publiceerde de verdachte via een soort adventskalender op Twitter links naar de gelekte gegevens. Onder meer e-mailadressen en een faxnummer van Angela Merkel werden gepubliceerd.
Onder alle gelekte gegevens bevonden zich volledige namen, geboortedata, woonadressen, telefoonnummers, IP-adressen, e-mailadressen, gegevens van familieleden (waaronder foto's van kinderen en scans van identiteitsdocumenten), declaraties, IBAN-gegevens, chatgesprekken en links naar Twitter-, Instagram- en Skype-profielen.
Alles bij de bron; NU
Een kwetsbaarheid in de verplichte corona-app van Qatar maakte het mogelijk om toegang tot gevoelige persoonlijke gegevens van meer dan één miljoen gebruikers te krijgen. Het ging onder andere om naam, nationaal identiteitsnummer, gezondheidsstatus en locatiegegevens, zo meldt Amnesty International op basis van eigen onderzoek.
Gegevens die de app verzamelt worden naar een centrale server van de overheid geüpload. Die gegevens waren echter voor iedereen op internet toegankelijk, aangezien er geen beveiligingsmaatregelen aanwezig waren om de data te beschermen, aldus Amnesty International. De Ehteraz-app laat via een qr-code de gezondheidsstatus van de gebruiker zien. De qr-code gebruikt een kleurensysteem om de gezondheid van de gebruiker aan te geven.
De qr-code wordt door de app bij de centrale server opgevraagd. Hiervoor maakt de app gebruik van het nationaal identiteitsnummer waarmee de gebruiker zich registreerde. Bij het opvragen van de qr-code vond er geen aanvullende authenticatie plaats. Hierdoor was het mogelijk voor een aanvaller om zich met een willekeurig identiteitsnummer te registreren en vervolgens de qr-code van de burger in kwestie op te vragen. Daar komt bij dat het nationaal identiteitsnummer van Qatar een consistent formaat volgt. Zodoende is het mogelijk om alle combinaties te genereren en daarmee de gegevens van de betreffende Ehteraz-gebruikers op te vragen die op de server waren verzameld.
Amnesty waarschuwde de autoriteiten in Qatar, waarna de namen en locatiegegevens uit de qr-code werden verwijderd.
Alles bij de bron; Security
De Belgische spoorbeheerder Infrabel test camera's en sensoren die herkennen of het personeel mondkapjes draagt en voldoende afstand van elkaar houdt. Ook het niet goed dragen van een mondkapje kan worden herkend. Zodra de sensoren een "abnormale situatie" detecteren geven ze een waarschuwing.
In een persbericht (pdf) schetst Infrabel een scenario waarbij de camera's en sensoren permanent de ruimtes scannen om misstanden te detecteren en personeel te waarschuwen. "Een sensor die permanent de ruimte scant, ontdekt een abnormale situatie: twee personen bevinden zich, misschien wel onbewust, op 1m15 van mekaar. Of, er zijn bijvoorbeeld te veel mensen aanwezig in het lokaal."
Het systeem is zelfs in staat om te kijken of en hoe mensen een mondkapje dragen. "Een sensor, gekoppeld aan artificiële intelligentie, kan mensen eruit pikken die geen mondmasker dragen. Het is zelfs in staat om te zien wanneer het mondmasker slecht gedragen wordt (bijvoorbeeld wanneer de neus nog zichtbaar is boven het masker). Het systeem geeft dan ook de nodige veiligheidsaanbevelingen." Een door Infrabel zelf ontwikkeld algoritme berekent aan de hand van camerabeelden de afstand tussen medewerkers.
Volgens het bedrijf voldoet het systeem aan de AVG. Naast de camera's en sensoren wordt een deel van het personeel uitgerust met polsbandjes die een waarschuwing geven wanneer personeel te dicht bij elkaar komt.
Alles bij de bron; Security
Namen van 250 slachtoffers die vorige eeuw werden misbruikt en mishandeld in opvanghuizen die onder leiding stonden van de overheid, liefdadigheidsinstellingen en kerken zijn via een e-mailblunder openbaar geworden.
Het Interim Advocate's Office, dat slachtoffers en overlevenden van het misbruik vertegenwoordigt, verstuurde afgelopen vrijdag een maandelijkse nieuwsbrief. Daarbij waren 250 namen van de geadresseerden voor andere ontvangers zichtbaar. Interim Advocate Brendan McAllister heeft excuses gemaakt voor het datalek en een onderzoek naar de oorzaak aangekondigd, zo melden de BBC en ITV. Inmiddels is ook de Britse privacytoezichthouder ICO over het datalek geïnformeerd.
Verschillende slachtoffergroepen hebben om zijn ontslag gevraagd, zo meldt The Irish Times. McAllister zegt zich over zijn positie te zullen beraden mocht blijken dat hij verantwoordelijk is voor het datalek.
Alles bij de bron; Security
Nu iOS 13.5 eindelijk beschikbaar is, krijgen we te zien hoe het notificatiesysteem voor het virus werkt en hoe het zit met je privacy. Wanneer je straks de functie activeert en je een app van een gezondheidsorganisatie op je smartphone hebt staan, dan zal via bluetooth constant een signaal verzonden worden.
In dat signaal zit een willekeurige identificatiesleutel. Wanneer twee telefoons vlak langs elkaar bewegen, dan worden die sleutels uitgedeeld en wordt de informatie gecontroleerd.
Privacy is en blijft een belangrijk goed. Daarom hebben Apple en Google ervoor gezorgd dat je privacy niet in het geding komt. Zo wordt er namelijk geen data opgeslagen over je locatie. De apps van gezondheidsorganisaties zouden ook zo min mogelijk data moeten verzamelen. Locatiegegevens delen is in elk geval onnodig voor gebruik van zo’n app. Verder houden Google en Apple hun handen van de apps af: zij leveren de tools en het is aan de ontwikkelaars en achterliggende gezondheidsorganisaties er wat van te maken.
De api kan overigens alleen gebruikt worden door ontwikkelaars die samenwerken met gezondheidsorganisaties. Ook gebeurt dat alleen in het kader van covid-19. Op de langere termijn wordt er nog steeds gekeken naar een oplossing waarbij mensen geen app meer hoeven te downloaden. Verder is het goed om te weten dat de bluetoothsleutels willekeurig gegenereerd worden (en dus niet te herleiden zijn) en dat alle metadata van het bluetoothsignaal versleuteld is. Zo wordt ervoor gezorgd dat personen achterhalen ontzettend moeilijk is.
Meer over de api en je privacy:
Alles bij de bron; 1morething
De Irish Data Protection Commission (DPC) zegt vooruitgang te boeken bij onderzoeken naar grote socialemediabedrijven waarvan wordt aangenomen dat ze de Algemene Verordening Gegevensbescherming van de EU hebben geschonden. Er loopt onderzoek naar Twitter, WhatsApp en Facebook.
De zaak tegen Twitter is het verst gevorderd. Het onderzoek is afgerond en een ontwerpbesluit over de naleving door Twitter van de AVG na datalekken is voor commentaar naar de andere EU-toezichthouders voor gegevensbescherming gestuurd.
Daarnaast werd er een voorontwerp van besluit gestuurd naar WhatsApp Ireland voor de definitieve reactie van het bedrijf. Deze zaak bekijkt of WhatsApp de AVG heeft geschonden door niet volledig bekend te maken aan het gebruik dat het hun persoonlijke gegevens deelde met het moederbedrijf Facebook.
Het onderzoek van de DPC naar Facebook, over de vraag of het de juiste toestemming van gebruikers heeft gekregen voor het verwerken van hun persoonlijke gegevens, wordt ook voortgezet. De toezichthouder zei dat dit onderzoek zich in de besluitvormingsfase bevindt.
Ten slotte zal de door de Oostenrijkse activist Max Schrems aangespannen principiële zaak tegen Facebook op 16 juli voor het Europese Hof van Justitie worden gehoord. Schrems heeft Facebook ervan beschuldigd de privacywetgeving van de EU te hebben geschonden door gegevens over gebruikers naar de VS te sturen, waar ze mogelijk onder staatstoezicht staan. De zaak gaat na of het gebruik van modelcontractclausules door Facebook om de gegevensoverdracht te autoriseren in overeenstemming is met de AVG.
Alles bij de bron; TelecomPaper
De Gegevensbeschermingsautoriteit wil voortaan op eigen initiatief grootschalige onderzoeken starten en onderzoeken op thema of per sector in gang zetten, meldt inspecteur-generaal Peter Van Den Eynde in een gesprek met Belga, waarover Datanieuws publiceert. "
Tot op heden was ons inspectiebeleid vooral reactief: we hebben de ontvangen klachten opgevolgd. Voortaan willen we ook proactiever te werk gaan met bijvoorbeeld sectorale of thematische, grootschalige onderzoeken op eigen initiatief', zegt Peter Van Den Eynde. 'We zijn ervan overtuigd dat we dankzij een proactieve en globale aanpak de persoonsgegevens van de burgers doeltreffender kunnen beschermen.'
Daarvoor zijn volgens hem wel meer middelen nodig. Van Den Eynde hield het gesprek omdat de Algemene Verordening Gegevensbescherming maandag twee jaar van kracht is.
Alles bij de bron; Tweakers
Voor het eerst in jaren is er weer een jailbreak op basis van een zero day, zo zegt de maker Unc0ver. Vanaf 2015 zette Apple flinke stappen om iOS veiliger te maken, met als resultaat dat veiligheidslekken minder voorkwamen. Dit had als resultaat dat ook jailbreaken steeds lastiger werd.
Het afgelopen jaar lijkt echter een kantelpunt. Er lijken meer zero days dan ooit te zijn. Zo claimt Zerodium, dat handelt in zero days, dat het stopt met het aankopen van deze 'onbekende' kwetsbaarheden - het aanbod is simpelweg te groot. Apple lijkt dus steeds meer gaten in zijn beveiliging te hebben. Dit maakt het voor hobbyisten mogelijk om aanpassingen te doen, maar wellicht belangrijker stelt het onderzoekers in staat om het gesloten besturingssysteem door te lichten op veiligheidsproblemen.
Deze jailbreak is relatief geavanceerd en werkt van iOS 11 tot de meest recente versie. Installeren gaat via de bekende AltStore of Cydia, maar het blijft niet in stand na een reboot. Wel blijven de bestanden aanwezig, waardoor het opnieuw uitvoeren daarvan wederom een jailbreak oplevert.
Volgens de maker worden de beveiligingsmechanismen van iOS niet aangetast en tast het de accuduur niet aan. Apple-diensten blijven gewoon bruikbaar, zoals iCloud, Apple Pay en iMessage. Ook de dataprotectie en sandbox blijven in stand, waardoor persoonlijke data veilig zou blijven. Dit moet uiteraard nog getest worden en deze tool is niet open source. Voor de zekerheid melden we dus maar dat installeren echt op eigen risico is.
Alles bij de bron; HardwareInfo
Door de ‘intelligente lockdown’ neemt de afhankelijkheid van internet toe en grijpen cybercriminelen hun kans. De politie ziet vaker WhatsApp-fraude en DDoS-aanvallen.
Dat cybercriminelen proberen te profiteren van de coronacrisis is geen verrassing. Iedere actualiteit wordt aangegrepen. Momenteel bijvoorbeeld door de inhoud van phishingmails aan te passen aan de pandemie en de kans op een fatale klik te vergroten. Er is nu ook meer gelegenheid: door de ‘intelligente lockdown’ werken veel mensen thuis, waardoor de afhankelijkheid van internet is toegenomen.
Incidenten zijn er genoeg. Meermaals waarschuwde de politie voor criminelen die inspelen op de actualiteit, onder meer via phishingmails die gebruikers oproepen een ‘antibacteriële bankpas’ aan te vragen met een speciale beschermlaag tegen Covid-19. Het explosief gestegen aantal internetadressen met daarin coronagerelateerde termen wijst in de richting van misbruik. Onderzoekers die samenwerken op antiviruswebsite VirusTotal hadden eind april al meer dan tachtigduizend coronawebsites aangemerkt als ‘kwaadaardig’.
Ook via sms worden mensen benaderd. Bijvoorbeeld met de boodschap dat een openstaande schuld bij de Belastingdienst direct moet worden voldaan, omdat anders beslag wordt gelegd op eigendommen. De bijgevoegde link leidt dan naar een nagemaakte site, waar inloggegevens van betaalrekeningen worden buitgemaakt.
De politie ziet vaker WhatsApp-fraude en DDoS-aanvallen, of bedreigingen daarmee. Bij fraude via WhatsApp worden mensen benaderd door criminelen die zich voordoen als bekenden. Vervolgens proberen zij hun slachtoffer te verleiden geld over te maken, bijvoorbeeld omdat ze krap bij kas zouden zitten. Deze vorm van cybercriminaliteit groeide voor de coronacrisis al sterk.
Bij DDoS-aanvallen worden websites bestookt met internetverkeer van bijvoorbeeld gekaapte computers, met als gevolg dat domeinen plat dreigen te gaan en websites onbereikbaar worden. Bedrijven die voor een belangrijk deel van hun omzet afhankelijk zijn van digitale klanten, zijn hier beducht voor.
„Wat nieuw is, is dat ondernemers nu via WhatsApp berichten krijgen waarin wordt gedreigd met een DDoS-aanval. Kennelijk weten criminelen hun 06-nummers te achterhalen. Dan komt het gevoelsmatig een stuk dichterbij dan wanneer er een dreigmail bij het bedrijf binnenkomt”, zegt Octavia de Weerdt, directeur van de Nationale Beheersorganisatie Internet Providers (NBIP).
De NBIP biedt een ‘nationale wasstraat’ tegen DDoS-aanvallen aan. Internetproviders van wie de klanten doelwit worden van een DDoS-aanval kunnen hun internetverkeer laten omleiden via de servers van de wasstraat. Daar wordt het oneigenlijke verkeer van gekaapte computers gescheiden van echte websitebezoekers. Het ‘schone’ verkeer wordt teruggeleid naar de internetprovider. Op dit moment ziet De Weerdt niet alleen de zwaarte van DDoS-aanvallen toenemen – ze duren langer en vinden plaats vanaf meer gekaapte computers – maar ook de agressiviteit.
Alhoewel het totale aantal iets afnam, noteerde de NBIP in het eerste kwartaal van dit jaar elf zware aanvallen (dat wil zeggen: met meer dan 40 gigabit per seconde ). Dat is net zo veel als in heel 2019. In hoeverre deze ontwikkeling wordt gevoed door de coronacrisis durft De Weerdt niet te zeggen. Ze herkent wel dat webwinkels, die momenteel druk worden bezocht, vaker doelwit zijn.
Alles bij de bron; NRC
AIS, de grootste mobiele aanbieder van Thailand, heeft een database offline gehaald die realtime miljarden internetgegevens van miljoenen Thaise internetgebruikers lekte. Dat schrijft beveiligingsonderzoeker Justin Paine maandag op zijn blog.
Paine zegt dat hij de database zonder wachtwoord op internet heeft gevonden. Met toegang tot deze database beweert hij dat iedereen "snel een beeld kan schetsen van wat een internetgebruiker (of het complete huishouden) op dat moment aan het doen is".
Op 13 mei waarschuwde Paine al voor de open database. Na een week niets te hebben gehoord, meldde hij de grote beveiligingslek bij ThaiCERT, het coördinatiecentrum voor de beveiliging van computersystemen in Thailand. Kort daarna werd de database ontoegankelijk.
Alles bij de bron; NU