Op 3 september meldde de uitbater van het openbaar transport in de Britse hoofdstad Londen, Transport for Londen (TfL), dat getroffen was door een cyberincident. In een mail aan klanten meldde TfL dat er ‘op dit moment geen enkel bewijs is dat de gegevens van klanten zijn gecompromitteerd’ en dat het incident ‘geen impact heeft op de diensten van TfL’.
In een nieuwe mail aan de klanten komt TfL hierop terug en erkent dat ‘bankgegevens van ongeveer 5.000 klanten’ zijn gestolen. Het zou dan meer specifiek gaan om data van de contactloze Oyster-betaalkaarten zoals die op het TfL-netwerk gebruikt worden. Getroffen klanten zouden persoonlijk gecontacteerd worden. Er is ook sprake van ‘bepaalde namen van klanten en hun contactgegevens’ die gelekt zouden zijn.
Alles bij de bron; Dutch-IT-Channel
Dna-testbedrijf 23andMe wil een gevoelig datalek, waarbij de afstammingsgegevens van 6,9 miljoen gebruikers werden gestolen, voor 30 miljoen dollar schikken. Getroffen gebruikers krijgen een vergoeding en kunnen drie jaar kosteloos aan een monitoringsprogramma deelnemen.
Vorig jaar wisten aanvallers via een credential stuffing-aanval op de accounts van veertienduizend gebruikers in te breken. Nadat de aanvallers toegang tot de accounts hadden gekregen wisten ze vervolgens de afstammingsgegevens van 6,9 miljoen gebruikers te stelen, die gebruik hadden gemaakt van de DNA Relatives-feature.
Tevens werden ook gezondheidsrapporten over gebruikers buitgemaakt, die waren gebaseerd op het verwerken van hun genetische informatie. Het gaat onder andere om rapporten over erfelijke aandoeningen. Tevens hebben de aanvallers 'raw genotype data' in handen kregen, alsmede woonplaats, postcode en geboortejaar als gebruikers die zelf hadden gedeeld.
Na het datalek werd in de VS een massaclaim tegen 23andMe aangespannen. Volgens de klagers had het bedrijf hun gegevens niet goed beschermd. Ook zouden gebruikers niet goed zijn geïnformeerd over het datalek. Het voorlopige schikkingsvoorstel, moet nog door de rechter worden goedgekeurd.
Alles bij de bron; Security
De Stichting Internet Domeinregistratie Nederland (SIDN), de organisatie die de .nl-domeinnamen beheert, heeft vandaag de gegevens van domeinnaamhouders via de Whois op Sidn.nl gelekt. Dit is de zoekfunctie op Sidn.nl waarmee informatie over een domeinnaam is op te zoeken.
Gegevens van zakelijke domeinnaamhouders zijn openbaar, gegevens van particuliere domeinnaamhouders mogen niet gepubliceerd worden.
"Tijdens het onderhoud zijn webservers vervangen. Hiervoor zijn nieuwe verbindingen gelegd, waarbij een fout is gemaakt. De nieuwe machines hadden onbedoeld meer toegang. Hierdoor waren in de Whois meer registratiegegevens van de betrokken domeinnaamhouder zichtbaar", aldus een verklaring van SIDN. De gelekte gegevens bestaan uit naam, adresgegevens, e-mailadres en telefoonnummer van de houder.
Alles bij de bron; Security
De gemeente Den Bosch heeft van 23.000 inwoners het burgerservicenummer (BSN) gelekt, alsmede naam en adresgegevens.
Het datalek deed zich voor toen twee lijsten met informatie over parkeervergunninghouders door een menselijke fout per ongeluk via e-mail werden gedeeld met een inwoner. In deze lijsten stond informatie over zo'n 23.000 parkeervergunninghouders met onder andere BSN-nummer, naam en adres.
De ambtenaar die de fout maakte heeft dit gemeld, waarna verschillende maatregelen zijn genomen. Zo is de ontvanger van de e-mail geïnformeerd dat de e-mail niet voor hem of haar bestemd was en is verzocht de e-mail te verwijderen.
"Er is telefonisch contact geweest met de ontvanger. De ontvanger heeft zowel telefonisch als per e-mail (schriftelijk) bevestigd dat de e-mail en de ontvangen persoonsgegevens zijn verwijderd", zo laat de gemeente verder weten. Het datalek is inmiddels gemeld bij de Autoriteit Persoonsgegevens. Ook zijn alle gedupeerden geïnformeerd.
Alles bij de bron; Security
Bij een omvangrijk datalek zijn bijna 32 miljoen documenten van softwarebedrijf ServiceBridge uitgelekt. De database bevat gevoelige documenten, waaronder facturen, contracten en overeenkomsten.
Securityonderzoeker Jeremiah Fowler ontdekte de database, die online vrij toegankelijk was en bracht het lek onder de aandacht bij ServiceBridge, waarna het bedrijf de toegang tot de database heeft geblokkeerd.
Fowler meldt dat de database onder meer contracten, werkopdrachten, facturen, voorstellen en andere documenten gerelateerd aan bedrijven wereldwijd omvat. De database is in totaal 2,68TB groot en omvat ruim 31,5 miljoen documenten. Hij waarschuwt dat de uitgelekte documenten onder meer ingezet kunnen worden voor social engineering, phishing, fraude met facturen en andere vormen van financiële fraude.
Een deel van de documenten zou ook gevoelige informatie over betrokkenen bevatten. Denk daarbij aan namen, adresgegevens, e-mailadressen, telefoonnummers en in sommige gevallen ook gedeeltelijke creditcardgegevens.
Alles bij de bron; Dutch-IT-Channel
Een gigantisch datalek met 2,7 miljard documenten zou persoonlijke gegevens kunnen bevatten van zowat elke persoon in de Verenigde Staten, het Verenigd Koninkrijk en Canada.
Voor de VS zou het bijvoorbeeld gaan om social security nummers waarmee elke Amerikaan geïdentificeerd kan worden. Daarnaast zouden ook namen, adressen en mogelijke aliassen in het lek staan. De verzameling gegevens wordt te koop aangeboden op een hackerforum.
De gegevens zouden komen van National Public Data, een data broker die persoonlijke gegevens verzamelt en verkoopt aan bijvoorbeeld privédetectives. Een gelijkaardige verzameling werd in april al aangeboden door USDoD voor 3,5 miljoen dollar, zo schrijft BleepingComputer.
Ondertussen zijn er al delen van documenten vrijgegeven en nu zou bijna de volledige collectie gratis op een hackingforum staan. De echtheid van enkele gegevens is ondertussen door verschillende personen bevestigd, al zouden er ook veel fouten in de data te staan.
Het gaat om twee tekstbestanden van samen zo’n 277 GB, met 2,7 miljard lijnen plaintext. De kans is groot dat zowat iedereen die in de Verenigde Staten woont of woonde, in de gelekte data voorkomt. Gezien daar ook soms telefoonnummer en mailadressen bij staan, is de kans op phishing- en andere aanvallen daar wel erg groot.
Alles bij de bron; Datanews
Telecomgigant AT&T heeft de telefoongegevens van 'bijna alle' klanten gelekt, zo laat het in een melding aan de Amerikaanse beurswaakhond SEC weten.
Het gaat om telefoonnummers, gespreks- en sms-gegevens en locatiegerelateerde data die door criminelen uit de Snowflake-omgeving van het bedrijf zijn gestolen, aldus het bedrijf. Naast gegevens van AT&T-klanten gaat het ook om data van andere telecomproviders die van het netwerk van AT&T gebruikmaken.
AT&T stelt dat de gestolen data niet de inhoud van gesprekken of sms-berichten bevat, maar wel gegevens hierover, zoals welke telefoonnummers contact met elkaar hadden. Het betreft data over een periode van zes maanden, van 1 mei 2022 tot en met 31 oktober 2022. Een deel van de gestolen data zijn 'cell site identification' nummers, die gelinkt zijn aan telefoongesprekken en sms-berichten.
In totaal zal AT&T 110 miljoen klanten over dit nieuwe datalek waarschuwen, dat het op 19 april ontdekte. Eerder dit jaar waarschuwde AT&T ook al voor een ander datalek, waarbij het de gegevens van ruim 51 miljoen voormalige en huidige klanten had gelekt.
Alles bij de bron; Security
De schoolboekenleverancier Iddink meldt dat er een mogelijk datalek heeft plaatsgevonden. In april van dit jaar werd Iddink ook al slachtoffer van een ransomwareaanval.
De schoolbesturenorganisatie Sivon meldt dat een inloglink voor het inleveren van schoolboeken bij Iddink 'eenvoudig aan te passen' was. Hierdoor kon een kwaadwillende in theorie toegang verkrijgen tot informatie van leerlingen, waaronder namen, straatnamen, postcodes, woonplaatsen en informatie over de school en schoolboeken van de persoon.
Meerdere ouders van kinderen hebben de kwetsbaarheid opgemerkt en dit bij Sivon gemeld. Iddink meldde desondanks het datalek bij de Autoriteit Persoonsgegevens, wat verplicht is.
Volgens het bedrijf is er een overlap tussen de gegevens die bij het betreffende datalek toegankelijk waren en de gegevens die bij de cyberaanval van april dit jaar werden buitgemaakt. In dat laatste geval ging het daarnaast ook om bankgegevens. Iddink levert naar eigen zeggen lesmateriaal aan 300.000 middelbareschoolleerlingen in Nederland en 120.000 scholieren in België
Alles bij de bron; Tweakers
Een bedrijf dat identiteiten verifieert van TikTok-, Uber- en X-gebruikers, heeft identiteitsdocumenten gelekt die door gebruikers waren geüpload. De gegevens waren zeker een jaar toegankelijk.
Het gaat om het Israëlische bedrijf AU10TIX, dat niet alleen identiteiten verifieert, maar ook aan leeftijdsverificatie doet. Een beveiligingsonderzoeker ontdekte dat de inloggegevens voor een loggingplatform van het bedrijf online stonden.
Op dat platform staan links naar data gerelateerd aan specifieke mensen die hun identiteitsdocumenten hadden geüpload. Onbevoegden kunnen daar namen, geboortedata, nationaliteiten en identificatienummers inzien. Daarnaast was zichtbaar wat voor soort document was geüpload, zoals een rijbewijs of ID-kaart. Ook bevat het platform een link naar een afbeelding van het document zelf en het resultaat van het verificatieproces.
AU10TIX bevestigt dat er een incident is geweest waarbij iemand in het account van een werknemer is gekomen. Dat incident speelde zich anderhalf jaar geleden af, waarop de inloggegevens werden ingetrokken. De beveiligingsonderzoeker zegt echter dat de inloggegevens een maand geleden nog werkten. AU10TIX zegt daarop dat het systeem in kwestie wordt uitgefaseerd.
Alles bij de bron; Tweakers
De Zweedse online bank Avanza heeft wegens een datalek door een verkeerd ingestelde Meta-pixel op de eigen website en binnen de eigen app een AVG-boete van omgerekend 1,3 miljoen euro gekregen.
Via de pixel werden allerlei gevoelige financiële gegevens van een miljoen Avanza-klanten naar Meta doorgestuurd, aldus de Zweedse privacytoezichthouder IMY.
De bank meldde zelf aan de toezichthouder dat door een verkeerde instelling van de Meta-pixel tussen 15 november 2019 en 2 juni 2021 gegevens van een miljoen klanten onbedoeld naar Meta gingen. Het datalek werd veroorzaakt doordat de bank een aantal 'subfuncties' van de Meta-pixel per ongeluk inschakelde, aldus de Zweedse privacytoezichthouder.
De bank zegt dat het na ontdekking van het datalek de pixel heeft uitgeschakeld en dat Meta heeft bevestigd dat de verzamelde persoonlijke data is vernietigd.
Alles bij de bron; Security