Databeveiliging & Dataverlies

Een app die de Zuid-Koreaanse overheid ontwikkelde voor mensen die in quarantaine moeten heeft de privégegevens van 162.000 gebruikers gelekt. Het gaat om naam, geboortedatum, geslacht, nationaliteit, adresgegevens, telefoonnummer, real-time locatie en medische klachten.

"We hadden erg veel haast om deze app zo snel als mogelijk te ontwikkelen en uit te rollen om de verspreiding van het virus tegen te gaan", zegt Jung Chan-hyun van het Zuid-Koreaanse ministerie van Binnenlandse Zaken. "We konden geen tijdrovende veiligheidscontrole van de app veroorloven die de uitrol zou vertragen."

Alles bij de bron; Security


 

Zeven vpn-providers die vanuit Hong Kong opereren en claimen geen logs bij te houden hebben via een onbeveiligde server wachtwoorden en persoonlijke gegevens van miljoenen gebruikers gelekt.  Het gaat om FAST VPN, Free VPN, Super VPN, Flash VPN, Secure VPN en Rabbit VPN, zo meldt vpnMentor.

De gelekte data bevat allerlei persoonlijke gegevens van gebruikers, waaronder namen, e-mailadressen, adresgegevens, plaintext wachtwoorden, bitcoin-betaalinformatie, supportberichten, apparaatgegevens, accountinformatie en andere zaken. Ook werden activiteitenlogs met ip-adressen en bezochte websites aangetroffen. Op basis van claims die de vpn-providers zelf maken zou het om data van meer dan 20 miljoen gebruikers gaan.

Alles bij de bron; Security


 

Het Britse “Which?” heeft een studie gepubliceerd waaruit blijkt dat veel bestuurders (4 op 5) vergeten hun privégegevens uit het infotainmentsysteem van hun auto te verwijderen alvorens deze te verkopen.

Op de nieuwste generatie auto’s biedt dat een koper toegang tot telefoonnummers, adressen of nog erger: toegang tot een wifi-netwerk. Omgekeerd kan ook: een verkoper die de auto niet heeft gereset, kan de wagen blijven volgen via een applicatie of hem zelfs openen en aan de praat krijgen.

“Which?” kocht voor de gelegenheid een VW en een Ford infotainmentsysteem en liet dat onderzoeken door beveiligingsexperts. Het doel: de multimediasystemen hacken, wat snel lukte. Tal van persoonlijke gegevens kwamen vrij, wat de kwetsbaarheid van de informatiebescherming op dergelijke apparaten aantoont.

Alles bij de bron; Which [engelstalig]


 

Bij een aanval op 251 Amerikaanse politiewebsites zijn privégegevens van ruim 700.000 politie-accounts buitgemaakt, zoals adresgegevens, telefoonnummers en e-mailadressen. De inbraak op de politiesites kwam vorige maand al in het nieuws, maar website The Intercept heeft nu meer informatie over het datalek gegeven, dat de naam "BlueLeaks" kreeg.

De getroffen websites zijn van Amerikaanse politiekorpsen en fusion centers. Fusion centers zijn door de Amerikaanse overheid aangestuurde centra die politie-informatie verzamelen en onder andere instanties en opsporingsdiensten delen. Alle 251 gecompromitteerde websites waren ontwikkeld en gehost door hetzelfde bedrijf en draaiden allemaal hetzelfde contentmanagementsysteem (CMS). Mogelijk dat aanvallers via een kwetsbaarheid in het CMS toegang tot de data wisten te krijgen.

In totaal ging het om 269 gigabyte aan gegevens met meer dan 711.000 accounts die teruggaan tot 2007. De meeste personen die een account op deze websites hebben zijn politieagenten. Elk van deze accounts bevat de volledige naam, rang, politiekorps, e-mailadres, thuisadres, telefoonnummer, naam van leidinggevende, e-mailadres en ip-adres waarmee het account is aangemaakt. 

Volgens The Intercept gaat het niet alleen om gegevens van politieagenten. Ook honderdduizenden pdf-bestanden en Microsoft Office-documenten, duizenden video's, miljoenen foto's, e-mails, omschrijvingen van vermeende misdrijven en hun locatie, interne onderzoeksresultaten, websitelogs en veel meer kregen de aanvallers in handen. De data werd vervolgens via een website en BitTorrent openbaar gemaakt. De server die de data aanbood is inmiddels door de Duitse autoriteiten in beslag genomen.

Alles bij de bron; Security


 

Online veilingsite LiveAuctioneers heeft de persoonlijke data van 3,4 miljoen gebruikers gelekt, die vervolgens te koop werd aangeboden op internet. Volgens de website wist een aanvaller op 19 juni bij een dataverwerker van LiveAuctioneers toegang tot bepaalde gebruikersgegevens te krijgen.

Het gaat om namen, e-mailadres, postadressen, telefoonnummers en gehashte wachtwoorden, aldus de verklaring van de veilingsite. De aanvaller kreeg geen toegang tot creditcardgegevens. Vanwege het datalek is besloten om van alle gebruikers de wachtwoorden te resetten. 

Volgens de aanbieder van de gestolen data gaat het om e-mailadressen, gebruikersnamen, voor- en achternaam, adresgegevens en in sommige gevallen ip-adressen. Daarnaast zouden de wachtwoorden met het zwakke MD5-algoritme zijn gehasht, wat eenvoudig te kraken is. Iets wat de verkoper claimt te hebben gedaan. Als bewijs werden van 24 gebruikers de gebruikersnaam en het gekraakte wachtwoord getoond.

Phil Michaelson, ceo van LiveAuctioneers, noemt het datalek "ongelooflijk frustrerend" en "teleurstellend". Ook kondigt hij beterschap aan; "We weten dat we beter hadden gekund, hebben al verbeteringen doorgevoerd en zullen meer doen."

Alles bij de bron; Security


 

Het bedrijf heeft een waarschuwing gestuurd naar enkele duizenden verkopers. Het gaat om particuliere verkopers die tweedehands artikelen aanbieden via Bol.com. Normaal gesproken krijgen alleen klanten die iets hebben gekocht, het woonadres van de verkoper te zien voor retouren, maar door een bug waren die gegevens ook door niet-kopers te zien.

De gegevens waren tussen 15 juni en 8 juli in te zien. In die tijd zouden gegevens dus meer dan eens zijn bekeken. In de brief staat dat de adresgegevens 'gemiddeld 2,5 keer zijn bekeken' door anderen. Bol.com zegt dat het gaat om negenduizend particuliere verkopers. Het bedrijf heeft melding gedaan bij de Autoriteit Persoonsgegevens, wat verplicht is bij een dergelijk datalek.

Alles bij de bron; Tweakers


 

In februari kwam aan het licht dat er sprake was van een datalek bij MGM Hotel’s. Zo’n 10,6 miljoen mensen zouden destijds getroffen zijn.

De redactie van ZDNet schrijft nu dat het mogelijk gaat om een veel grotere groep mensen. In plaats van 10,6 miljoen, zou het gaan om maar liefst 142 miljoen slachtoffers. Het datalek uit februari bevatte persoonlijke gegevens, zoals namen, adressen, telefoonnummers en e-mailadressen. 

Naast gelekte data van MGM Resort zou er namelijk ook data gelekt zijn van het Grand Hotel. In een statement tegenover The Next Web heeft een vertegenwoordiger laten weten al op de hoogte te zijn van de omvang van het probleem. De vertegenwoordiger bevestigt om wat voor gelekte data het gaat, maar wil het aantal van 142 miljoen slachtoffers niet bevestigen. Daarover heerst nu dus nog wat onduidelijkheid.

Alles bij de bron; Want


 

Een beveiligingslek in een veelgebruikt platform voor gps-trackers gaf toegang tot miljoenen apparaten, waaronder gps-horloges voor dementiepatiënten en kinderen, zo stelt het Britse securitybedrijf Pen Test Partners dat het probleem ontdekte.

Het beveiligingslek kwam aan het licht nadat de onderzoekers een back-up van de broncode op de website van 3G Electronics aantroffen. SETracker bleek voor de server-to-server communicatie van een API met een hardcoded string gebruik te maken die in de broncode werd aangetroffen. Er was verder geen andere authenticatie of autorisatie vereist om als vertrouwde server commando's te versturen.

De broncode liet verder zien dat er 57 verschillende commando's waren die naar een SETracker-server konden worden gestuurd. De onderzoekers ontdekten ook een commando waarbij het mogelijk is om een apparaat stilletjes te bellen en zo de gebruiker af te luisteren, zonder dat die dit doorheeft. 

Naast de mogelijkheid om commando's naar gps-apparaten te versturen vonden de onderzoekers in de broncode ook de MySQL-wachtwoorden van alle databases en inloggegevens voor Aliyun-buckets, de Alibaba tegenhanger van Amazon S3-buckets. Eén van de buckets bevatte informatie van de gps-horloges voor kinderen, met zeer waarschijnlijk ook afbeeldingen van kinderen. De gps-horloges zijn namelijk vaak van een camera voorzien waarbij foto's in de cloud worden opgeslagen. Verder bevatte de broncode root-inloggegevens voor verschillende diensten.

Pen Test Partners waarschuwde 3G Electronics op 22 januari, waarna het Chinese bedrijf op 12 februari reageerde. Op 18 februari was het probleem met de server-API verholpen. Op 20 mei waarschuwden de onderzoekers het bedrijf dat de broncode nog steeds online was te vinden. Negen dagen later meldde 3G Electronics dat het bestand was verwijderd en alle wachtwoorden waren gewijzigd.

Alles bij de bron; Security


 

Abonneer je nu op onze wekelijkse nieuwsbrief!
captcha