- Gegevens
- Hoofdcategorie: Internet en Telecom
Een Britse kledingwinkel is onder vuur komen te liggen vanwege een datalekmelding die het gisteren naar klanten stuurde waarin de slachtoffers worden opgeroepen om de e-mail over het datalek privé en vertrouwelijk te houden.
In een e-mail die het bedrijf naar getroffen klanten stuurde meldt het bedrijf dat het op 17 januari van dit jaar verdachte activiteit op de eigen systemen ontdekte. Verder onderzoek wees uit dat een aanvaller eerder die maand al toegang had gekregen. Op de systemen stonden klantgegevens zoals voornaam, achternaam, e-mailadres, adresgegevens en gedeeltelijk creditcardgegevens, waaronder de laatste vier cijfers van het creditcardnummer en verloopdatum.
Verdere details over het incident, zoals hoe de aanvaller toegang wist te krijgen, zijn niet gegeven. De datalekmelding werd alleen naar klanten gemaild en is niet op de website van de kledingketen te vinden. Niet alleen deze oproep zorgde voor kritiek, ook het feit dat de melding ruim twee maanden na ontdekking van het datalek komt zorgde voor boze reacties.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
Een beveiligingsonderzoeker is door het combineren van verschillende kwetsbaarheden erin geslaagd toegang te krijgen tot het interne netwerk van Facebook. Het socialmediabedrijf heeft de problemen inmiddels verholpen en onderzoeker Alaa Abdulridha voor zijn bugmelding met een beloning van 47.300 dollar beloond.
Abdulridha had eerder al een kwetsbaarheid in een interne applicatie van Facebook gevonden waardoor hij toegang tot de applicatie en het beheerderspaneel wist te krijgen. Deze applicatie wordt binnen Facebook door de juridische afdeling gebruikt. Facebook verhielp dit probleem. Voor zijn tweede aanval richtte de onderzoeker zich opnieuw op deze applicatie.
Abdulridha rapporteerde de problemen op 9 september. Op 26 oktober vroeg het socialmediabedrijf een nieuwe melding te openen waarna er dezelfde dag mitigaties werden doorgevoerd. Op 25 februari van dit jaar kwam Facebook met een volledige oplossing en beloonde de onderzoeker voor zijn bugmelding.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
De Internetproviders Tweak, Freedom Internet en Kabelnoord kampten maandag 22 maart met een storing. De providers meldden te zijn getroffen door een 'zware ddos-aanval'. Webhostingprovider TransIP werd eerder die dag ook getroffen door een ddos-aanval. Volgens het bedrijf werd gericht op zijn nameservers.
Onder meer de site van de Eerste Kamer was door de aanval op TransIP korte tijd offline. Ook de websites van het Bravis Ziekenhuis in West-Brabant en die van de gemeente Cappelle aan den IJssel lagen plat.
Alles bij de bronnen; Tweakers & AGConnect
- Gegevens
- Hoofdcategorie: Internet en Telecom
Onderzoekers hebben in een systeem waarmee scholen de laptops van hun leerlingen kunnen besturen en monitoren verschillende kwetsbaarheden ontdekt waardoor een aanvaller op hetzelfde netwerk de machines had kunnen overnemen. Het gaat in totaal om vier beveiligingslekken in Netop Vision Pro, die vorige maand door de fabrikant zijn verholpen.
De onderzoekers ontdekten dat al het netwerkverkeer van de software onversleuteld wordt verstuurd, waaronder Windowswachtwoorden. Het gaat om het wachtwoord dat een docent gebruikt om op de computer van een leerling in te loggen. Screenshots van de desktops van de leerlingen, die de software continu maakt, worden ook onversleuteld verstuurd naar de leraar. Iedereen op het lokale netwerk kan deze screenshots onderscheppen.
Het tweede probleem was dat de commando's die door een docent naar een computer worden verstuurd door een aanvaller zijn te onderscheppen, aan te passen en opnieuw zijn "af te spelen". Zo zou het mogelijk zijn om willekeurige applicaties te starten. De derde kwetsbaarheid maakte het mogelijk voor een aanvaller om zijn rechten te verhogen.
Via de software kunnen docenten op afstand taken op de schoolcomputers van leerlingen uitvoeren, zoals het blokkeren van websites, het installeren of uitvoeren van applicaties en het delen van documenten. Volgens de onderzoekers hoort Netop Vision Pro in de standaardconfiguratie nooit toegankelijk te zijn vanaf het internet. Door de coronapandemie worden schoolcomputers echter op allerlei netwerken aangesloten, wat het aanvalsoppervlak vergroot.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
Shell is slachtoffer van datadiefstal geworden nadat aanvallers toegang wisten te krijgen tot de Accellion FTA-server van het bedrijf. FTA is een twintig jaar oude oplossing die organisaties gebruiken voor het uitwisselen van grote bestanden.
Afgelopen december maakten aanvallers gebruik van verschillende zerodaylekken om toegang tot FTA-servers van organisaties te krijgen. Op 21 december rolde Accellion een hotfix voor de kwetsbaarheden uit.
De afgelopen weken maakten verschillende organisaties bekend dat ze slachtoffer van een inbraak op hun FTA-server waren geworden. Ook Shell gebruikte FTA voor het uitwisselen van grote bestanden. Bij de inbraak hebben de aanvallers allerlei bestanden bemachtigd, waarvan sommige persoonlijke data bevatten en andere gegevens afkomstig van Shell-bedrijven en sommige van hun partners.
Volgens het bedrijf hebben de aanvallers geen toegang gekregen tot de kernsystemen van Shell, aangezien de FTA-server geïsoleerd is van de rest van de digitale infrastructuur van het bedrijf. Naar aanleiding van de inbraak heeft Shell alle gedupeerde personen en stakeholders gewaarschuwd. Tevens is er melding gemaakt bij alle relevante toezichthouders en autoriteiten.
Eerder liet o.a. de Nederlandse Aardolie Maatschappij (NAM) al weten dat er op hun FTA-server was ingebroken.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
Twitter vestigt een dochterbedrijf in Turkije om tegemoet te komen aan de omstreden internetwet die afgelopen jaar door de regering van het land werd aangenomen.
Het socialemediaplatform zwicht daarmee net als Facebook voor de eisen van de Turkse overheid. Socialemediabedrijven met meer dan een miljoen gebruikers zijn sinds afgelopen jaar verplicht om een eigen vertegenwoordiger en afdeling in Turkije te hebben, die op het matje kunnen worden geroepen door de overheid.
Die vertegenwoordiger moet binnen 48 uur op klachten over berichten kunnen reageren. Doet het bedrijf dat niet, dan kan de Turkse overheid de toegang tot de site stremmen of een boete opleggen.
Facebook, YouTube, Instagram, Twitter en TikTok kregen in 2020 al miljoenenboetes van Turkije omdat ze zich niet aan de wet hielden. Twitter mag sinds begin dit jaar niet meer adverteren in het land.
Alles bij de bron; NU
- Gegevens
- Hoofdcategorie: Internet en Telecom
Door een datalek bij de Belastingsamenwerking West-Brabant (BWB) waren de gegevens van een onbekend aantal belastingplichtigen tot voor kort makkelijk in te zien. Dat bevestigt de dienst vrijdag na berichtgeving van dagblad BN DeStem. Het is de tweede keer in vier jaar tijd dat er een datalek bij de lokale belastingdienst is.
Onder meer namen, adressen en WOZ-beschikkingen van inwoners uit West-Brabant konden gemakkelijk gevonden worden. Ook gerechtelijke vonnissen in schuldhulpsaneringszaken waarin personen met naam en toenaam worden genoemd, konden door derden worden ingezien.
De fout kwam aan het licht toen een IT-specialist onlangs een mail stuurde waarin hij informatie vroeg over zijn WOZ-aanslag. Hij kreeg een mail met daarin een link naar zijn gegevens. Door het wijzigen van een getal in de link kreeg hij inzage in de gegevens van andere belastingplichtigen. De regionale belastingdienst heeft het lek inmiddels gedicht.
Alles bij de bron; NRC
- Gegevens
- Hoofdcategorie: Internet en Telecom
Een Weens bedrijf heeft via een IDOR-kwetsbaarheid de uitslagen van 136.000 coronatests gelekt. Alleen het aanpassen van een getal in de adresbalk van de browser was voldoende om naam, adresgegevens, geboortedatum, identiteitsnummer en uitslag van 136.000 coronatests te zien, afgenomen bij 80.000 mensen in Duitsland en Oostenrijk. Dat laat de Duitse hackersclub Chaos Computer Club (CCC) weten.
Het gaat hier om een Insecure direct object references (IDOR)-kwetsbaarheid. Deze beveiligingslekken doen zich voor wanneer een webapplicatie of API een identifier gebruikt om een object in een database op te vragen zonder authenticatie of andere vorm van toegangscontrole. Ondanks de eenvoud van deze kwetsbaarheid komt die nog altijd geregeld voor.
Tevens ontdekten de onderzoekers dat via een dashboard, dat voor elk aangemaakt account toegankelijk was, kon worden gezien wanneer erin een testcentra een coronatest was uitgevoerd en wat het resultaat was. Aan de hand hiervan kon een url worden afgeleid van een afbeelding met onder andere de foto van de teststrip waarop het resultaat stond. Op verschillende van deze foto's waren ook de namen van patiënten te zien, meldt de CCC.
Alles bij de bron; Security
- Gegevens
- Hoofdcategorie: Internet en Telecom
Datingapp Tinder gaat technologie invoeren waarmee (voorlopig alleen Amerikaanse) gebruikers van de app kunnen controleren of hun match een crimineel verleden heeft.
Het moederbedrijf van Tinder kocht onlangs de non-profitorganisatie Garbo, dat online checks uitvoert om veilig te daten. Op Garbo, worden onder meer arrestaties, veroordelingen en geweldsmisdrijven geregistreerd. Op basis van naam en telefoonnummer kan een check op een persoon worden gedaan.
Volgens Tinder zal de extra service niet gratis zijn. Onbekend is of en wanneer Garbo op andere apps wordt gezet dan wel in andere landen wordt ingevoerd.
Bron; Cops-in-Cyberspace
- Gegevens
- Hoofdcategorie: Internet en Telecom
In tientallen landen wereldwijd wordt er gebruikgemaakt van corona-apps die gebruikers waarschuwen als ze in contact zijn geweest met een besmet persoon, maar bij veel van deze apps buiten de EU is de privacy niet goed geregeld. Dat stelt securitybedrijf Symantec op basis van eigen onderzoek naar de corona-apps uit 31 landen.
Van de 31 onderzochte corona-apps hebben er 18 toegang tot apparaatgegevens die persoonlijke informatie bevatten, waardoor de identiteit van de gebruiker kan lekken. Het gaat dan om toegang tot de microfoon, kalender, adresboek, wifi-informatie en telefoonservice. Verder blijkt dat 16 van de onderzochte corona-apps gebruikersgegevens onbeveiligd versturen zodat die door aanvallers kunnen worden afgeluisterd.
Van de 18 corona-apps die toegang tot apparaatgegevens hebben komen er vier uit de Europese Economische Ruimte (EER), namelijk Hongarije, Ierland, Noorwegen en Polen. In het geval van het onbeveiligd versturen van data is dit het geval bij twee apps uit de EER, te weten Hongarije en Polen. De Nederlandse CoronaMelder-app is niet in het onderzoek van Symantec meegenomen.
Alles bij de bron; Security