Databeveiliging & Dataverlies

Door een niet goed werkend script zijn de persoonsgegevens van 18.000 inburgeraars gelekt, zo heeft minister Van Engelshoven van Onderwijs laten weten. Inburgeraars kunnen een verzoek doen om te vragen wat hun buitenlandse diploma in Nederland waard is.

De huidige leverancier van dit digitale aanvraagsysteem is een Nederlands bedrijf met een vestiging in Servië, waar de testers en ontwikkelaars werken. Met deze leverancier heeft overheidsinstantie Nuffic een verwerkersovereenkomst afgesloten met de verplichting dat persoonsgegevens worden geanonimiseerd, omdat buiten de Europese Unie geen persoonsgegevens mogen worden verwerkt. De huidige leverancier gebruikte een script voor het anonimiseren van persoonsgegevens voordat die in de testomgeving komen. Nu blijkt dit script niet goed te hebben gewerkt.

De nieuwe leverancier van het diplomawaarderingssysteem ontdekte vorige maand bij de overdracht van de testdatabase dat er persoonsgegevens in stonden. Het betreft alle persoonsgegevens van diplomawaardering voor inburgeraars sinds de start van de applicatie op 1 februari 2017. Het gaat om zo'n 18.000 personen. De persoonsgegevens hebben sinds 11 augustus 2020 in de testomgeving gestaan.

Nuffic heeft het datalek bij de Autoriteit Persoonsgegevens gemeld en het meldpunt datalekken van DUO. De huidige leverancier heeft de persoonsgegevens uit de testomgeving verwijderd. De nieuwe leverancier heeft de ontvangen testbestanden ook verwijderd, waaronder uit de back-ups. Alle gedupeerde personen zijn gisteren ingelicht, zo stelt de minister.

Alles bij de bron; Security


 

Hierbij bied ik uw Kamer het onderzoeksrapport “Inventarisatie maatregelen t.a.v. beheer externe gegevensdragers Donorregister” van de Audit Dienst Rijk (ADR) aan. Op 10 maart 2020 is uw Kamer geïnformeerd over het datalek dat zich heeft voorgedaan bij het CIBG ten aanzien van het Donorregister.

Twee fysieke gegevensdragers (externe harde schijven) met daarop een kopie van donorformulieren met registraties en wijzigingen in het Donorregister in de periode 1998-2010 lagen niet meer in de kluis waar ze werden bewaard. Na de melding van het datalek bij het ministerie van VWS en de Autoriteit Persoonsgegevens heeft het CIBG de ADR gevraagd onafhankelijk onderzoek uit te voeren...

...Specifiek heeft de ADR geconstateerd dat procedures en werkinstructies voor het bewaren en vernietigen van externe gegevensdragers niet of onvoldoende aanwezig waren. Hierdoor heeft het kunnen gebeuren dat de twee harde schijven zijn verdwenen, zonder dat kan worden nagegaan wat er precies is gebeurd met deze gegevensdragers. De ADR constateerde voor het nieuwe Donorregister dat het ten tijde van het onderzoek nog ontbrak aan een voldoende invulling en borging van het bijbehorend informatiebeveiligingsplan.

Het management van het CIBG geeft aan dit ernstige constateringen te vinden en stelt dat dit niet had mogen gebeuren. De interne sturing op de naleving van de regels omtrent informatiebeveiliging is onvoldoende geweest.

Ik sluit mij hierbij aan. Ook ik vind de bevindingen zeer ernstig. Iedereen moet erop kunnen vertrouwen dat met persoonsgegevens in het Donorregister zorgvuldig en op een goed beveiligde manier wordt omgegaan. Hierin is helaas tekortgeschoten...

...Het CIBG is direct aan de slag gegaan met de constateringen van de ADR en heeft al tijdens het lopende onderzoek de informatiebeveiliging rondom het nieuwe Donorregister verbeterd. Als resultaat hiervan zijn op dit moment de meeste maatregelen die het CIBG diende te nemen al geïmplementeerd. Nu richt het CIBG haar aandacht op de resterende maatregelen en het integreren van de maatregelen in de besturingscyclus van het CIBG om de kwaliteit continu te verbeteren. Op deze manier worden de aanbevelingen van het ADR-onderzoek structureel ingebed in de werkwijze van het CIBG.

Alles bij de bron; RijksOverheid


 

Een kritieke kwetsbaarheid in de Logix-controllers van fabrikant Rockwell Automation maakt het mogelijk voor aanvallers om op afstand toegang tot industriële systemen te krijgen. Het beveiligingslek, aangeduid als CVE-2021-22681, is op een schaal van 1 tot en met 10 wat betreft de impact met een 10 beoordeeld. Een beveiligingsupdate is niet beschikbaar gemaakt. 

Door het beveiligingslek kan een aanvaller de key achterhalen en met elke willekeurige Logix-controller die toegankelijk is verbinding maken. Zo kan de aanvaller zich voordoen als het werkstation dat de Logix-controller bestuurt en de controller bijvoorbeeld met malware infecteren, wat gevolgen voor het productieproces heeft.

Volgens het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security is de kwetsbaarheid op afstand te misbruiken en vereist dit weinig kennis. Rockwell adviseert organisaties om de instellingen van hun controller aan te passen en ervoor te zorgen dat die niet direct vanaf het internet toegankelijk is.

Alles bij de bron; Security


 

De Britse cameradienst NurseryCam voor kinderdagverblijven heeft de privégegevens van 12.000 gebruikers gelekt die vervolgens op internet zijn gepubliceerd. Het gaat e-mailadressen, gehashte wachtwoorden, namen en gebruikersnamen. Vanwege het datalek is cameradienst NurseryCam zelf nog altijd offline.

NurseryCam maakt het mogelijk voor ouders om met de camera's van het kinderdagverblijf van hun kind mee te kijken. Zo'n veertig kinderdagverblijven in het Verenigd Koninkrijk maken gebruik van de cameradienst. Ouders installeren een app en kunnen vervolgens via een aangemaakt account hun kind bij het kinderdagverblijf op afstand in de gaten houden.

Recentelijk liet een beveiligingsonderzoeker weten dat de app en het onderliggende platform allerlei kwetsbaarheden bevatten, waardoor onbevoegden zouden kunnen meekijken. Het blijken niet de enige problemen van NurseryCam te zijn. Een aanvaller wist onlangs toegang tot de gebruikersdatabase te krijgen en heeft die vervolgens op internet geplaatst. De database bevat 12.000 unieke accounts van ouders.

De server van de cameradienst is uit voorzorg offline gehaald en ook is de website van NurseryCam offline.

Alles bij de bron; Security


 

De desktopversie van de end-to-end versleutelde chatapp Keybase liet afbeeldingen van gebruikers onversleuteld in de cache en directories op het systeem achter, ook als gebruikers de bestanden via de normale verwijderoptie of "explode" functie hadden verwijderd. Zo hebben beveiligingsonderzoekers ontdekt. Keybase heeft een beveiligingsupdate uitgebracht om de kwetsbaarheid te verhelpen.

Het probleem deed zich voor bij zowel de Linux-, macOS- als Windowsversie. 

"Keybase staat bekend als een end-to-end versleutelde chatapp, wat inhoudt dat gesprekken tussen personen of groepen binnen de app niet onversleuteld op de schijf zouden moeten zijn opgeslagen", aldus onderzoeker Jackson. Hij rapporteerde de kwetsbaarheid aan Keybase, waarna het probleem in versie 5.6.0 voor macOS en Windows en versie 5.6.1 voor Linux werd verholpen. Lokaal opgeslagen en gecachete afbeeldingen worden automatisch door het updaten naar deze versie verwijderd.

Alles bij de bron; Security


 

Canadese privacyexperts maken zich zorgen over het plan van de Canadese overheid om een online paspoortaanvraag te laten ontwikkelen. Via het nieuwe platform kunnen burgers straks ook de foto voor hun paspoort uploaden en de aanvraagkosten betalen. De experts vrezen dat persoonlijke informatie op buitenlandse servers wordt opgeslagen en een aantrekkelijk doelwit voor criminelen zal zijn, zo meldt CBC.

Uit de tender blijkt dat het om Amazon Web Services (AWS) gaat. "Zelfs wanneer we zaken doen met een Amerikaans bedrijf dat akkoord gaat om de data binnen Canada op te slaan, zal onder de Amerikaanse Cloud-wetgeving de data uiteindelijk het land uitgaan", zegt Sébastien Gambs, informaticahoogleraar aan de Université du Québec à Montréal. AWS stelt in een reactie dat klanten volledige eigenaar over hun gegevens blijven en zeggenschap hebben wie er toegang toe mag krijgen.

Het Professional Institute of the Public Services (PIPSC) hekelt de uitbesteding van de ontwikkeling. Dit zou namelijk ten koste gaan van de kennis bij de overheid. "Het is een vicieuze cirkel. In plaats van het intern te ontwikkelen kiezen we voor extern. Daardoor missen we intern de benodigde expertise, dat helaas in de loop van de tijd verdwijnt, waardoor we het moeten uitbesteden", zegt Stéphane Aubry, vicepresident van de PIPSC.

Alles bij de bron; Security


 

Adorcam, een camera-app voor ip-camera's, heeft via een onbeveiligde database miljoenen gegevens van gebruikers gelekt, waaronder e-mailadressen, ip-adressen, gehashte wachtwoorden, wifi-netwerknamen, locatie en mogelijk ook door de camera gemaakte foto's. Dat ontdekte Justin Paine een beveiligingsonderzoeker.

Paine vond een onbeveiligde Elasticsearch-database van Adorcam die voor iedereen op internet zonder wachtwoorden toegankelijk was. 

De 51 gigabyte grote database bevatte 124 miljoen rijen met gebruikersgegevens. Het ging om ip-adressen, e-mailadressen, serienummers, gehashte wachtwoorden, geolocatiegegevens, naam van wifi-netwerken en webcaminstellingen. Paine waarschuwde de app-ontwikkelaars op 14 januari, vijf dagen later was de database beveiligd.

Alles bij de bron; Security


 

Namen, adressen, telefoonnummers en de inhoud van bestellingen van willekeurige klanten waren eenvoudig in te zien op de website van winkelketen Blokker. Een kwaadwillende hoefde alleen een url aan te passen door het bestelnummer te wijzigen, waarna de gegevens getoond werden.

Het datalek kwam aan het licht aan een tip van een lezer van Opgelicht?!, dat de zaak daarna onderzocht. Ethisch hacker Sijmen Ruwhof zegt tegen Opgelicht dat het datalek zeker sinds eind oktober 2020 aanwezig is en dat er 720.000 verschillende bestellingen mee gemoeid zijn, hoewel er niet specifiek wordt vermeld hoe men tot dat getal komt.

Blokker zegt in een reactie de Autoriteit Persoonsgegevens ingelicht te hebben over het datalek. Het bedrijf biedt zijn excuses aan en zegt er alles aan te doen om herhalingen te voorkomen. Een jaar geleden had Blokker ook een datalek. Toen werd er ingebroken bij accounts, hoewel niet duidelijk is of de logins ook van Blokker zelf zijn gestolen, of dat er gebruik werd gemaakt van credential stuffing.

Alles bij de bron; Tweakers


 

Medewerkers van de GGD’s kunnen voorlopig niet meer bij intern informatiesysteem Kennisnet, waarin bijvoorbeeld werkinstructies staan. De databeveiliging van het systeem is niet op orde, blijkt uit forensisch onderzoek. En dus is de applicatie inmiddels uitgeschakeld.

Sinds begin februari speurt een zogeheten Red Team bij koepelorganisatie GGD GHOR actief naar kwetsbaarheden in de databeveiliging van de diverse GGD-systemen. Het team test de digitale verdediging van de organisatie en van de systemen zelf.

Binnen een etmaal wist het team zich toegang te verschaffen tot documenten die niet voor hen beschikbaar zouden moeten zijn. Dit gebeurde in de applicatie GGD GHOR Kennisnet. Om misbruik van de geconstateerde kwetsbaarheid te voorkomen, is Kennisnet direct uitgeschakeld.

Alles bij de bron; Computable


 

Het delen van data tussen uiteenlopende sectoren en domeinen krijgt een belangrijke impuls. Om datadelen op grotere schaal mogelijk te maken, zijn praktische afspraken in de maak die algemeen toepasbaar zijn. Ze gaan niet alleen over datastandaarden en beveiliging maar ook over bijvoorbeeld businessmodellen. Daarvoor is een gids in wording, het zogenoemde Harmonisation Canvas.

Tijdens de tweede Conferentie Nederland Digitaal presenteerde de Data Sharing Coalition (DSC) de eerste versie van dit document, een basis voor generieke afspraken. Want om goed, effectief en veilig data te kunnen delen tussen verschillende sectoren moeten partijen duidelijke afspraken met elkaar maken. De definitieve versie van het Canvas volgt in het tweede kwartaal van dit jaar.

De DSC is een samenwerkingsverband van 34 organisaties en bedrijven uit allerlei sectoren. De deelnemers, variërend van brancheverenigingen en standaardisatie-instellingen tot infrastructuuraanbieders, vertegenwoordigen duizenden organisatie die data delen, data consumeren of dit voor anderen faciliteren.

Alles bij de bron; Computable


 

Abonneer je nu op onze wekelijkse nieuwsbrief!
captcha