Bij de organisator van technofestival DGTL heeft een groot datalek plaatsgevonden. Daardoor is een database met inloggegevens en andere persoonsgegevens van 130.000 bezoekers op straat komen te liggen.
Directeur Jasper Goossen van het festivalorganisatiebedrijf zegt dat een hacker het bedrijf in juli op een datalek heeft gewezen. De festivalorganisator heeft toen direct actie ondernomen en het lek verholpen. Daarbij is het ook meteen aan de Autoriteit Persoonsgegevens (AP) gemeld.
Het datalek dat in juli is opgelost, was volgens Goossen mogelijk een ander datalek dan de hacker bedoelde. De hacker concludeerde daarop dat het lek dus niet was opgelost en is daarmee naar de media gestapt. Volgens Goossen is nu pas gebleken dat het datalek in oude systemen en reservekopieën zat.
Het datalek is ontstaan doordat de inloggegevens van een oude database met gebruikersgegevens online vindbaar was. Daardoor waren de inlognamen, wachtwoorden, volledige namen, e-mailadressen, geboortedatums, adressen en telefoonnummers van 130.000 mensen zichtbaar voor onbevoegden. De wachtwoorden zijn met een slechte versleuteling beveiligd. Daardoor zijn ze binnen enkele minuten te kraken.
Doordat veel mensen hun loginnaam en wachtwoord op meerdere plekken gebruiken, bestaat de kans dat cybercriminelen deze gegevens kunnen misbruiken.
Alles bij de bron; NU
Hackers zijn erin geslaagd om enkele systemen van de Amerikaanse tak van Samsung te infiltreren. Uit eigen onderzoek blijkt dat de daders persoonsgegevens van een onbekend aantal klanten heeft gestolen.
Samsung benadrukt dat er geen Social Security Numbers (BSN-nummers), bankrekeningnummers of creditcardgegevens zijn buitgemaakt. Daarentegen zijn in sommige gevallen wel voor- en achternamen, woonadressen, contactgegevens, geboortedata en productregistratiegegevens zijn bemachtigd door hackers. Het verschilt per persoon op welke gegevens de aanvallers de hand op hebben weten te leggen.
Het is niet de eerste keer dat Samsung dit jaar doelwit is van hackers. Afgelopen maart wisten leden van de hackersgroep LAPSUS$ het bedrijf te raken met een cyberaanval. In tegenstelling tot de recente aanval werden er bij dit voorval geen persoonlijke gegevens van medewerkers of klanten buitgemaakt.
Alles bij de bron; VPN-Gids
Onderzoekers van Symantec hebben vijf apps van banken ontdekt die de vingerafdrukken van honderdduizenden klanten lekken, zo laat het securitybedrijf vandaag weten. Om welke banken het precies gaat is niet bekendgemaakt, behalve dat het verschillende "populaire bankieren-apps" voor iOS betreft.
De apps maken gebruik van de AI Digital Identity SDK (software development kit) voor het authenticatieonderdeel. Dit onderdeel geeft gebruikers, bijvoorbeeld via een vingerafdrukscan, toegang tot de mobiel bankieren-app.
In de SDK vonden onderzoekers de inloggegevens voor de clouddienst waar data van de betreffende apps werd opgeslagen. Deze clouddienst bevatte persoonlijke data zoals namen en geboortedata van klanten, maar ook 300.000 biometrische digitale vingerafdrukken die klanten gebruiken om op de app in te loggen.
De onderzoekers van Symantec analyseerden apps voor zowel Android als iOS. Ze vonden ruim 1800 apps met hardcoded inloggegevens voor de clouddiensten van Amazon. In bijna alle gevallen werden de inloggegevens in iOS-apps aangetroffen, waaronder ook de vijf bankieren-apps. Via de gelekte inloggegevens was het volgens de onderzoekers mogelijk om miljoenen private bestanden in Amazons S3-cloudopslagdienst te benaderen.
Bron; Security
Er is een ernstige kwetsbaarheid ontdekt in een chip van het bedrijf Realtek. Die chip bevindt zich in tal van routers van verschillende merken. De kwetsbaarheid maakt het mogelijk op afstand een router te laten vastlopen of de configuratie aan te passen waarna toegang is te krijgen tot bijvoorbeeld het bedrijfsnetwerk.
Dat meldt het Digital Trust Center van het ministerie van Economische zaken dat bedrijven adviseert over veilig digitaal zakendoen. De kwetsbaarheid is onder de naam CVE-2022-27255 geregistreerd. Het centrum noemt de kans dat een bedrijf gebruik maakt van een router met de genoemde chip 'vrij groot'.
De kwetsbaarheid treft routers van verschillende merken die ook in Nederland en België worden verkocht. Onderzoekers geven aan dat het om meer dan zestig fabrikanten gaat die de chip van Realtek gebruiken, waaronder Zyxel, D-link, Edimax, Belkin en AsusTek. Een volledig overzicht van alle getroffen routers ontbreekt nog.
Het Digital Trust Center adviseert nu om routers spoedig te updaten naar de laatste firmware. In het geval dat de router niet meer wordt ondersteund door de fabrikant wordt geadviseerd om de router te vervangen.
Alles bij de bron; Computable
Cloudprovider DigitalOcean heeft klanten gewaarschuwd voor een datalek nadat aanvallers wisten in te breken bij e-mailmarketingbedrijf MailChimp.
Via MailChimp kunnen bedrijven en organisaties nieuwsbrieven en marketingmails versturen, maar ook andere e-mailcommunicatie. DigitalOcean maakte gebruik van de diensten van het bedrijf, mede voor het uitvoeren van wachtwoordresets, versturen van mailwaarschuwingen en e-mailbevestigingen.
Vorige week ontdekte de cloudprovider dat een aanvaller het eigen MailChimp-account had gecompromitteerd, wat volgens DigitalOcean vermoedelijk een groter beveiligingsincident lijkt te zijn. Zo werden transactionele e-mails van DigitalOcean die via MailChimp werden verstuurd niet meer afgeleverd bij klanten. Het ging onder andere om wachtwoordresets en e-mailbevestigingen.
De aanvaller kreeg via het gecompromitteerde account toegang tot e-mailadressen van DigitalOcean-klanten. Vervolgens probeerde de aanvaller toegang tot de accounts van deze klanten te krijgen door in naam van klanten wachtwoordresets uit te voeren. Ten tijde van de aanval liet tenminste één klant weten dat het wachtwoord van zijn account was gereset. De cloudprovider meldt dat de accounts van deze klanten inmiddels zijn beveiligd. Naast de e-mailadressen zijn er geen andere klantgegevens buitgemaakt.
Eerder dit jaar wist een aanvaller ook al toegang tot een interne tool van MailChimp te krijgen om vervolgens van meer dan honderd accounts klantgegevens te stelen.
Alles bij de bron; Security
Een kwetsbaarheid in de Titan M-beveiligingschip van Google Pixel-telefoons maakt het mogelijk voor aanvallers om encryptiesleutels en andere gevoelige data van het apparaat te stelen.
Google introduceerde de Titan M-chip in 2018 in Pixel-telefoons. De chip is ontwikkeld om gevoelige data te beschermen en bevindt zich op een aparte system-on-a-chip (SoC) in de telefoon. Het draait ook zijn eigen firmware en communiceert zelf met de applicatieprocessor. De chip wordt voor verschillende doeleinden gebruikt, waaronder het bootproces. Zo verifieert de chip de passcode die gebruikers op een vergrendeld scherm invoeren en regelt het decryptieproces daarna. Third-party apps kunnen de chip gebruiken om private keys te genereren en op te slaan die voor transacties binnen de betreffende apps worden gebruikt.
In mei van dit jaar bracht Google een beveiligingsupdate uit die een kwetsbaarheid in de Titan M-firmware veroorzaakte. Daardoor is het mogelijk voor een aanvaller om code op de beveiligingschip uit te voeren en gevoelige data te stelen, zoals encryptiesleutels. Met de gestolen sleutels is het vervolgens mogelijk om versleutelde data te ontsleutelen.
Google kwam in juni met een update voor het kritieke beveiligingslek (CVE-2022-20233), nadat het in mei ook al een kritieke kwetsbaarheid (CVE-2022-20117) in de Titan M-chip had verholpen.
Alles bij de bron; Security
De overheid heeft van tientallen gedupeerden van de toeslagenaffaire persoonsgevoelige informatie gelekt, zo heeft staatssecretaris De Vries van Financiën in een brief aan de Tweede Kamer laten weten. Het gaat om datalekken die zich voordeden bij het verstrekken van dossiers en een aanval op een ict-omgeving van Sociale Banken Nederland (SBN).
SBN helpt gedupeerden van de toeslagenaffaire bij het afbetalen van private schulden. Hiervoor wordt onder andere gewerkt aan een project met de naam 'al betaalde schulden'. In voorbereiding op de lancering vindt er eerst een proef plaats. Aanvallers zijn in mei erin geslaagd om toegang te krijgen tot de server waarop het proefproject draait en hadden zo toegang tot de gegevens van zeven gedupeerden die aan de proef deelnemen. Het datalek is zowel bij de betreffende ouders als de Autoriteit Persoonsgegevens gemeld.
In april meldde de staatssecretaris al dat in een periode van halverwege mei tot halverwege november vorig jaar niet altijd alle gevoelige informatie is gelakt uit hersteldossiers die aan ouders zijn verstrekt. Het gaat om burgerservicenummers van andere burgers en om persoonsinformatie van medewerkers.
De hersteldossiers bevatten alle informatie uit het verleden waar de Belastingdienst over beschikt en worden gebruikt om te bepalen voor welke regelingen iemand in aanmerking komt. Bij 73 van de 274 onderzochte hersteldossiers bleek dat er persoonsgevoelige informatie is blijven staan. Dit is volgens De Vries veroorzaakt doordat de afgesproken controle op de opgeleverde gelakte dossiers onvoldoende heeft plaatsgevonden.
Alles bij de bron; Security
Een Nederlandse hacker wist toegang te krijgen tot het systeem van het Chinese Solarman, dat omvormers voor zonnepanelen levert.
Met de inloggegevens was het mogelijk om de persoonsgegevens van Nederlandse klanten in te zien. Ursem zegt dat hij nieuwe gebruikers kon aanmaken en bestaande gebruikers kon verwijderen. Daarnaast kon hij onder meer de gps-coördinaten en de hoeveelheid stroom die de zonnepanelen opwekken inzien. Ook was het mogelijk om de firmware van de omvormers te downloaden, aan te passen en weer te uploaden.
Aanvallers met toegang tot het systeem konden de zonnepanelen van Solarman-klanten zelfs op afstand uitschakelen of onklaar maken. Daarnaast zou een hacker het internet van eigenaren van zonnepanelen kunnen platleggen als de omvormer is verbonden met het thuiswifinetwerk. Ook is er kans op brandgevaar als de beveiligingsinstellingen rond de spanning op een bepaalde manier worden aangepast.
Daarnaast kwam Ursem tot de ontdekking dat de klantendata naar China worden gestuurd, wat in strijd is met de AVG. Ook kan China op afstand de omvormers van in Nederland geplaatste zonnepanelen beheren. En dat terwijl Chinese bedrijven vanwege een te groot risico voor de staatsveiligheid geen vitale delen van het Nederlandse stroomnet op de Noordzee mogen bouwen.
Solarman, dat in Nederland meer dan 42.000 klanten heeft, geeft toe dat het mogelijk was om de software van de omvormers aan te passen.
Alles bij de bron; Tweakers
Wie een account op social media aanmaakt moet geen echte namen gebruiken maar een alias. Ook is het verstandig om een apart e-mailadres voor de registratie te gebruiken en zo min mogelijk persoonlijke informatie te delen, zo adviseert het Australische Cyber Security Centre (ACSC). Volgens het ACSC kan social media een risico voor de veiligheid van zowel burgers als bedrijven vormen.
De overheidsinstantie heeft daarom advies opgesteld zodat Australiërs hier bewust van worden en maatregelen nemen. "Persoonlijke informatie die op social media wordt geplaatst of gedeeld via chatapps kan worden misbruikt. Zelfs onschuldig lijkende berichten, foto's of video's zijn te gebruiken voor het maken van gedetailleerde profielen van personen", aldus het ACSC. Dergelijke informatie is vervolgens te gebruiken om mensen af te persen of voor social engineering...
...Verder adviseert het ACSC om voor elk socialmedia-account een unieke passphrase te gebruiken, geen antwoorden te geven op de geheime vragen voor het uitvoeren van wachtwoordresets en niet vanaf openbare computers op socialmedia-accounts in te loggen. Tevens doen gebruikers er verstandig aan om na het gebruik op gedeelde apparaten uit te loggen en niet meer gebruikte oude socialmedia-accounts te sluiten.
Alles bij de bron; Security
Een meerderheid in de Tweede Kamer heeft voor een motie gestemd die het kabinet oproept om end-to-end encryptie in stand te houden.
Aanleiding voor de motie zijn plannen van de Europese Commissie om bedrijven die online diensten in de EU aanbieden, waaronder chatdiensten en hostingbedrijven, te verplichten om kindermisbruikmateriaal op hun platforms te detecteren, te rapporteren en te verwijderen.
Volgens Ross Anderson, hoogleraar Security Engineering aan de Universiteit van Cambridge en Europese burgerrechtenbeweging EDRi gaat het hier om een aanval op end-to-end encryptie en wordt privacy in de naam van kinderbescherming opgeofferd. Volgens Matthew Green, cryptograaf en hoogleraar aan de Johns Hopkins University, en versleutelde e-maildienst Tutanota gaat het om massasurveillance kan dit tot het ergste surveillanceapparaat buiten China leiden.
Minister Adriaansens van Economische Zaken besloot de motie te ontraden. "Wij staan voor sterke versleuteling. Dat staat ook in het kabinetsstandpunt uit 2016. Het belang van briefgeheim en het vertrouwelijk karakter van elektronische communicatie zijn daarin belicht, alsook de noodzaak van oplossingen voor de opsporing. Bij die opsporing loopt een inventarisatie naar de rechtmatige toegang tot versleuteld bewijs. Daar wil ik niet op vooruitlopen", zo liet de bewindsvrouw tijdens het debat weten.
Afgelopen maandag werd er over de motie gestemd, die met 128 stemmen voor en 22 stemmen werd aangenomen. Alleen het CDA, ChristenUnie en de SGP stemden tegen.
Alles bij de bron; Security