Databeveiliging & Dataverlies

Pornosite Luscious is gehackt en de volledige database ligt op straat. Malafide hackers konden bij de gegevens van alle 1,195 miljoen leden waardoor zij niet alleen konden zien wie er allemaal lid was van deze site, maar ook wat ze er allemaal op deden.

De database met gebruikersgegevens zou niet bereikbaar moeten zijn van buitenaf, maar door het manipuleren van de URL kregen de onderzoekers toch toegang tot de database. Deze bleek verder niet alleen onbeveiligd te zijn, maar was zelfs niet versleuteld, waardoor de inhoud moeiteloos gekopieerd en uitgelezen kon worden.

De database bevat onder andere gebruikersnamen, e-mail adressen, geslacht, locatie en activiteitenlogs, waaronder de hoeveelheid gecreëerde albums, video-uploads, comments, blogposts, favorieten, volgers en gebruikersID.

Het lek is inmiddels gedicht, maar de kans is groot dat de gelekte informatie al wordt misbruikt. 

Alles bij de bron; Webwereld


 

Hackers hebben persoonlijke en financiële gegevens van vermoedelijk miljoenen Bulgaren gestolen. Het gaat om 11 gigabyte aan onder meer pincodes, namen, adressen en de inkomsten vanaf 2007 tot juni dit jaar. De informatie werd buitgemaakt bij de belastingdienst van Bulgarije en maandag via een in Rusland geregistreerd e-mailadres gedeeld met lokale media.

 „Jullie overheid is achterlijk”, staat in de mail van de hackers, meldt de Bulgaarse krant Kapital. Premier Borisov heeft dinsdag een spoedvergadering ingelast vanwege het grootste lek in de Bulgaarse geschiedenis.

Bron; NRC


 

Het Centraal Bureau Rijvaardigheidsbewijzen (CBR) heeft tientallen medische gegevens van mensen die hun rijbewijs wilden verlengen per ongeluk in digitale dossiers van anderen geplaatst. De gegevens kunnen niet meer worden teruggevonden.

Van 71 gevallen is bekend dat het mis is gegaan, meldt het AD. Onderzoeken van specialisten, formulieren van huisartsen, adresgegevens en burgerservicenummers werden aan de verkeerde dossiers toegevoegd. De fouten werden gemaakt in de maanden januari tot en met juni. Het CBR erkent dat het om meer dan de 71 tot nu toe ontdekte gevallen kan gaan. 21 mensen die de medische gegevens van wildvreemden ontvingen trokken zelf aan de bel. In de overige gevallen ontdekte het CBR de fouten. 

Alles bij de bron; RTL


 

In het rapport, genaamd ‘Thin Red Line: Penetration Testing Practices Examined’, toetsten de onderzoekers een ​​serie pentests met een twijfelachtige betrouwbaarheid, evenals de resultaten van die tests. Het rapport behandelde een aantal vraagstukken over de navolging van privacy- en betrouwbaarheidsverwachtingen, evenals de naleving van wettelijke vereisten en regelgeving zoals de Europese GDPR...

...In het rapport wordt gesteld dat pentests soms even gevaarlijk zijn als daadwerkelijke bedreigingen. Het onderzoek toont verder aan dat de blootstelling van klantgegevens in semi-openbare databases veel voorkomt. Dit blijkt uit een test onder 24 gerenommeerde bedrijven die pentesting aanbieden.

“In de afgelopen vijf jaar is er wereldwijd een enorme toename van partijen die offensieve testdiensten aanbieden. Dit leidt uiteindelijk tot praktijken die de beveiliging van een bedrijf aanzienlijk in gevaar kunnen brengen”, meldt Josh Lemos, VP Research & Intelligence bij BlackBerry Cylance.

Alles bij de bron; TechZine


 

Het lek zit in Biostar-2, een 'webgebaseerd, open en geïntegreerd beveiligingsplatform' waarmee gebruikers zich online kunnen identificeren bij diensten van derde partijen. Het gaat om een gecentraliseerde dienst waarmee naast gebruikersnamen en wachtwoorden ook biometrische gegevens kunnen worden opgeslagen...

...In de database stonden meer dan 27,8 miljoen records, met een totale omvang van 23 gigabyte. Die gegevens bestonden naast vingerafdrukken en gezichtsscans ook uit gebruikersnamen en onversleutelde wachtwoorden, logs van toegang tot gebouwen, beveiligingsniveau's van medewerkers en persoonlijke informatie van werknemers. De onderzoekers merken ook op dat de vingerafdrukken in hun geheel werden opgeslagen, in plaats van alleen een hash daarvan. De onderzoekers wisten de informatie niet alleen in te zien, maar ook nieuwe gebruikers toe te voegen en data te wijzigen. Zo konden zij hun eigen vingerafdruk toevoegen aan specifieke gebruikersaccounts.

De onderzoekers ontdekten het lek eerder deze maand en lichtten het bedrijf erachter in. Die heeft nog geen officiële reactie gegeven, maar de database is inmiddels niet meer online te vinden. Daarop besloten de onderzoekers hun bevindingen alsnog te publiceren. Hoe lang de data openbaar te vinden is geweest en of daar misbruik van is gemaakt is niet bekend.

Alles bij de bron; Tweakers


 

...wat niemand zag aankomen, is dat de AVG ook als wapen gebruikt kan worden in het arsenaal van kwaadwillende social engineers, hackers en mensen die anderen willen doxen en lastigvallen. 

Een onderdeel van de AVG is namelijk dat alle Europeanen bij elk bedrijf kunnen opvragen welke gegevens ze over hen hebben. Pavur en Knerr onderzochten of die informatieverzoeken gebruikt konden worden om gevoelige informatie van anderen te verkrijgen.

Dat is wat cybersecurity-onderzoeker James Pavur ontdekte toen hij en Casey Knerr, zijn verloofde en de co-auteur van hun onderzoek, een wedje legden over de AVG. “De weddenschap hield in dat ik haar identiteit kon stelen met die verzoeken,” zegt Pavur.

“James heeft de weddenschap gewonnen,” zegt Knerr. Dankzij de AVG kon hij persoonlijke informatie over Knerr opvragen, waaronder haar burgerservicenummer (BSN). Samen met Knerr, die ook in de cybersecurity-industrie werkt – en met haar volledige toestemming – bedacht Pavur een slim, maar simpel experiment.

Hij begon met Knerrs naam en achternaam, een paar e-mailadressen, telefoonnummers en ander laaghangend fruit dat hij online kon vinden. Met een e-mailadres dat eruitzag als dat van Knerr stuurde hij informatieverzoeken naar 75 bedrijven en met de gegevens die hij kreeg – waaronder Knerrs adres – stuurde hij nieuwe informatieverzoeken naar 75 andere bedrijven.

Met die verzoeken kreeg Pavur veel gegevens van Knerr in handen, zoals haar BSN, geboortedatum, meisjesnaam van haar moeder, wachtwoorden, eerdere adressen, reis- en hotelgegevens, cijfers van de middelbare school, gedeeltelijke creditcardnummers en informatie over of ze ooit een online datingdienst had gebruikt.

...Volgens Pavur en Knerr reageerde een kwart van de bedrijven die hij benaderde helemaal niet. Twee derde van de bedrijven, waaronder de online datingdiensten, reageerde met zoveel informatie dat Pavur erachter kwam dat zijn verloofde een account had op een datingsite. Van de bedrijven die reageerden, gaf een kwart zomaar gevoelige informatie weg zonder de identiteit van Knerr te verifiëren. 15 procent vroeg om informatie die gemakkelijk vervalst kan worden en 40 procent van de bedrijven vroeg om identificatie-informatie die volgens het onderzoek relatief moeilijk is om te vervalsen.

Pavur concludeert dat we betere mechanismen nodig hebben om te verifiëren dat de persoon die het informatieverzoek doet ook echt is wie hij beweert te zijn. Sommige bedrijven waren best goed in het verifiëren van zijn identiteit. Maar in andere gevallen namen bedrijven niet eens de moeite om te vragen naar verificatie en stuurden ze gewoon de gegevens terug, zoals in het geval van het bedrijf dat Knerrs BSN meteen aan Pavur gaf.

Alles bij de bron; Vice


 

Miljoenen gebruikers van sneakerbeurs StockX zijn slachtoffer van een datalek geworden nadat een aanvaller hun naam, e-mailadres, adresgegevens, gebruikersnaam, schoenmaat, gehasht wachtwoord en aankoopgeschiedenis wist te stelen. Vorige week besloot StockX de wachtwoorden van gebruikers wegens "systeemupdates" te resetten. Verdere uitleg werd echter niet gegeven.

Nu blijkt dat de wachtwoorden vanwege het datalek zijn gereset. In een verklaring stelt StockX dat het de wachtwoorden direct heeft gereset nadat het de inbraak ontdekte.

Volgens TechCrunch zijn de gegevens al in mei gestolen en gaat het om 6,8 miljoen accounts. Die gegevens worden nu op internet te koop aangeboden. 

Alles bij de bron; Security


 

Begin dit jaar zijn bij online webshop CafePress de gegevens van meer dan 23 miljoen gebruikers gestolen, zo is nu pas bekend geworden. Het gaat om e-mailadressen, namen, telefoonnummers en adresgegevens van 23,2 miljoen accounts. De data werd in februari buitgemaakt.

De gestolen e-mailadressen zijn nu aan Have I Been Pwned toegevoegd, de zoekmachine waarmee gebruikers in meer dan 8,2 miljard gestolen records kunnen kijken of hun data ooit bij een website is gestolen. 77 procent van de buitgemaakte e-mailadressen was al via een ander datalek bij Have I Been Pwned bekend.

Hoe de gegevens konden worden gestolen is niet bekend. CafePress heeft gebruikers nog niet over het datalek geïnformeerd.

Alles bij de bron; Security


 

Abonneer je nu op onze wekelijkse nieuwsbrief!
captcha