De provincie Zuid-Holland is door de Autoriteit Persoonsgegevens (AP) onder geïntensiveerd toezicht geplaatst en moet concrete afspraken maken met de AP over hoe het zorgvuldiger zal omgaan met persoonsgegevens en hierover rapporteren.
"De provincie gebruikt voor de archivering en opslag van documenten en het intern samenwerken aan documenten een document management systeem. Het systeem bevat allerlei gegevens, van memo’s en besluiten tot uiteenlopende (persoonlijke) gegevens van burgers, zakelijke contacten en (externe) medewerkers", licht de provincie toe.
"Onze teams Privacy en Informatieveiligheid kwamen in dat systeem (bijzondere) persoonsgegevens tegen die toegankelijk waren voor vrijwel alle medewerkers van de provincie. Categorieën van persoonsgegevens die zijn aangetroffen zijn onder meer NAW-gegevens, contactgegevens, geboortedata, kopieën van identiteitsdocumenten, BSN-nummers en gegevens over opleiding- en werkervaring. Veel medewerkers hadden geen toegang tot deze gegevens nodig om hun functie uit te oefenen. Dat betekent dat er sprake is van een datalek."
Om maatregelen op langere termijn te identificeren en de veiligheid van de systemen en bescherming van persoonsgegevens te kunnen waarborgen, is de provincie gestart met de opdracht: ‘Bescherming persoonsgegevens provincie Zuid-Holland: Privacyvolwassenheid 3 en datalek IDMS’. Binnen deze opdracht zijn diverse teams betrokken, ieder met hun eigen expertise, aldus de provincie Zuid-Holland.
Alles bij de bron; Dutch-IT-Channel
Vijf studenten van de Hogeschool van Arnhem en Nijmegen (HAN) krijgen wegens een datalek dat zich in 2021 voordeed een schadevergoeding van driehonderd euro.
In september 2021 maakte de HAN bekend dat het was getroffen door een datalek waarbij persoonsgegevens in handen van een aanvaller waren gekomen.
Het ging om ruim 530.000 unieke mailadressen, alsmede zo'n 15.000 "meer privacygevoelige gegevens", waaronder politieke voorkeur, BSN-nummer, niet versleutelde wachtwoorden, paspoort- en identiteitskaartnummers en meldingen over functiebeperkingen en studievertragingen.
Vorig jaar oktober oordeelde de kantonrechter dat de hogeschool een student wegens het datalek een schadevergoeding van driehonderd euro moet betalen. Kort daarna bleek dat meer huidige en voormalige studenten van de HAN overwogen een claim in te dienen tegen de onderwijsinstelling. De claims moesten aan strenge voorwaarden voldoen, wat er uiteindelijk voor zorgde dat in totaal zeven slachtoffers een claim indienden.
De juridische afdeling van de HAN oordeelde dat vijf van hen op basis van de uitspraak van de rechter recht hebben op een vergoeding.
Eén van deze studenten maakt aanspraak op nog eens driehonderd euro. Aanleiding is een datalek in januari van dit jaar, waarbij gedetailleerde medische gegevens van meerdere studenten op de aanwezigheidslijst voor een tentamen terecht waren gekomen.
Alles bij de bron; Security
Ticketmaster is begonnen met het versturen van waarschuwingen naar klanten dat hun persoonlijke gegevens zijn gestolen. Eind mei claimden criminelen op internet dat ze de gegevens van 560 miljoen Ticketmaster-klanten hadden gestolen.
Het zou gaan om 1,3 terabyte aan namen, adresgegevens, telefoonnummers, bestelgegevens en gedeeltelijke creditcardgegevens die voor 500.000 dollar te koop werden aangeboden.
Ticketmaster kwam niet met een publieke waarschuwing, maar liet wel aan de Amerikaanse beurswaakhond SEC weten dat er was ingebroken op een 'third-party cloudomgeving' en dat daarbij bedrijfsgegevens en persoonlijke informatie waren gestolen.
Bijna een maand na de SEC-melding heeft Ticketmaster nu verschillende procureurs-generaal van Amerikaanse staten ingelicht dat het klanten middels een brief gaat informeren. Daarin stelt het bedrijf dat aanvallers tussen 2 april en 18 mei toegang tot de third-party cloudomgeving hadden en daarbij persoonlijke informatie hebben gestolen. Om welke informatie het precies gaat laat de brief niet weten.
In het geval van meldingen aan de procureur-generaal van de Amerikaanse staat Maine melden bedrijven in het geval van datalekken vaak ook het aantal getroffen personen, maar in dit geval wordt er alleen gemeld dat het om meer dan duizend mensen gaat.
Alles bij de bron; Security
Levi Strauss heeft accounts van meer dan 72.000 gebruikers gereset wegens een credential stuffing-aanval. Aanvallers wisten met inloggegevens die bij andere websites waren gestolen in te loggen op de accounts. De aanval vond op 13 juni plaats.
"Onze securitydetectietools functioneerden naar behoren in dit geval en we wisten de aanval snel te identificeren en blokkeren", aldjus Levi Strauss. Het bedrijf zegt dat het van alle accounts waar gedurende de aanval op werd ingelogd de wachtwoorden heeft gereset.
Doordat de aanvallers toegang kregen tot de accounts van gebruikers hebben ze mogelijk ook gegevens van deze gebruikers ingezien, aldus de datalekmelding. Het gaat om informatie zoals bestelgeschiedenis, naam, e-mailadres, adresgegevens en de laatste vier cijfers van het creditcardnummer als die waren opgeslagen.
Alles bij de bron; Security
De gegevens van 60.000 Nederlanders met een studieschuld waren online zichtbaar door een fout van DUO. Analysesoftware waar DUO gebruik van maakt bleek niet goed te zijn beveiligd. Het datalek is ontdekt door een ethische hacker.
De fout is ontstaan rond een enquete die DUO op 30 mei verstuurden naar mensen die hun studieschuld terugbetalen. De resultaten analyseert DUO met behulp van software die echter niet goed beveiligd bleek te zijn waardoor de ethische hacker de e-mailadressen van de 60.000 deelnemers kon zien.
Zowel DUO als de softwareleverancier onderzoeken het lek. Ook is het lek door DUO gemeld bij de Autoriteit Persoonsgegevens.
Alles bij de bron; Dutch-IT-Channel
Het Drentse waterschap Drents Overijsselse Delta waarschuwt voor een mogelijk datalek met burgerservicenummers en andere persoonsgegevens die via het geo-informatieportaal toegankelijk waren.
Vorige week meldde het Hoogheemraadschap Hollands Noorderkwartier (HHNK) een soortgelijk datalek met kadastrale gegevens die zes maanden lang toegankelijk bleken te zijn.
"In het online portaal waarin digitale kaarten zijn opgeslagen, het geo-informatieportaal van ons waterschap, is een mogelijk datalek geconstateerd. Hierdoor is mogelijk toegang geweest tot persoonsgegevens, zoals BSN en adresgegevens. Het gaat hierbij om gegevens van kadastrale percelen en de eigenaren en gerechtigden van deze percelen in het werkgebied van ons waterschap", zo laat Drents Overijsselse Delta weten. Het gaat hierbij om gegevens die van het Kadaster afkomstig zijn en via het geo-informatieportaal beschikbaar zijn. "Onbedoeld zijn de gegevens toegankelijk geweest voor onbevoegden."
Na de ontdekking dat de gegevens voor onbevoegden toegankelijk waren is deze toegang dichtgezet.
Alles bij de bron; Security
De gemeente Eindhoven heeft vorig jaar te maken gekregen met een datalek met 220.000 burgerservicenummers. Het datalek werd tijdens een steekproef door een ict-medewerker van de gemeente ontdekt.
Het ging om twee bestanden met daarin 221.511 burgerservicenummers van inwoners waar ambtenaren toegang toe hadden.
De gemeente besloot gedupeerden niet te informeren omdat Eindhoven het risico op identiteitsdiefstal of identiteitsfraude als onwaarschijnlijk beoordeelde. Volgens de gemeente betreft het een intern datalek en is de informatie niet voor buitenstaanders toegankelijk geweest.
Wel is het datalek bij de Autoriteit Persoonsgegevens gemeld. In totaal kreeg Eindhoven vorig jaar met 266 kleine en grote datalekken te maken.
Alles bij de bron; Security
De Belgische overheid lekt gevoelige informatie via verlopen domeinnamen, zo stelt de Belgische beveiligingsonderzoeker Inti De Ceukelaire in een blogposting.
De onderzoeker registreerde 107 verlopen domeinnamen die van Belgische gemeenten, politiezones, psychiatrische ziekenhuizen, justitie, sociale zekerheidsorganisaties en andere instellingen waren geweest.
Na de registratie ontving De Ceukelaire allerlei e-mails voor de betreffende domeinnamen, soms met gevoelige informatie. Voor de 107 geregistreerde domeinnamen bleken nog zeker 848 e-mailadressen actief. Ook bleek dat de nog gebruikte e-mailadressen bij allerlei clouddiensten waren geregistreerd. Via het uitvoeren van een wachtwoordreset kon de onderzoeker zo ook toegang tot cloudaccounts krijgen.
Via de 848 e-mailadressen wist hij toegang te krijgen tot 80 Dropbox-accounts, 142 Google Drive-accounts en 57 Microsoft-, OneDrive- en SharePoint-accounts, alsmede tientallen Smartschool- en Doccle-accounts. Na enige tijd waarschuwde hij het Belgische Centrum voor Cybersecurity, dat de vorige domeineigenaren over de risico's van verlopen domeinnamen informeerde.
In Nederland is het probleem van verlopen domeinnamen al jaren bekend. In 2017 bleek de politie op deze manier gevoelige e-mails te lekken en in 2019 lekte de jeugdzorg via verlopen domeinnamen dossiers van duizenden kinderen.
Alles bij de bron; Security
Het UWV toont geen persoonsgegevens meer in cv’s op werk.nl aan werkgevers. Dat heeft de uitkeringsinstantie besloten naar aanleiding van het datalek waarbij 150.000 cv's werden bekeken en mogelijk gedownload. "Om persoonsgegevens en privacy te beschermen, laten wij de persoonlijke gegevens op cv’s vanaf nu niet meer zien aan werkgevers", aldus het UWV.
Het UWV stelde eerder al dat het aanbieden van cv's van werkzoekenden een belangrijk onderdeel van de dienstverlening is. "Het is voor werkgevers mogelijk om dit in grotere aantallen te doen wanneer zij meerdere kandidaten zoeken voor meerdere vacatures", aldus de instantie.
In het geval van het vorige week gemelde datalek bleek dat één partij 'een buitenproportioneel grote hoeveelheid cv's' heeft ingezien en mogelijk gedownload. "Dit gaat in tegen de gebruiksvoorwaarden van werk.nl", liet het UWV verder weten.
Alles bij de bron; Security
Het UWV heeft te maken gekregen met een datalek nadat iemand 150.000 cv's op werk.nl heeft ingezien en mogelijk gedownload.
"Het is zeer kwalijk dat er vermoedelijk voor oneigenlijk gebruik op zulke grote schaal cv's zijn ingezien en mogelijk gedownload", zegt Judith Duveen van het UWV tegenover de NOS. "We hebben direct passende maatregelen genomen en gaan de betrokken mensen zo goed mogelijk informeren over de gevolgen van deze onwenselijke massale inzage en mogelijke download."
Een woordvoerder van de Autoriteit Persoonsgegevens laat weten dat cv's veel persoonlijke informatie bevatten, zoals namen, adressen, geboortedata en opleidingen. "Het zijn dus erg rijke bronnen", aldus de woordvoerder.
"Tot uiterlijk maandagochtend 13 mei 08:00 uur is werk.nl niet bereikbaar. Wij voeren onderhoud uit", zo laat de website weten. In 2019 kreeg het UWV via werk.nl ook met een datalek te maken. Toen werden 117.000 cv's gedownload.
Alles bij de bron; Security