- Gegevens
- Hoofdcategorie: Databases
Het Amerikaanse medisch transcriptiebedrijf PJ&A heeft de gevoelige gegevens van zo'n negen miljoen patiënten gelekt.
PJ&A zet voor zorginstanties opgenomen gesprekken met patiënten om naar tekst. Het bedrijf laat weten dat aanvallers tussen 27 maart en 2 mei van dit jaar toegang tot het bedrijfsnetwerk kregen en vervolgens allerlei bestanden buitmaakten. Het gaat onder andere om persoonlijke data van patiënten.
De gestolen persoonsgegevens bestaan uit naam, geboortedatum, adresgegevens, medisch dossiernummer, diagnoses en opnamedata. Bij een deel van de patiënten zijn ook social-securitynummers, verzekeringsgegevens, klinisch informatie zoals laboratorium- en testuitslagen, medicatie, naam van behandellocatie en zorgverleners buitgemaakt.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Databases
De Zweedse fondsadviseur Indecap heeft door het versturen van het verkeerde document de financiële gegevens van 52.000 klanten gelekt.
Het bedrijf wilde een pdf-document over de ontwikkeling van het eigen fonds naar klanten sturen, maar een medewerker selecteerde per ongeluk een Excel-document met de persoonlijke gegevens van meer dan 52.000 klanten.
Het ging onder meer om de naam van de klant, het burgerservicenummer, de bank, het e-mailadres, de individuele fondsselectie en de meest recente waarde van het bezit van de klant in deze fondsen.
Toen de fout werd ontdekt besloot Indecap het versturen van de e-mail stop te zetten, maar het bericht en Excel-document waren toen al bij 2800 klanten bezorgd. Het bedrijf liet weten dat een menselijke fout de oorzaak was. "Uit ons rapport over datalekken die vorig jaar bij ons zijn gemeld, blijkt dat zes op de tien incidenten wordt veroorzaakt door de menselijke factor. Het onderstreept het belang van het treffen van technische en organisatorische veiligheidsmaatregelen, juist om het risico op menselijke fouten te beperken", aldus de IMY.
De toezichthouder stelde op basis van onderzoek dat Indecap geen passend beveiligingsniveau had toegepast in relatie tot de risico's van de gegevensverwerking en besloot voor de tekortkomingen een boete van 43.000 euro op te leggen.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Databases
Netwerkfabrikant D-Link heeft bevestigd dat aanvallers gegevens een systeem hebben gestolen nadat een medewerker slachtoffer van een phishingaanval werd. Op zondag 1 oktober verscheen op een forum een bericht van iemand die claimde bij D-Link miljoenen regels aan klantgegevens te hebben buitgemaakt, alsmede broncode van de D-View netwerkbeheersoftware.
In een reactie bevestigt D-Link het datalek, maar stelt dat het om oude registratiegegevens van een oud systeem gaat, dat sinds begin 2015 end-of-life is. De gestolen gegevens bestaan uit naam, e-mailadres, adresgegevens, bedrijfsnaam, telefoonnummer, registratiedatum en laatste inlogdatum.
In totaal gaat het om zevenhonderd records van gebruikers die 'vermoedelijk' niet meer actief zijn. Waarom D-Link een al acht jaar niet meer ondersteund systeem gebruikte laat het bedrijf niet weten.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Databases
Dna-testbedrijf 23andMe is in de Verenigde Staten door gebruikers aangeklaagd wegens een gevoelig datalek waarbij hun persoonlijke gegevens werden gestolen.
Meerdere personen zijn inmiddels een massaclaim tegen het bedrijf gestart. Begin deze maand werd bekend dat aanvallers door middel van een credential stuffing-aanval gegevens van gebruikers hadden gestolen, die vervolgens op een forum te koop werden aangeboden.
Volgens de personen die de rechtszaken zijn gestart heeft 23andMe geen gepaste maatregelen genomen om de gegevens van gebruikers te beschermen.
Daarnaast heeft het bedrijf niet bekendgemaakt wanneer het datalek zich precies voordeed en over welke periode zich het heeft voorgedaan.
Ook is niet bekendgemaakt hoeveel gebruikers zijn getroffen en wat voor maatregelen die zouden moeten nemen om zich te beschermen. Daardoor zouden gebruikers risico op identiteitsdiefstal lopen, aldus de klagers.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Databases
De Britse financiële toezichthouder FCA heeft de Britse tak van kredietbeoordelaar Equifax een boete van omgerekend 12,8 miljoen euro opgelegd wegens een grootschalige datalek bij het Amerikaanse moederbedrijf, waarbij ook data van Britse klanten werd gestolen.
Volgens de FCA had het datalek volledig voorkomen kunnen worden en behandelde de Britse tak de relatie met Amerikaanse moederbedrijf niet als outsourcing.
....het moederbedrijf past geen netwerksegmentatie toe. Hierdoor konden de aanvallers nadat ze de databaseservers hadden gecompromitteerd toegang tot andere delen van het netwerk krijgen. Tevens had de kredietbeoordelaar geen intrusion detectiesystemen voor de legacy databases geïnstalleerd en bleek het bedrijf inloggegevens voor het netwerk, wachtwoorden, social security nummers en andere gevoelige consumentengegevens in plaintext te bewaren.
Bij de aanval werden de persoonlijke gegevens van meer dan 147 miljoen Amerikanen gestolen, alsmede 15 miljoen Britten. Het ging om namen, geboortedata, telefoonnummers, gedeeltelijke creditcardgegevens en adresgegevens. ...
De Britse tak ontdekte pas zes weken na de ontdekking van de aanval door het Amerikaanse moederbedrijf dat er gegevens van Britse consumenten waren gestolen. Verder stelt de FCA dat de Britse tak in haar verklaringen een onjuist aantal getroffen consumenten noemde en niet goed omging met klachten van consumenten.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Databases
De Franse bank BNP Paribas is getroffen door een omvangrijk datalek bij zijn Nederlandse vastgoedtak. Daarbij zijn gigabytes aan gevoelige persoonsdata en bedrijfsgeheimen, van zowel de bank zelf als van honderden bedrijven, in handen gekomen van een zelfbenoemde klokkenluider.
Uit vervolgonderzoek blijkt nu dat het lek veel groter is dan zich eerder dit jaar liet aanzien. Er zitten vertrouwelijke gegevens tussen van grote bedrijven als Ahold Delhaize en private-equityfirma Lone Star. Ook gegevens over vastgoedbeleggers en banken die BNP Paribas Real Estate Netherlands inschakelden als beheerder, taxateur of makelaar bij aan- of verkoop van kantoren en woningen waren onderdeel van het lek.
Alles bij de bron; FD
- Gegevens
- Hoofdcategorie: Databases
Air Europa meldt dat er bij een cyberaanval creditcardgegevens van klanten gestolen zijn zo heeft het bevestigd tegenover Reuters, maar laat niet weten om hoeveel potentiële slachtoffers het gaat.
Getroffenen wordt aangeraden om een nieuwe creditcard aan te vragen. Ook wordt slachtoffers in de e-mail nadrukkelijk afgeraden om hun pincode aan partijen te geven die hiernaar vragen. Onder meer creditcardnummers, verloopdata en de 3-cijferige verificatiecodes op de achterkant van creditcards werden door het datalek geopenbaard.
Het is niet voor het eerst dat Air Europa betrokken is bij een dergelijk incident. In 2021 kreeg het bedrijf nog een AVG-boete van 600.000 euro voor het veel te laat melden van een datalek waarbij de creditcardgegevens van 489.000 klanten geopenbaard werden.
Alles bij de bron; Tweakers
- Gegevens
- Hoofdcategorie: Databases
Dna-testbedrijf 23andMe heeft wegens een datalek besloten om de wachtwoorden van 14 miljoen gebruikers te resetten. In eerste instantie werd gebruikers aangeraden dit zelf te doen. Vorige week werd bekend dat aanvallers door middel van een credential stuffing-aanval gegevens van gebruikers hadden gestolen, die vervolgens op een forum te koop werden aangeboden.
Het gaat onder andere om naam, geslacht, geboortejaar, profielfoto en details over de dna-test, zoals afkomst.
In dit geval zijn ook gebruikers getroffen die van een sterk, uniek wachtwoord gebruikmaakten. Nadat de aanvallers toegang tot een 23andMe-account hadden gekregen maakten ze namelijk, als het account zich hiervoor had aangemeld, gebruik van de 'DNA Relatives' service om ook data over andere gebruikers in de database te stelen. Van hoeveel gebruikers de gegevens zijn gestolen is onbekend.
Volgens 23andMe is het onderzoek naar de datadiefstal nog gaande, maar heeft het nu besloten om van alle veertien miljoen klanten die het zegt te hebben de wachtwoorden te resetten.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Databases
Het van oorsprong Amsterdamse informatiebedrijf Bureau van Dijk lekte eind 2021 bijna 28 miljoen e-mailadressen, die nu aan Have I Been Pwned zijn toegevoegd. Bureau van Dijk verzamelt, bewerkt, standaardiseert en verspreidt gegevens over bedrijven.
Twee jaar geleden wisten aanvallers toegang te krijgen tot een 426 gigabyte grote database van het bedrijf, die vervolgens op internet te koop aangeboden. Het betreft honderden miljoenen regels data over bedrijven en personen, waaronder persoonlijke informatie zoals namen, geboortedata.
Volgens Have I Been Pwned gaat het verder om 28 miljoen unieke e-mailadressen, samen met adresgegevens (van vermoedelijk bedrijfslocaties), telefoonnummers en functietitels. Van de 28 miljoen gestolen e-mailadressen was 46 procent al via een ander datalek bij de zoekmachine bekend.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Databases
Dna-testbedrijf 23andMe heeft bevestigd dat aanvallers erin zijn geslaagd om gegevens van gebruikers te stelen en die vervolgens op een forum te koop aan te bieden. Het gaat onder andere om naam, geslacht, geboortejaar, profielfoto en details over de dna-test, zoals afkomst. Via 23andMe kunnen gebruikers hun dna laten testen om te zien waar hun voorouders vandaan kwamen, maar kan er ook worden getest op gezondheidsgerelateerde zaken.
Het bedrijf laat tegenover CyberScoop en Wired weten dat de eigen systemen niet zijn gecompromitteerd, maar de aanvallers door middel van credential stuffing binnen wisten te komen. Bij een dergelijke aanval proberen aanvallers of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan.
Nadat de aanvallers toegang tot een 23andMe-account hadden gekregen maakten ze, als het account zich hiervoor had aangemeld, gebruik van de 'DNA Relatives' service om ook data over andere gebruikers in de database te stelen. Via deze service kunnen gebruikers verwanten vinden die hun dna ook via 23andMe hebben laten testen. Van hoeveel gebruikers de gegevens zijn gestolen is onbekend.
In de nieuwste posting claimt de aanbieder te beschikken over 'tailored ethnic groupings, individualized data sets, pinpointed origin estimations, haplogroup details, phenotype information, photographs, links to hundreds of potential relatives, and most crucially, raw data profiles' van miljoenen mensen.
Alles bij de bron; Security